UCenter密码算法规则和生成方法
作者：williamlong 来源：月光博客 发布时间：2009-09-11 12:47:00
康盛的系列产品，包括Discuz、UCHome、Supesite都集成了同一个用户系统——UCenter，用户登录的密码也保存在UCenter中，对于其他系统集成或导出数据到UCenter系统，通常会遇到密码生成的问题，这里就讨论一下UCenter的用户密码算法规则和生成方法。
密码通常使用MD5对用户密码HASH后保存在数据库中的方法，如果黑客拿到了这个HASH数值，那么可以采用字典的方式暴力破解，如果这个字典数据库足够大，并且字典比较符合人们的设置习惯的话，那很容易就能破解常见的密码，因此UCenter采用了salt来防止这种暴力破解，salt是一随机字符串，它与口令连接在一起，再用单向函数对其运算，然后将salt值各单向函数运算的结果存入数据库中。如果可能的salt值的数目足够大的话，它实际上就消除了对常用口令采用的字典式攻击，因为黑客不可能在数据库中存储那么多salt和用户密码组合后的HASH值。
UCenter的创始人密码是保存在文件中的，打开uc下面/data/config.inc.php文件，里面的UC_FOUNDERPW保存的就是密码，而UC_FOUNDERSALT保存的是SALT数值，创始人密码的创建规则是：UC_FOUNDERPW=md5（md5（PASSWORD）.UC_FOUNDERSALT），就是先将密码MD5，然后添加salt，然后再次MD5，产生的HASH数值保存在config.inc.php文件中，因此修改UC_FOUNDERPW里面的数值就可以修改UCenter的创始人密码。
UCenter的用户信息是保存在uc_members表中，在这个表中，每个用户都有一个不同的随机salt字段，表中的password字段为计算后的密码，密码计算规则是$password=md5（md5（$password）.$salt），也就是将用户的密码MD5后，添加salt，然后再MD5，保存在password字段中。
因此，如果进行不同系统的数据转换，可以根据这个原理，将其他系统的用户名和密码计算后，导入UCenter的uc_members表中，实现用户的迁移。例如，如果原有系统使用的是md5（password）这样的算法保存密码，那就通过程序随机生成salt，然后计算两者累加后的md5，这样就很容易计算出这个用户在UCenter中的用户密码HASH值，从而实现用户的无缝迁移。
不过，如果原有系统使用的是md5（password+salt）的方式保存的密码，那就无法实现密码的平滑迁移UCenter了，即使迁移，也只能人为将其UCenter的password增加一个salt才能使用，因此，我们在平时设计系统用户密码的时候，应该尽量采用md5（md5（password）+salt）的方式保存密码，这样才能方便的实现和UCenter的接口，并且保证了安全性，通常对于英文用户名来说，自建系统使用username来做salt是个简便的方法。
0
投稿猜你喜欢
- 漫游(Manyou)开放平台是康盛创想(Comsenz)为第三方应用开发者提供的开放平台。漫游开放平台一端联系着数百个第三方应用开发者，一端
- 自己做站几个月了，还是个高中生，也没太多时间，所以属于新手中的菜鸟，什么也不懂，如果说的不对，还希望大家能够指正。谢谢。.第一次做站记得是个
- 2009年到了，简单谈一下网址站的一些方向。域名&空间：由于网址站不会占用很大的服务器空间，但是要求有很快的速度，所以在购买虚拟空间
- 网站结构您首先需要考虑的就是： 是否需要为您想开展业务的所有有关国家购买针对各个国家的顶级域名（TLD）。如果回答是肯定的话，您的域名可以选
- 先来看一段引文：谷歌、雅虎和live search 宣布支持Link的一个新属性Canonical，为网页指定权威链(authoritati
- 本文主要讲述如何分析Web服务器记录，在众多记录里查找黑客攻击的蛛丝马迹，并针对当今流行的两类Web服务器给出具体的一些实例。现今的网络，安
圣诞节的脚步可是越来越近了，最近福布斯网站就盘点了一下2008年度最受欢迎的十大圣诞礼物。而夺冠者并不让我们感到意外，那就是任天堂的Wii游- 3、 MIME 绑定WSDL包含了以某种MIME格式将抽象类型与具体消息绑定在一起的方式。为下列MIME类型定义了绑定：multipart/
- 11月12日消息，据国外媒体报道，美国消费电子产品协会（以下简称“CEA”） 周二宣布，高通CEO保
- 相信大家都受过病毒煎熬，下面是我从自学编程网转载过来，看了，觉得不错，所以特来献给站长朋友,入侵检测既是一项非常重要的服务器日常管理工作，也
- 现在meta标签中的keywords和description在搜索引擎中的地位已经越来越低，原因归咎起来，基本上是由SEO和站长们堆砌关键字
- 输入字母验证码，俺觉得特烦，特别还要输入大写字母。于是找到文件并修改成数字验证码。修改文件 验证码文件位置include\validatei
- 很多电影网站，论坛或其它机构为了方便会员或成员上传电影或者交流文件，都允许用户的上传权限，因为只有允许这个权限，用户才可以上传文件，但这个权
- 网站推广，说简单点就是告诉网站目标群体，为什么要有这个网站，网站的内容是什么，她会给你带来什么好处。作为网站推广者，就必须知道：1、 目标群
- 你的网站是不是常常被黑，或者一不注意就成了黑客的“肉鸡”?对于Web网站服务器来说，如果不进行安全设置，很容易被黑客“盯上”，随时都有被入侵
- 每一个“网络草根”，至少有10种方法，分别可以达到月赚3000。是的，月赚3000并没有什么，我现在也基本用不着这些方法，但对于某些有志之士
- 快速配置Vsftp前言，Vsftp是一种相当安全的ftp服务器，而且vsftp成为RH8.0与9.0的标准ftp服务器。本文用实验的方法快速
- 终端服务是在Windows NT中首先引入的一个服务。终端服务使用RDP协议(远程桌面协议)客户端连接，使用终端服务的客户可以在远程以图形界
- 问：目前哪些 Flash 文件能更好地被谷歌索引到呢？我们改善了对所有类型 SWF 文件中的文字内容的索引能力，其中包括像按钮或菜单这样的
- 原来先申请的Godaddy主机，后来申请的独立ip。主机会自动提示续费，而独立ip没有提示。续费方法：登陆后一下，进去“My Action”
