PHP 探测任意网站密码明文/加密手段办法： md5('240610708') == md5('QNKCDZO')

[est]

var_dump(md5('240610708') == md5('QNKCDZO'));
var_dump(md5('aabg7XSs') == md5('aabC9RqS'));
var_dump(sha1('aaroZmOk') == sha1('aaK1STfY'));
var_dump(sha1('aaO8zKZF') == sha1('aa3OFF9m'));
var_dump('0010e2' == '1e3');
var_dump('0x1234Ab' == '1193131');
var_dump('0xABCdef' == ' 0xABCdef');

感觉这个不科学啊

https://news.ycombinator.com/item?id=9484757

[codejay]

这不是两个字符串比较吗 为什么要转换成数字

[wy315700]

@codejay php会转义一部分字符串到数字的。。。

[gDD]

@est @raincious 不一定，我所有判断都用 === 或者 !== 判断，只有不专业选手用 == 判断才会出你说的脑洞…

[gDD]

还有判断密码，secret 等要用 hash_equals()，直接用 === 会出 Timing Attack 漏洞的。

[lincanbin]

@gDD hash_equals版本要求太高了，只能自己项目用着玩，开源项目用不了。

[gDD]

@lincanbin 开源项目我觉得反而更容易解决，composer 一个 symfony security core 就好，里面有 hash_equals 的 shim，反而是公司内没用 composer 管理的的私有项目比较难维护。

[noanti]

这是php的feature?
php还真是最好的语言。。。

[tSQghkfhTtQt9mtd]

password_hash() 路过......

[belin520]

md5,加盐,md5,取前30位

[xiaozi]

这完全是没有 ===，如果是 ===， 根本就没办法检测吧。

[lyf362345]

@yangff 好大

[lyf362345]

@est 这个有意思

[est]

@gDD wordpress专业不？

[invite]

从另一方面印证了：PHP 是全宇宙最牛逼的语言。

[barbery]

官方都建议直接用password_hash加密，用md5还不加salt，我就真的没话说了

[Jaylee]

搞不懂这个贴子为啥到处都是，做PHP的人基础都这么差？ 都没看过手册？

[est]

@Jaylee 这个bug是最近wordpress爆出来的。。你是想说wordpress的人基础差么。。。

[Kabie]

@est 基础好的人用PHP吗。。。

[RIcter]

http://www.wechall.net/challenge/noother/php0818/index.php?highlight=christmas
http://www.wechall.net/challenge/php0815/index.php

[kofj]

楼主的语法有问题.fix:探测任意php网站密码明文/加密手段办法