Hỏi về lospwt.php - .:: HVAOnline ::.

English | Vietnamese

Rules

Main Forum

Portal

Member Listing

Statistics

Search

Reading Room
[Register]

Login [ | https ]

Forum Index

Thảo luận thâm nhập

Hỏi về lospwt.php

[Question] Hỏi về lospwt.php	12/06/2011 08:14:52 (+0700) \| #1 \| 240385

havuanhle
Member

Joined: 27/03/2011 01:32:03
Messages: 4
Offline

Các bác cho em hỏi nè. Đang "tìm hiểu" cái forum của đứa bạn, thấy cái phần lostpwd ý, khi yêu cầu quên mật khẩu, thì có mail xác nhận gửi về cho mình, với đường link có dạng như sau:
http://myforum.com/forum/login.php?a=pwd&u=21&i=025c1fbbced50ce22f44b45686050c6904c89d7f
Trong đó 21 là thứ tự thành viên, còn 40 kí tự sau cùng, nó ở đâu ra các bác nhỉ smilie

các bác chỉ dùm em với smilie

Mỗi lần gửi yêu cầu thì 40 kí tự đó lại thay đổi, nó không cố định smilie

[Question] Hỏi về lospwt.php	12/06/2011 18:59:16 (+0700) \| #2 \| 240469

jin9x
Member

Joined: 18/05/2009 21:32:11
Messages: 28
Location: đâu đó
Offline

ơ bạn này hay, vd nếu bạn có id nick admin là 1, cái chuỗi sau cố định để mình phục hồi lại được nick admin ấy hả
nó phải thay đổi và được lưu vào dữ liệu, phải là thành viên id 21 truy cập vào đúng cái link đó mới yêu cầu thay đổi mật khẩu được, đảm bảo tính bảo mật

tiền là giấy ,thấy là lấy ...

[Question] Hỏi về lospwt.php	25/06/2011 01:09:52 (+0700) \| #3 \| 242054

havuanhle
Member

Joined: 27/03/2011 01:32:03
Messages: 4
Offline

jin9x wrote:

ơ bạn này hay, vd nếu bạn có id nick admin là 1, cái chuỗi sau cố định để mình phục hồi lại được nick admin ấy hả
nó phải thay đổi và được lưu vào dữ liệu, phải là thành viên id 21 truy cập vào đúng cái link đó mới yêu cầu thay đổi mật khẩu được, đảm bảo tính bảo mật

Em vẫn chưa hiểu lắm ý. Link em nhận được qua mail, đem copy qua máy khác vẫn vào được bác ạ. Vậy 40 kí tự sau cùng nó "mọc" đâu ra nhỉ smilie

Khi mình yêu cầu đổi mật khẩu, rồi lại gửi thêm yêu cầu nữa nó vẫn cho link, vẫn cấu trúc ấy nhưng 40 kia tự sau lại khác. Truy cập vào chỉ 1 trong hai được cả (nếu vào cái này rồi thì không vào được cái kia). Còn việc phải thành viên ID 21 truy cập vào link đó thì... hihi ai mà biết được người click vào link là ai đâu mà smilie

Ý em là tìm xem cái phần quên mật khẩu này có khai thác được gì không, với dạng thức cấp lại mật khẩu như trên, nếu nhại được nó thì có thể đổi tất cả các pass của các thành viên trang diễn đàn. Chỉ cần thay đổi ID và hểu được 40 kí tự sau cùng nó có từ đâu ý smilie

Em nói sai chỗ nào các bác thông cảm giùm nha smilie

[Question] Hỏi về lospwt.php	25/06/2011 22:14:25 (+0700) \| #4 \| 242110

khigiadano
Member

Joined: 27/02/2008 18:20:56
Messages: 370
Location: http://aspx.vn
Offline

Khi bạn tiếp hành đổi mất khẩu thì FORUM sẽ tạo cho bạn 1 session đổi mật khẩu trong trong vòng 24h.
Nó tạo ra 1 chuỗi ký tự ngẫu nhiên hoặc theo 1 thuật toán nào đó dựa trên thông tin hiện tại của user đó.
Chuỗi này sẽ gửi kèm vào link trong email gửi cho bạn và lưu trong CSDL.
Trong vòng 24h nếu bạn click vào link trong mail tức là gửi đến forum thông điệp reset pass cho user có ID là ... và chuỗi ký tự của session đổi mật khẩu là ....
forum sẽ kiểm tra trong CSDL có tồn tại và khớp user ... có chuỗi session đổi mật khẩu giống hay không.
Nếu giống thì mới gửi tiếp 1 mail cấp lại password mới.
Đoạn chuỗi này chỉ thấy được trong email.
bạn không có email của họ thì có lẽ không thể lấy được pass được rồi.

Yahoo ID: khigiadano - Tel: 0907.870.676 - Email: khigiadano@gmail.com
Mình rất kém, vào đây học hỏi kinh nghiệm thôi...

Go to:

Users currently in here
1 Anonymous