Das Passwort wird bei LotgD unverschlüsselt über das Netz übertragen und in der Login form gespeichert. Ich hab mitbekommen, dass einige User damit Schindluder getrieben haben und sich über geknackte Mailaccounts etc beschwert haben. Also wird mit dem folgenden kleinen Addon das Passwort direkt auf dem PC des Users in MD5 gehashed und ist somit nicht mehr für anderes verwendbar. Natürlich kann es immernoch abgefangen werden und für eine Replay Attacke ausgenutzt werden, wenn sich ein Angreifer damit auskennen sollte . Netter Nebeneffekt, das Passwort wird nicht mehr im Login Form gespeichert. Da viele User von mir aus der Schule spielen ist das sehr nützlich.
Los geht's
1. Datei md5.js in das Templates Verzeichnis speichern
2. common.php öffnen
suche
$this->bbcode_second_pass_code('', '
$script.="<script language=\"JavaScript\" type=\"text/javascript\">
')
ersetze mit
$this->bbcode_second_pass_code('', '$script.='<script language="JavaScript" type="text/javascript" src="templates/md5.js"></script>';
$script.="<script language=\"JavaScript\" type=\"text/javascript\">')
3.index.php öffnen
suche
$this->bbcode_second_pass_code('', 'output("<form action='login.php' method='POST'>"')
ersetze mit
$this->bbcode_second_pass_code('', '$encoded_password_transfer_script = 'onSubmit="document.forms.loginform.hidden_pw.value = calcMD5(document.forms.loginform.password.value);document.forms.loginform.password.value=\'\';"';
output("<form action='login.php' name='loginform' method='POST' $encoded_password_transfer_script><input type='hidden' name='hidden_pw' />"')
3. Login.php öffnen
suche
$this->bbcode_second_pass_code('', '
$sql = "SELECT * FROM accounts WHERE login = '$HTTP_POST_VARS[name]' AND password=MD5('$HTTP_POST_VARS[password]') AND locked=0";
')
ersetze mit
$this->bbcode_second_pass_code('', '$sql = "SELECT * FROM accounts WHERE login = '$HTTP_POST_VARS[name]' AND password='$HTTP_POST_VARS[hidden_pw]' AND locked=0";')
Das sollte es gewesen sein. Ich hoffe das passt in die Standarddistribution noch rein, ich weiß mittlerweile nicht mehr genau wo wir schon was geändert haben und wo nicht.
| Dateianhänge: |
Dateikommentar: MD5 Javascript Bibliothek entpacken
md5.zip [2 KIB]
646-mal heruntergeladen |