diablo

1 - je n'ai pas dis que le cracker avait accès à ta bdd, une simple faile xss, ou un SQL injection peut suffire à afficher le contenu d'une table.
2 - je ne vois pas trop comment en ayant accès à une bdd on prend le controle systématique d'un site, enfin ça dépend du site il est clair qu'un nucked avec une bdd non sécurisée est dead mais pour les sites persos je ne vois pas trop...

Mais bon je peut me tromper, je ne connais pas non plus toute les facettes des MySQL...

Bzh

C'est bien ce que je te dis !

S'il y a possibilité d'injecter du SQL, c'est qu'il y a un tit souci quelque part !

Maintenant, je ne vois pas comment une attaque XSS (qui si je ne me plante pas, se fait coté client puisqu'il s'agit d'injecter du javascript ) pourrait choper les passes de tes membres ! Seulement les cookies !

i M@N

Hello.


Si j'ai accès à ton site et à ta base, si je vois des pass cryptés je cherche le script qui crypte dans ton site avant toute chose ... mais bon ... le md5 d'un pass d'une longueur correcte (8-10 caractères chiffres et lettres) faut un sacré bout de temps pour le décrypter en brute force (un temps pas humain ou alors t'as les servers de la NASA qui travaillent pour toi).

Ben XSS : tu récupères le cookie de l'admin et tu te sers des infos pour te faire passer pour lui ... compliqué mais ça peut fonctionner.

@+...

raphlight

ah zut, parcequ'en plus y'a des hackeur spécialisé en crack MySQL ???

LA GLOBULE

Ben le plus simple, c'est de passer root sur la box et de chopper la base, et la, md5 ou pas, tu choppes toutes les infos que tu veux.

Bzh

Oui, donc pour en revenir (le sujet n'était pas comment hacker un serveur MySql ), hacher les pass dans la bdd c'est simplement par respect pour tes membres et surement pas pour un souci de sécurité pour ton site !

diablo

Parle pour toi ;p

Mais sérieux, le hash des pass SQL est bien sur le plus souvent utilisé pour le respect des membres, mais bon un excès de sécurité n'a jamais fait de mal à personne.

diablo

Sorry pour double post mais je viens de me rappeler d'un truc, je me trompe peut-être mais la dernière version de MySQL n'utilise-t-elle pas un autre mode de stockages des pass ?
Je me rappel juste que dans ma config j'avais vu une ligne du genre, old-password, bon je sais pas trop si il y a un rapport avec le sujet...

voldemort09

Mais comment on fait pour trouver le mot de pass MD5 de quelqu'un sur un site a part avec les injection MySQL ?

Bzh

Aucune ! À moin, et c'est une faille, qu'à un moment ou un autre, tu sors et affiche quelque part le md5 du mot de passe !