如果他获得的密码是hash过的，如何在这儿试发贴验证密码是否相符？

所有跟贴·加跟贴·新语丝读书论坛

送交者: 方舟子于 2009-04-18, 02:47:06:

回答: 我得澄清一下，我今天认为新语丝论坛安全有漏洞的说法是错误的。由 008 于 2009-04-18, 02:28:45:

所有跟贴:

根本不需要，要是他真的要crack，他可以拿 dictionary 里的字去 hash - steven (251 bytes) 2009-04-18, 03:09:09 (316058)
- 你老又答非所问，看贴不仔细 (无内容) - jhuang (0 bytes) 2009-04-18, 03:26:24 (316066)
  - 他是正义的黑客，比较大大咧咧 (无内容) - nienie (0 bytes) 2009-04-18, 03:29:11 (316067)
- 他们自己说拿到网友填的密码后在这里试发帖验证 (无内容) - 方舟子 (0 bytes) 2009-04-18, 03:14:10 (316064)
  - that is easy too, makes another socket connection to xys, - steven (268 bytes) 2009-04-18, 03:31:44 (316068)
    - 你看来是行家，不过你想到的他都想到了 - 008 (300 bytes) 2009-04-18, 03:37:31 (316073)
      - 你还是没弄明白他是怎么干的 - Jove (282 bytes) 2009-04-18, 07:25:54 (316124)
        
        跟楼下的，怎么跑这来了 (无内容) - Jove (0 bytes) 2009-04-18, 07:32:14 (316127)
      - 更容易想到一个办法是在老旧的一个帖子上面跟帖试试看 - jhuang (80 bytes) 2009-04-18, 03:44:26 (316079)
        
        yeah, the question is: does worth the time? the user name and - steven (161 bytes) 2009-04-18, 03:49:20 (316081)
        
        你老还不开窍，人要建立个小圈子，这点资源不用白不用 (无内容) - jhuang (0 bytes) 2009-04-18, 03:51:31 (316083)
      - nay, if so, I would see something that I didn't post. - steven (111 bytes) 2009-04-18, 03:44:03 (316078)
- 我不认为他有我们的hashed passwords - xystech (44 bytes) 2009-04-18, 03:13:38 (316063)
论坛程序拿到的用户密码都是明文 - xystech (544 bytes) 2009-04-18, 03:01:36 (316054)
- xj说他数据库里存的是hash过的密码 - 鹏归 (32 bytes) 2009-04-18, 03:05:19 (316056)
  - 是的，这是标准做法 - xystech (145 bytes) 2009-04-18, 03:09:11 (316059)
  - 密码库存的可能是hash过的，但是一开始拿到的肯定是明文的才能验证 (无内容) - 方舟子 (0 bytes) 2009-04-18, 03:08:17 (316057)
    - 因为登陆手续是程序管理的 - 鹏归 (89 bytes) 2009-04-18, 03:12:59 (316062)
      - 我宁可相信你是没看懂所以再解释一遍 - 008 (583 bytes) 2009-04-18, 03:38:48 (316075)
        
        你不会认为开源的意思是能够看到服务器上面的代码吧 - 过客052 (136 bytes) 2009-04-18, 06:22:05 (316108)
        
        这样比较麻烦无聊的没道德的人才会干啊 (无内容) - nienie (0 bytes) 2009-04-18, 06:31:41 (316111)
        
        你不明白就先问人再替人回答。我已经说了一点也不麻烦了。 - 过客052 (28 bytes) 2009-04-18, 06:50:33 (316116)
        
        我知道你很明白 (无内容) - nienie (0 bytes) 2009-04-18, 07:33:53 (316129)
理论上是可能的 - gs (180 bytes) 2009-04-18, 02:53:12 (316045)
- 理论上，他还有可能是觉得我们自己积存密码太累了，他帮我们保管， - 008 (246 bytes) 2009-04-18, 03:17:14 (316065)
  - 这和copy信用卡不一样 - gs (174 bytes) 2009-04-18, 03:33:46 (316069)
这样： - Amsel (215 bytes) 2009-04-18, 02:51:46 (316042)
- 你没有回答老方的问题。 - jxh (52 bytes) 2009-04-18, 02:55:27 (316048)
  - 你说的对。所以还是没hash过的。这是俺头一次说hash这个词。 (无内容) - Amsel (0 bytes) 2009-04-18, 02:56:47 (316051)
- 这里发贴必须是用没有hash过的密码 (无内容) - 方舟子 (0 bytes) 2009-04-18, 02:53:37 (316046)

加跟贴