帖子列表 - 『代码审计』知识星球

你尚未登录

未加入『代码审计』知识星球的用户只能查看少量内容，且不能下载附件。加入『代码审计』知识星球即可查看所有内容。

phith0n

2017 九月 01

@RoB:
P神，关于密码加密的问题。前端密码用不可逆算法加密，那么问题来了，服务端如何校验这个密码的合规性，比如长度数字字母组合，是不是只能JS校验或者采用可解密的算法？我对一些大型网站抓包发现他们的加密方式类似base64，应该属于服务端可解密那种吧？

这是一个很有趣的问题。登录的时候有的用可解密的加密方式，比如直接RSA，或者用RSA交换过密钥的AES；也有网站直接用md5这样的哈希算法对密码进行“加密”。前者有个典型的例子： [ 转载 ] 解开人人网登录密码的 RSA 加密 | 离别歌我博客仅有的两篇转载之一。后者也有个典型的例子：discuz 。不过后者却是没办法检测密码的合规性，所以一般有这个需求的企业都考虑用前者，或者直接在前端进行验证。另外，95%看起来像base64却又解出来是乱码的字符串，其实就是base64。只不过是加密过的，所以字符是乱的。所以你说的看到很多大型网站抓包发现他们的加密方式类似base64，我觉得应该就是后者。