VMSR Betatest Bugreport

[NeoGriever]

- Das Global-Pranger-System steht noch in den Sternen. Ist alles im moment noch Theoretisch.
- Verlinkung ist mit Absicht nicht drin.
- Das VMS-R wird derzeit nur mit Klammanbindung angeboten. Bin mir auch nicht sicher, ob ich eine Version ohne Klammanbindung hinkrieg.

[auron2008]

- Das VMS-R wird derzeit nur mit Klammanbindung angeboten. Bin mir auch nicht sicher, ob ich eine Version ohne Klammanbindung hinkrieg.

Ich hoffe du meinst das jetzt zeitmäßig und nicht programmiertechnisch.

[eaxo]

[...]
- Verlinkung ist mit Absicht nicht drin.
[...]

Echt, warum?

Hab grad das VMS-R nicht zur Hand, aber im VMS hatten wir

if (in_array($_SESSION[uid], $teamIDs)) {
//    Adminmenue
} 

oder so ähnlich...

[BlueMar-Visions]

Schau mal hier : http://www.designerscripte.net/showt...28TUT%29/page6

vllt hilft es Dir weiter...

MFG

[NeoGriever]

Zeitmäßig.

Und darüber hinaus weiß ich schlichtweg nicht, welche Klammanbindungs-Punkte da beachtet werden müsten, damit dies entfernt/ausgeschaltet werden könnte.

Würde dafür nämlich keine separate Version rausbringen, sondern eine Option im Adminbereich zur Verfügung stellen.

[marcaust]

Hi

ich hab mir eben mal das Teil runter geladen und in ner Testumgebung installiert.
Optisch sieht es aufgeräumt aus, allerdings bin ich nach der Installation über die Datei VMSR.EasySetup.v2.3.2.ftp.php nicht mehr ins Admin gekommen. Nach etwas Suche hab ich dann raus gefunden das es beim anlegen nur nicht verschlüsselt wird.

Nicht so prickelnd find ich das Admin Passwort dann noch als Klartext im Global Log gefunden habe. Das sollte bitte nachgebessert werden.

[NeoGriever]

Oha. Sry. Wird alles direkt korrigiert. :/

Nobody is perfect. Danke für den Bugreport.

[NeoGriever]

Die Verlinkunt ist drin. Oben steht "Startseite" usw, welches nebeneinander steht. Diese führen zur Startseite.

Das mit den Admins wird eh noch auf die User-Datenbank übertragen. Genauso wie die User-Passwörter ohne SALT (weiterhin auf MD5), aber besser verschlüsselt werden. Man erreicht dies schon, indem man an das Passwort einfach ein weiteres Wort oder irgendwas dranhängt. Beispiel:

md5("12345") = 827ccb0eea8a706c4c34a16891f84e7b = http://www.md5-hash.com/md5-hashing-...34a16891f84e7b

Aber:

md5("12345" . "_g98w234b50db8b88") = aa93e00a0cdfcd3f5c72ec6f1dd1e2e1 = http://www.md5-hash.com/md5-hashing-...72ec6f1dd1e2e1

Ist einfach und sehr effektiv. Und wenn jeder ein anständiges Passwort hat, würde das ganze schon ziemlich sicherer gegenüber der normalen md5-verschlüsselung sein. Und das trotz ungenutztem SALT.

[VMS1]

Aber:

md5("12345" . "_g98w234b50db8b88") = aa93e00a0cdfcd3f5c72ec6f1dd1e2e1 = http://www.md5-hash.com/md5-hashing-...72ec6f1dd1e2e1

Ist einfach und sehr effektiv. Und wenn jeder ein anständiges Passwort hat, würde das ganze schon ziemlich sicherer gegenüber der normalen md5-verschlüsselung sein. Und das trotz ungenutztem SALT.

Wie sagt man so schön? Sicherer Eindruck bei völliger Ahnungslosigkeit?
Kann das sein das du überhaupt nicht weißt was mit salt gemeint ist? Du scheinst "SALT" irgendwie für eine eigene Verschlüsselung zu halten oder so.

md5("12345" . "_g98w234b50db8b88") 

ist nichts anderes als

md5($passwort.$salt) 

Normalerweise sollt man das salt noch dynamisch gestalten, bringt aber nicht viel bei einem frei zugänglichen Script.

[NeoGriever]

Was bringt dann ein Salt bei einem frei zugänglichem script?

Mal davon abgesehen. 12345 ist in vielen md5-hashtables vorhanden. wenn man aber was zufälliges hinten dranhängt, sieht die ganze sache schon wieder anders aus.

Zur not schriebe ich eine bitwise-operation-funktion dazu, welche das pw vor dem md5 mit diversen bitshiftings und umrechnungen in ein bytearray umwandelt.

Aber meine Variante ist hingegen schon einigermaßen sicher. Weil alle pw's, die es online in hashtables gibt, wird man so in den hashtables nicht mehr finden und man müsste von 0 beginnen als hacker. Das ist die Idee, die dahinter steckt.

Edit:
Mir wurde hier erklärt, dass md5 mit salt ne ziemliche umstellung der funktionen wäre.