यह PHP नॉन लाइब्रेरी कैसे काम करता है?



hash cryptography (1)

Http://fullthrottledevelopment.com/php-nonce-library#download से , एक PHP नॉन लाइब्रेरी है, लेकिन कुछ ऐसी चीजें हैं जिन्हें मैं समझ नहीं पाया। पहला यह है कि यह हमें FT_NONCE_UNIQUE_KEY लिए एक मान सेट करने की याद दिलाता है, लेकिन यह अपने किसी भी कार्य में कभी इसका उपयोग नहीं करता है

दूसरी बात यह है, जब मैं ft_nonce_create_query_string फ़ंक्शन कॉल करता ft_nonce_create_query_string , कुछ सेकंड के लिए प्रतीक्षा करें और फिर इसे एक ही पैरामीटर के साथ फिर से कॉल करें, दोनों कॉल एक ही मान लौटाते हैं यह अजीब है, मैं वास्तव में समझ नहीं पा रहा हूं कि यह किस प्रकार उत्पन्न करता है, यह सुनिश्चित करने के लिए कि यह FT_NONCE_DURATION में निर्धारित अवधि के लिए वैध नहीं होगा।

लेकिन अगर मैं दूसरे कॉल से पहले लंबे समय तक प्रतीक्षा करता हूं, तो वे अलग-अलग मूल्य वापस कर देंगे। मैंने यहां कोड चिपकाए हैं ताकि आप इसे सीधे चलाने की कोशिश कर सकें।

यह इस तरह क्यों है? यह कैसे काम करना चाहिए?

<?php
/*
 * Name: FT-NONCE-LIB
 * Created By: Full Throttle Development, LLC (http://fullthrottledevelopment.com)
 * Created On: July 2009
 * Last Modified On: August 12, 2009
 * Last Modified By: Glenn Ansley ([email protected])
 * Version: 0.2
 */

/* 
Copyright 2009 Full Throttle Development, LLC

This program is free software; you can redistribute it and/or modify
it under the terms of the GNU General Public License as published by
the Free Software Foundation; either version 3 of the License, or
(at your option) any later version.

This program is distributed in the hope that it will be useful,
but WITHOUT ANY WARRANTY; without even the implied warranty of
MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
GNU General Public License for more details.

You should have received a copy of the GNU General Public License
along with this program.  If not, see <http://www.gnu.org/licenses/>.
*/

define( 'FT_NONCE_UNIQUE_KEY' , '' );
define( 'FT_NONCE_DURATION' , 300 ); // 300 makes link or form good for 5 minutes from time of generation
define( 'FT_NONCE_KEY' , '_nonce' );

// This method creates a key / value pair for a url string
function ft_nonce_create_query_string( $action = '' , $user = '' ){
 return FT_NONCE_KEY."=".ft_nonce_create( $action , $user );
}

// This method creates an nonce for a form field
function ft_nonce_create_form_input( $action = '' , $user='' ){
 echo "<input type='hidden' name='".FT_NONCE_KEY."' value='".ft_nonce_create( $action . $user )."' />";
}

// This method creates an nonce. It should be called by one of the previous two functions.
function ft_nonce_create( $action = '' , $user='' ){
 return substr( ft_nonce_generate_hash( $action . $user ), -12, 10);
}

// This method validates an nonce
function ft_nonce_is_valid( $nonce , $action = '' , $user='' ){
 // Nonce generated 0-12 hours ago
 if ( substr(ft_nonce_generate_hash( $action . $user ), -12, 10) == $nonce ){
  return true;
 }
 return false;
}

// This method generates the nonce timestamp
function ft_nonce_generate_hash( $action='' , $user='' ){
 $i = ceil( time() / ( FT_NONCE_DURATION / 2 ) );
 return md5( $i . $action . $user . $action );
}

if ( FT_NONCE_UNIQUE_KEY == '' ){ die( 'You must enter a unique key on line 2 of ft_nonce_lib.php to use this library.'); }
?>

वाह, इस पुस्तकालय का उपयोग न करें मैं इसे इस पोस्ट के बाद एक भेद्यता के रूप में रिपोर्ट करने जा रहा हूं। एक नॉन एक मूल्य है जो केवल एक बार उपयोग किया जाता है, और यह लाइब्रेरी इस प्रदान करता है। फिर भी, लेखक क्रॉस साइट अनुरोध फ़ोर्जियों (एक्सएसआरएफ) को रोकने की कोशिश कर रहा था। हमलावरों को एक संदेश बनाने से रोकने के लिए एक गुप्त मूल्य होने की आवश्यकता है जो हमलावर का अनुमान नहीं लगा सकता है। ऐसा करने के लिए आपको क्रिप्टोग्राफ़िकली सिक्योर रिकैम नंबर जेनरेटर या सीएसआरपीआईंग की आवश्यकता है। इस पुस्तकालय का निर्माण नॉन, जो बेहद अनुमान लगाया जा सकता है और आसानी से सरल जावास्क्रिप्ट का उपयोग करने के लिए मजबूर हो सकता है।





cryptography