为什么检测到我的帐号密码强度低？

显示全部楼层 · 发表于 2013-5-11 19:23:04

atmouse 发表于 2013-5-11 19:11
好吧。。。。。。

有这心思还是放到注册的时候检测，别吓用户

就以前来说强制强密码和强制安全问题对用户来说是一种不方便

但近期论坛遭受了一系列的攻击比起这些不方便来说安全的需求更加重要所以会提示修改为强密码

我不知道你有没有看到广告机盛况在我人工从半夜12点值守到早上9点半的情况下论坛还是被发了5000贴广告这种情况下还希望大家能够配合论坛的工作谢谢

显示全部楼层 · 发表于 2013-5-11 19:29:42

atmouse 发表于 2013-5-11 19:01
我现在只想知道，你们是否那我的明文密码做测试，
还是说只是找一些弱口令hash表测试
如果是后者，可以 ...

CSDN的严重漏洞毕竟不太会经常出现，如楼下诸位所说，采用的是非常正常不过的Hash比对法，Hash一致则为弱密码，你没有在其他地方用过只能说明卡饭密码被泄露不会直接影响到你的其他网上的账号。
还有，网上的Hash完全可以通过一定的规则自动计算自动生成自动存储，那些中级及以下级别的黑客在破解非常规弱密码的时候，都要下载上百个GB的彩虹表，在里面一个个的拿获取的Hash和彩虹表的已知Hash去比对，如果有正确的，那么他的密码就是这个。而且为了考虑到泛用性，彩虹表不可能只存储一种算法的，什么BASE64的，什么MD4的，什么SHA-1的等等都可能存储进去，包括MD5的两种格式的16位和32位。顺带一提，16位的MD5是通过截取32位MD5的中间部分字串得到的，所以16位MD5可能出现一对多的情况。

夏娜，疾风，菲特，奈叶

显示全部楼层 · 发表于 2013-5-11 20:33:14

佐仓濑津美发表于 2013-5-11 19:23
就以前来说强制强密码和强制安全问题对用户来说是一种不方便

但近期论坛遭受了一系列的攻击比起这些 ...

不用纠结了，论坛这东西多久的产物了，是广播性催使的广告。想要根本解决问题，那么就得转变论坛成订阅式的，刚注册的用户没有任何板块的阅读权限，但是可以手动订阅，这就大大降低传播度。也就不屑打广告了

版块订阅数量是有限的，超过怎么办，对不起，注册另一个号或者取消之前的板块。
关于密码，不要做什么变化，只是，登录的时候必须选择一位好友昵称（在注册后3天内指定的）否则无法登录

显示全部楼层 · 发表于 2013-5-11 20:52:30

atmouse 发表于 2013-5-11 20:33
不用纠结了，论坛这东西多久的产物了，是广播性催使的广告。想要根本解决问题，那么就得转变论坛成订阅 ...

刚注册的用户没有任何版块的阅读权限我们又怎么做推广怎么让大家知道卡饭是一个好论坛呢你这样显然就没有把论坛当成人与人交流的平台而是把论坛当成找资料的平台了那还不如做个网站维护起来还比论坛轻松呢对不对

至于说登陆的时候选择一名好友并不是所有人都会用这个功能而且既然新ID不能发帖回帖看帖他哪来的好友呢

显示全部楼层 · 发表于 2013-5-11 21:13:01

佐仓濑津美发表于 2013-5-11 19:18
欢迎你去责问Discuz论坛系统的制作人员问问他们密码是不是明文储存在数据库里的

如果自学习的技术只是 ...

据我所知，密码不是明文储存在数据库里的，由两部分组成，理论上是不可逆的。

显示全部楼层 · 发表于 2013-5-11 21:25:23

Yin3700 发表于 2013-5-11 21:13
据我所知，密码不是明文储存在数据库里的，由两部分组成，理论上是不可逆的。

彩虹表就是为了部分可逆降低破解密码成本而有的实际上密码就是部分可逆的

显示全部楼层 · 发表于 2013-5-11 23:33:52

本帖最后由 atmouse 于 2013-5-11 23:49 编辑

佐仓濑津美发表于 2013-5-11 21:25
彩虹表就是为了部分可逆降低破解密码成本而有的实际上密码就是部分可逆的

你应该跟他说用的ascii字符可以找到比较短的，
散列是完全不可逆的，能找到无数个碰撞

还有关于我的说法，谁知道推广起来会怎么样。
而且新id我是用完全可以发帖回帖的方向说的

唉，不说了，再截取数据挺麻烦的, 确实本来我这边是可以自己确定你们是否hash后发过去。
139，wo。com。cn 会坑爹，绝对的。我认为强制qq邮箱都比这几个来的好

显示全部楼层 · 发表于 2013-5-12 01:17:17

atmouse 发表于 2013-5-11 23:33
你应该跟他说用的ascii字符可以找到比较短的，
散列是完全不可逆的，能找到无数个碰撞

据我所知Discuz系统可以选择密码采用明文还是密文发送的正常来说应该都是本地md5以后发过去的

强制三大运营商邮箱只是因为上头指示……

显示全部楼层 · 发表于 2013-5-12 01:47:55

佐仓濑津美发表于 2013-5-12 01:17
据我所知Discuz系统可以选择密码采用明文还是密文发送的正常来说应该都是本地md5以后发过去的

强制三 ...

上头?哪个上头?政府上头还是论坛上头?

显示全部楼层 · 发表于 2013-5-12 02:48:19

据我推测，插件的方法是将可能的弱密码通过MD5加密根数据库中的加密密码进行对比，如果一样就是弱密码，并非对加密密码逆运算得到明文密码的

[意见] 为什么检测到我的帐号密码强度低？