Essayer de hacher mes mots de passe, mais sans succès

Question

Je suis relativement nouveau à la sécurité php, et pour mon site, j'étais un utilisateur et je me connectais, et je veux ajouter md5 à leurs mots de passe, mais je ne trouve nulle part où a un guide clair sur ce qui doit être ajouté à l'inscription, et ce qui doit être ajouté aux fichiers de connexion, et/ou la base de données, comme je dis que je suis assez nouveau pour php en termes de sécurité web, donc je suis besoin d'aide, voici une partie de ce que j'ai sur mon formulaire d'inscription:

$error = $user = $pass = ""; 
if (isset($_SESSION['user'])) destroySession(); 

if (isset($_POST['user'])) 
{ 
    $user = sanitizeString($_POST['user']); 
    $pass = sanitizeString($_POST['pass']); 


    if ($user == "" || $pass == "") 
    { 
     $error = "Not all fields were entered<br /><br />"; 
    } 
    else 
    { 
     $query = "SELECT * FROM members WHERE user='$user'"; 

     if (mysql_num_rows(queryMysql($query))) 
     { 
      $error = "Username already taken<br /><br />"; 
     } 
     else 
     { 
      $query = "INSERT INTO members VALUES('$user', '$pass')"; 
      queryMysql($query); 
      die("<h4>Account created</h4>Please Log in."); 
     } 

    } 
} 

J'ai juste besoin d'un exemple ou un bon guide de ce que je dois faire pour le faire fonctionner correctement.

Answer 1

Je pense que vous cherchez à saler, puis hacher vos mots de passe. Ajoutez simplement une chaîne de votre choix au début (et si vous le souhaitez, à la fin) de votre mot de passe avant de le hacher avec MD5.

par exemple.

$pass = 'mypassword'; 
$salt = 'S%gh3578'; //anything you want 
$pepper = 'w890rrk'; //anything you want 
$query = "INSERT INTO members VALUES('$user', md5('".$salt.$pass.$pepper."'))"; 
queryMysql($query); 

Cela stocker le mot de passe dans la base de données en utilisant le cryptage MD5 salé qui ne peut pas être inversé à l'aide d'une table de recherche de mots de passe communs en utilisant le chiffrement MD5 sans sel.

Pour vérifier si un mot de passe est valide, vous faites quelque chose de similaire:

$passToCheck = 'something'; 
$correctMD5 = (retrieve hash from db) 
if($salt.$passToCheck.$pepper == $correctMD5) 
{  
    //valid login 
} else { 
    //login failure 
} 

Answer 2

Vous pouvez par exemple md5 ($ pass) avant de vous insérer et lorsque l'utilisateur se connecte, vous devez à nouveau md5 et vérifier que les valeurs sont les mêmes. Il n'y a aucun moyen de dé-md5, donc vous vérifierez généralement l'entrée md5 par rapport à la valeur DB md5.