Modifier le mot de passe à partir d'un script Perso

[Soundboy39]

Re : Modifier le mot de passe à partir d'un script Perso

Merci pour la réponse,

donc j'ai fait ça :

<?php
$newpass = "coucou39";
$salt = JUserHelper::getRandomPassword(32);
$pass = JUserHelper::getCryptedPassword( $newpass, $salt);

?>

(j'ai changé le "genRandom" en "getRandom")

ça ne fonctionne pas j'ai le message d'erreur suivant :
Fatal error: Call to undefined method JUserHelper::getRandomPassword()

par contre "getCryptedPassword" fonctionne bien...

[jisse03]

Re : Modifier le mot de passe à partir d'un script Perso

(j'ai changé le "genRandom" en "getRandom")

ça ne fonctionne pas j'ai le message d'erreur suivant :
Fatal error: Call to undefined method JUserHelper::getRandomPassword()

par contre "getCryptedPassword" fonctionne bien...

Il n'y a pas de getRandomPassword, mais bien genRandomPassword en méthodes.
Tant qu'à utiliser l'API, autant ne pas inventer des méthodes qui n'existent pas

[Soundboy39]

Re : Modifier le mot de passe à partir d'un script Perso

Oui , sauf que moi en tant que bon novice bourrin j'ai d'abord testé le code sous le vérifier,
et comme ça ne marchais pas j'ai pensé que ça irais mieux avec "get" à la place de "gen"...


mais bon ça ne résout pas mon problème puisque même avec "gen" ça ne fonctionne pas,
je n'ai pas de code erreur, mais le mot de pass est toujours crypté en 1 seul partie...

je remet mon code :

$newpass = "coucou39";
$salt = JUserHelper::genRandomPassword(32);
$pass = JUserHelper::getCryptedPassword( $newpass, $salt); 

[Grand Schtroumpf]

Re : Modifier le mot de passe à partir d'un script Perso

Re

mais le mot de passe est toujours crypté en 1 seule partie

tu dis ça parce que tu fais un echo $pass; juste derrière ? Ou tu contrôles après du code susceptible de mettre le bazar ?

[Soundboy39]

Re : Modifier le mot de passe à partir d'un script Perso

nan je le vois dans la base de données, mais ce serais idem avec un "echo",
le plus troublant dans tout ça c'est que l'identification fonctionne quand même...

[jisse03]

Re : Modifier le mot de passe à partir d'un script Perso

nan je le vois dans la base de données, mais ce serais idem avec un "echo",
le plus troublant dans tout ça c'est que l'identification fonctionne quand même...

Il n'y a rien de troublant

La logique Joomla! étant de tester tous les cas de figure possible fait qu'il finit par se rabattre sur un simple md5-hex. Si une fois connecté, tu passes en modif de profil et changes le mot de passe, il va régénérer son mot de passe logique en double crypt.

[Grand Schtroumpf]

Re : Modifier le mot de passe à partir d'un script Perso

Re,

nan je le vois dans la base de données, mais ce serais idem avec un "echo",

ben non, imagine 2 secondes que la mise à jour ne se fasse pas... Fais un echos de $salt aussi pendant que tu y es...

le plus troublant dans tout ça c'est que l'identification fonctionne quand même...

non plus : si $salt est null, la forme simple md5($pwd) est supportée. C'est juste qu'elle permet une attaque de la base de donnée en aveugle par force brute (il faut déjà accéder à la base) que bloque la forme avec salt.

[jisse03]

Re : Modifier le mot de passe à partir d'un script Perso

non plus : si $salt est null, la forme simple md5($pwd) et supporté. C'est juste qu'elle permet une attaque de la base de donnée en aveugle par force brute (il faut déjà accéder à la base) que bloque la forme avec salt.

Exact, un md5 non salé est plus facile à casser, à condition déjà d'avoir un accès à la base (et si une intrusion accède à la base, elle se contrefiche largement du fait que le login de madame Michu soit salé ou pas) vu que la base entière est déjà compromise...

[Soundboy39]

Re : Modifier le mot de passe à partir d'un script Perso

tu passes en modif de profil et changes le mot de passe, il va régénérer son mot de passe logique en double crypt.

Si par mots de passe double-crypt tu entend cryptage de cette forme : "9cecbba663e80d2083527806346513b1:cWUeM4Qe1o72 wiNX 1FcEjW8Hv90OsG3L"
sache que dans mon cas il est idem que le mot de passe ait été modifié ou non...

attaque de la base de donnée en aveugle par force brute

Demain je veux ressayer en fessant des "echo", en attendant si vous avez une autre manière
d'utiliser salt i am preneur.

[jisse03]

Re : Modifier le mot de passe à partir d'un script Perso

attaque de la base de donnée en aveugle par force brute

Pour ça, il faut que l'attaquant ait l'URI de la base, un moyen d'y accéder, et que les protections ne blacklistent pas son IP après x tentatives infructueuses..

Donc chez tout hébergeur sérieux, un ensemble peu simple à obtenir..

[Soundboy39]

Re : Modifier le mot de passe à partir d'un script Perso

Bon voilà suite est fin !!

En fait je n'avais pas compris que $salt n'avait rien à voir avec le mots de pass... je m'en suis
aperçus en faisant un "echo"... (je ne fais pas assez d'echo )

Donc mon en fait une fois le $salt et le $pass générés il faut mélanger les 2 dans une variable
que l'ont renvoie dans la base de données via le SQL, et voilà je fais "tout comme Joomla" !!!

Merci pour votre aide !!