网站地图    收藏   

主页 > 后端 > 网站安全 >

分析腾讯网页登陆的加密机制 - 网站安全 - 自学

来源:自学PHP网    时间:2015-04-17 13:03 作者: 阅读:

[导读] 问题的引入:前些天,几乎是再同时,CSDN等几大门户网站用户密码被外泄了,我没有感到很惊讶。因为现在很多大型的网站对用户信息,特别是,想用户名、密码这样的信息保护不够完...

问题的引入:前些天,几乎是再同时,CSDN等几大门户网站用户密码被外泄了,我没有感到很惊讶。因为现在很多大型的网站对用户信息,特别是,想用户名、密码这样的信息保护不够完善!造成这种问题的原因是多种多样的,很多小网站本来建站的成本很低,随便找几个在校的计算机系大学生来花个几千RMB,网站就算搭建起来了。大学生的水平是参差不齐的,特别是再计算机系(关于这一点,我绝对深信不疑,DebugLZQ对自己的老本行还是略知一二的)。这样子建立起来的网站会有很多很多问题,当然包括安全问题(不是DebugLZQ装X啊,DebugLZQ看待这个问题也痛心疾首,DebugLZQ只是想陈述现实,而现实往往是残酷的!)。好吧,放下小网站不说,腾讯大家都熟悉吧!就连腾讯也不是密不透风!!!下面首先分析下腾讯网页登陆的加密机制:
      先介绍一下有关加密的信息:
      1、打开http://xiaoyou.qq.com/

 

\

           2、开启fiddler监听HTTP包



      3、登录QQ,我这里就随手写了个QQ:123456密码123456验证码efta
       
      U代表QQ号
      P代表加密后的密码
      verifycode代表验证码
      其余都是固定的,不叙述了
      要登录农场,必须要模拟发送以上数据来登录校友,而密码必须加密成如上才能通过验证。
      现在讲解一下如何把明文的1234加密成09967317CCFC266ADA83C9B1BEA30825(这么恶心的密码)
      这个是腾讯加密的JavaScript脚本 密码加密JavaScript。初步看了一下觉得相当之恶心,所以在网上搜索了半天找到的一点线索就是  3次MD5加密后转换大些+ 验证码转换大写,再次MD5加密可是我按照这方法试了得到的结果却不是正确的。百思不得其解,求助了园子里认识的朋友,他给我发了段C#的代码,确实可以得到正确的。代码如下:
using System;
using System.Collections.Generic;
using System.Text;
using System.Security.Cryptography;
using System.Text.RegularExpressions;
using System.Collections;
 
namespace QQ校友助手
{
    class QQPassword
    {
        public static string binl2hex(byte[] buffer)
        {
            StringBuilder builder = new StringBuilder();
            for (int i = 0; i < buffer.Length; i++)
            {
                builder.Append(buffer[i].ToString("x2"));
            }
            return builder.ToString();
        }
        public static string md5_3(string input)
        {
            MD5 md = MD5.Create();
            byte[] buffer = md.ComputeHash(Encoding.Default.GetBytes(input));
            buffer = md.ComputeHash(buffer);
            buffer = md.ComputeHash(buffer);
            return binl2hex(buffer);
        }
 
        public static string md5(string input)
        {
            byte[] buffer = MD5.Create().ComputeHash(Encoding.Default.GetBytes(input));
            return binl2hex(buffer);
        }
 
        public static string getPassword(string password, string verifycode)
        {
            return md5(md5_3(password).ToUpper() + verifycode.ToUpper()).ToUpper();
        }
 
    }
}
复制代码
     Encoding.Default.GetBytes(input)获取的是字符串的ASCII码。用VS跟踪调试了好久,发现问题出在C#的computehash是初级hash,得到的并不是16进制的MD5字符串,需要经过binl2hex才能转换成MD5字符串。也就是说初级hash了3次,才合并大写验证码进行最后一次MD5加密。
     知道了原理后,我参考了Lojon的Delphi源码
function Tfrm2.getKey: string;
var
  hash: T4x4LongWordRecord;
  hashstr: string;
begin
  SetLength(hashstr, 16);
  with TIdHashMessageDigest5.Create do
  begin
    hash := HashValue(edt2.Text);    //edt2.Text为QQ密码
    Move(hash, hashstr[1], 16);
    hash := HashValue(hashstr);
    Move(hash, hashstr[1], 16);
    hashstr := AsHex(HashValue(hashstr));
    Result := hashstr;
    Free;
  end;
end;
复制代码
以上代码可以得到09967317CCFC266ADA83C9B1BEA30825这加密后的字符串。
      看来腾讯也没有做的很好,也许就不存在绝对的安全!
      以此为契机,DebugLZQ将分析制作在江苏大学教学行政区的上网帮助工具,和在已知校内上网账号(学号)的前提下,破解密码的工具!请期待DebugLZQ的下两篇博文。
      题外话(因为有人乱喷):
      如果有人问我,技术人员和其他人员最大的区别是什么。我会告诉他:技术人员个个自以为是,认为别人的技术都不如自己。呵呵,可能大家不爱听,但我观察到的现象就是这样的。很少有人愿意去读别人的代码,彼此都觉得写得好烂。所以,如果想赢得技术人员的钦佩,你需要有压倒性的技术能力。这个压倒性的优势,不是下属70分,你80分,而是下属70分,你要做到100分;下属100分,你要做到150分。所以,缺乏技术能力的人去管理技术人员往往是吃力不讨好的,可能下属表面上服从你,心里根本不当你一回事儿,这样管理起来就存在障碍了。大家还是放低心态、拉下面子来潜心搞点技术吧!!!
 

自学PHP网专注网站建设学习,PHP程序学习,平面设计学习,以及操作系统学习

京ICP备14009008号-1@版权所有www.zixuephp.com

网站声明:本站所有视频,教程都由网友上传,站长收集和分享给大家学习使用,如由牵扯版权问题请联系站长邮箱904561283@qq.com

添加评论