Das längste Thema

Zitat von H6G

foo;alert('xss')

Ich glaube die Anführungszeichen werden escaped, und die Variablenreihenfolge ist falsch.

Siehe: https://jsfiddle.net/j0yx6a7z/

Funktioniert noch nicht:

Das ist code von Response (die ich bis jetzt übersehen )

<?php
    if (isset($_GET["q"])) {
        $par = $_GET["q"];    
    } else {
        $par = "";
    }
    print "{'response':'$par'}";
?>

Hab es hinbekommen - musst man wirklich in der reponse Funktion sehen - hatte die eval falsch interpretiert, aber wenn man ein wenig überlegt - ist es logisch das man Zuweisung nicht manipulieren kann, sondern den übergeben Code

'};alert("XSS");//

Hand auf Herz! Wer kannte die Frage „Muss man Dir immer alles dreimal sagen?“ als Kind nicht?

Heute geht Thunderbird auf Nummer sicher:

dreimal.png

Zitat von m_ueberall

Hand auf Herz! Wer kannte die Frage „Muss man Dir immer alles dreimal sagen?“ als Kind nicht?

Heute geht Thunderbird auf Nummer sicher:

dreimal.png

Tja, geheim ist eben geheim! Da könnte ja jeder kommen!

Manche Websites / Anbieter sind echt selten dämlich…

Fehler: keine Großbuchstaben im Passwort.

Ok, habs geändert.

Fehler: keine Sonderzeichen im Passwort.

Ok, habs geändert.

Fehler: Keine Zahlen im Passwort.

Ok, habs geändert.

Zehn Minuten später:

Fehler: Das Passwort darf maximal 16 Zeichen lang sein.

EDIT: Was ich auch nie verstehe ist, warum manche Websites, wenn ich ein 32 Zeichen langes Passwort mit Sonderzeichen, Groß-/Kleinbuchstaben und Zahlen benutze, die sagen "Sehr sicheres Passwort". Aber wenn ich dann noch meinen Benutzernamen zusätzlich hinten dranhänge, dann ist es plötzlich ein "Sehr unsicheres Passwort". Wieso sollte denn das ZUSÄTZLICHE ANHÄNGEN des Benutzernamens das Passwort unsicherer machen? o0

Wenn man keine Sonderzeichen nutzen darf werd ich immer wild bei sowas lol

Zitat von tab

Tja, geheim ist eben geheim! Da könnte ja jeder kommen!

Ich habe doch nicht Informatik studiert, um mich von solchen Fehlermeldungen von der Sichtung des geschützten Inhalts abhalten zu lassen …

Zitat von mfnalex

Was ich auch nie verstehe ist, warum manche Websites, wenn ich ein 32 Zeichen langes Passwort mit Sonderzeichen, Groß-/Kleinbuchstaben und Zahlen benutze, die sagen "Sehr sicheres Passwort".

Weil die Websites exakt das tun, wie sie programmiert wurden.

Wenn string.contains(username) auslöst, dann ist das ein harter Ablehngrund, statt einer Bewertung die nacher aufsummiert wird.

Und der Rest ist halt prozedural. Vieles kann man aber im Frontend bereits abfangen.

Zitat von RAD750

Wenn man keine Sonderzeichen nutzen darf werd ich immer wild bei sowas lol

Oder nur bestimmte Sonderzeichen (Looking at you, Deutsche Post DHL).

! ist in Ordnung, aber # ist in unserem System nicht erlaubt. WTF?

Zitat von H6G

Weil die Websites exakt das tun, wie sie programmiert wurden.

Wenn string.contains(username) auslöst, dann ist das ein harter Ablehngrund, statt einer Bewertung die nacher aufsummiert wird.

Ja, aber das ist doch dämlich. Die könnten doch besser den Usernamen entfernen und dann prüfen, ob es ein sicheres Passwort ist.

Wenn string.replace(username, "") sicher ist, ist es auch mit angehängtem Usernamen mindestens genau so sicher

Hab ich jetzt auch schon häufiger gesehen, speziell bei Webseiten von Spielen oder ähnliches, dass die nur Passwörter von 8 bis 10 Zeichen zulassen. Stimmt mich immer etwas traurig.

Zitat von mfnalex

Ja, aber das ist doch dämlich. Die könnten doch besser den Usernamen entfernen und dann prüfen, ob es ein sicheres Passwort ist.

Das würde aber mehr Arbeit bedeuten

des einen Freud des anderen Leid;

ich habs nicht so mit Sonderzeichen;

das erhöht mir die Sicherheit zu wenig als deren Zwang sie verwenden zu müssen einen Sinn geben würde ...

Zitat von Valkyrie

Das würde aber mehr Arbeit bedeuten

Naja, geht. Mal als Beispiel in Java, weil ich PHP nicht mag:

Anstatt dem:

    public boolean isSecureEnough(String password, String username) {
        if(!containsSpecialChars(password)) return false;
        if(!containsUppercase(password)) return false;
        if(!containsLowercase(password)) return false;
        if(!containsNumber(password)) return false;
        if(password.contains(username)) return false;
        return true;
    }

einfach folgendes:

    public boolean isSecureEnough(String password, String username) {
        password = password.replace(username, "");
        if(!containsSpecialChars(password)) return false;
        if(!containsUppercase(password)) return false;
        if(!containsLowercase(password)) return false;
        if(!containsNumber(password)) return false;
        return true;
    }

Wäre jetzt also nicht soooo aufwendig

mfnalex was würdest Du dir denken, wenn Du einen Quellcode warten müsstest,

und folgendes dabei vorfinden würdest

(a) if ( !isSecureEnough( password, username ) )

im Vergleich dazu

(b) if ( !isSecureEnough( password ) )

ich würd ma bei (a) denken: "was ist das für ein Pfusch?"

Zitat von mfnalex

Wäre jetzt also nicht soooo aufwendig

Der 08/15 Programmierer verwendet dafür doch bestimmt eine Library.

Zitat von mainziman

(a) if ( !isSecureEnough( password, username ) )

im Vergleich dazu

(b) if ( !isSecureEnough( password ) )

ich würd ma bei (a) denken: "was ist das für ein Pfusch?"

switch(username) {
 case "mainziman":
 return true
}

Zitat von mfnalex

Manche Websites / Anbieter sind echt selten dämlich…

Fehler: keine Großbuchstaben im Passwort.

Ok, habs geändert.

Fehler: keine Sonderzeichen im Passwort.

Ok, habs geändert.

Fehler: Keine Zahlen im Passwort.

Ok, habs geändert.

Zehn Minuten später:

Fehler: Das Passwort darf maximal 16 Zeichen lang sein.

Alles anzeigen

Ja, so mache ich den Nutzern auch immer das Leben schwer:

nitram

die Programmiersprache zeigst mir die den Quark unterstützt

des schaffst net a mal mit FORTRAN

Zitat von mainziman

(a) if ( !isSecureEnough( password, username ) )

(b) if ( !isSecureEnough( password ) )

Logischerweise benötigt die Funktion unabhängig davon aber vollen Zugriff auf die Passworttabelle, um sinnvolle Fehlermeldungen wie „Dieses Passwort wird bereits von Nutzer 'mainziman' verwendet, bitte wählen Sie ein anderes!“ ausgeben zu können …

(Totschlagargument gegen die Verwendung von Nicht-Klartext-Speicherung)

Zitat von mfnalex

Wäre jetzt also nicht soooo aufwendig

Du hast den Job!

m_ueberall die Hashes sollten reichen, und dann bekommst richtig Ärger,

wenn jemand zufällig eine Kollision 'veranstaltet'