Discussion :

[yacinechaouche]

Bonjour à tous,

J'ai une application web et les utilisateurs et les mots de pass sont stockés dans une base de données mysql. Pour les mdp, ils sont stockés en sha256. J'aimerais savoir s'il est possible de rechercher tous les utilisateurs qui ont un mdp 123456 ?

[NoSmoking]

Bonjour,

J'aimerais savoir s'il est possible de rechercher tous les utilisateurs qui ont un mdp 123456

si l'on traduit clairement : « puis je connaitre les mots de passe des gens qui me font confiance ? » ...ne penses tu pas qu'il s'agirait quand même d'une grave faille de sécurité ?

[yacinechaouche]

On peut faire plusieurs lectures. En tant que sysadmin j'aimerais envoyer un mail automatique à tous ces gens pour leur demander de changer leur mdp ASAP. Quant à reconnaître que si c'était possible cela consisterais une grave faille de sécurité, alors comment fonctionne les méchanismes sous-jacents de login s'il est impossible de faire correspondre le mdp en claire entré par l'utilisateur avec celui stocké dans la base ?

[Christophe P.]

Bonjour,

je ne sais pas comment fonctionne le SHA256, mais il y a peut-être un moyen. Essayez de crypter 123456 avec SHA256 puis cherchez la chaîne cryptée dans la base des mots de passe. Vous pouvez vérifier que cela fonctionne avec un compte dont vous connaissez le mot de passe.
Vous pouvez procéder de même avec un dictionnaire des mots de passe les plus utilisés.

[yacinechaouche]

Bonjour Christophe et merci pour votre réponse.

J'aimerais bien essayer mais je ne sais pas quel outil utiliser.

La fonction encrypt de mysql utilise un sel qui change la chaine donné à chaque fois. Une comparison de chaines de caractères n'est donc pas envisageable dans ce cas car le même mot de pass en claire peut avoir plusieurs (une infinité ?) de hash en SHA256 si un sel est utilisé.

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
mysql> select encrypt('123456')
    -> ;
+-------------------+
| encrypt('123456') |
+-------------------+
| OGKILNJJVJGy2     |
+-------------------+
1 row in set (0.00 sec)

mysql> select encrypt('123456');
+-------------------+
| encrypt('123456') |
+-------------------+
| RGMogKjCYuqRo     |
+-------------------+
1 row in set (0.00 sec)

mysql>

Il faut donc trouver un moyen de comprendre comment fonctionne l'authentification des mots de pass SHA256.

[mathieu]

le grain de sel correspond au 2 premiers caractères du résultat et peut être passé dans le 2e argument de "encrypt"

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
SELECT ENCRYPT("123456", "OG"); 
résultat => OGKILNJJVJGy2

https://dev.mysql.com/doc/refman/5.5...nction_encrypt

cette fonction n'utilise pas SHA d'après ce qui est indiqué dans la documentation

[yacinechaouche]

Bien vu Mathieu, je ne sais plus du tout pourquoi j'ai pensé que c'était du SHA256.