7 svar · 395 visningar · startad av MickeA.com
Tjena!
På mitt webhotell (Loopia) har jag en mapp som jag ligger lösenordsskyddad av IIS.
I rooten i denna mapp finns en .htaccess samt en .htpasswd.
Nu undrar jag om jag kan använda anv. namnen samt lösenorden i dessa filer med ASP på något sätt.
Tex. för att visa viss information för vissa personer och ge dessa olika rättigheter på vad som får göras osv. utifrån vem som loggar in?
Således slipper jag alltså använda ytterliggare ett inloggningsscript.
Funkar det här?
Tack!
menar du att man måste verifiera sig varje gång man vill göra sågot eller om man ska få tillgång till något? Jag kan inte svara dig på vad du vill ha men på en av mina sidor använder jag Session-cookies för att kolla om en användare är inloggad samt en annan sessions-cookie där användarens rättigheter finns...
I min databas har jag sparat användarna i grupper och dessa grupper har olika rättigheter...
htaccess är en Apachespecifik funktionalitet. Det finns väl inget som hindrar dig från att använda det i ett ASP-script, det är vanliga textfiler, men något säger mig att det inte är det du vill.
Hmm, jo, jag vet att den används till bla. Apache, men i det här fallet till IIS.
Hur som helst, jag har eg. inte tänkt använda det här till något, är mest nyfiken på om det är möjligt.
I passwd-filen lagras ju användarnamnen + ett ruggigt krypterat lösenord.
Min idé var alltså att läsa in .pass-filen i en FSO, återskapa lösenordet och sedan jämföra mot en databas el. liknande.
Så, jag vill mest veta om det överhuvudtaget är möjligt.
Tja, om du kan dekryptera lösenordet så är det ju inga problem. Har du nyckeln?
@nders skrev:
Tja, om du kan dekryptera lösenordet så är det ju inga problem. Har du nyckeln?
Det var den tanken jag redan tänkt, fast jag misstänker att det är snudd på omöjligt, eftersom hela grejen med låsta mappar skulle kännas lite onödig om det var plättlätt att dekryptera.
använd hasning då!
Du kan läsa mycket på https://www.swesecure.com om detta...
Om man hashar så ska det inte vara möjligt att dekryptera... Nu finns den en dekrypteringsalgoritm för MD5-hashning men den tar timmar att utföra för varje lösenord...
Om du använder anvndarsalt och systemsalt till dina hashade lösenord är de 100% säkra...
Dock inte ifrån "dictionary attacks" som gå ut på att man gissar lösenordet...
Om du vill verifiera en avnändares lösenord så krypterar du indatan likadant som du gjorde när du sparade lösenordet i en databas eller liknande...
säkert alltså :)
Lösenorden i htpasswd är hashade. (Men nej, inga lösenord blir någonsin 100% säkra.)
