关于用户密码加密md5(md5(password+salt))被破解！

[light86]

大部分网站用户密码是使用md5加密，很多为了安全。可能是多层md5加密。类似于： md5(md5(password+salt))

其实这样也是不安全的。因为前两天给客户开发的网站，找第三方检测公司。有个sql入侵。成功拿到了管理员的密码。然后在cmd5网站上可以解密；


像这样的2层，3层md5+盐，可以轻松在线解释掉。

于是我把项目加密方式改成如下：

function md6($str){
	$result=md7($str);
	echo "原来：".$result."<br>";
	for($i=0;$i<16;$i++){		
		$start=$i*2;
		$thisPass=md7(substr($result,$start,2));
		$thisPass=substr($thisPass,$start,2);
		$pass.=$thisPass;
		echo "第".$i."次:".$thisPass."| 累计:".$pass."<br>";
	}
	return md7($pass);
}
function md7($str){
	return md5(md5(md5($str."20_^@#$")));
}
/*/超级变态的加密算法
第一遍将原密码通过md7加密，然后将加密后的32个字符每次截取2次再加密。加密结果再截取2位。一共加16次，截取16次，每次截取2位，组合在一起产生32个加密结果，然后再来一篇md7
*/


$str="admin";
$pass=md6($str);
echo "加密结果".$pass."<br>以下是计算过程<br>";

运行结果：

如果能把：adb545a4c9f3a99f2510ea19e118fa79 破解成admin 我是佩服五体投地！

[Simple-Soft]

最重要的不是这个，最重要的是安全性，怎么样保护书包不被非法获取，像你说的sql注入就轻松拿到密码了，如果你的源码被人拿到了，加密再好也没有意义

[light86]

引用 1 楼 Simple-Soft 的回复:

最重要的不是这个，最重要的是安全性，怎么样保护书包不被非法获取，像你说的sql注入就轻松拿到密码了，如果你的源码被人拿到了，加密再好也没有意义

是的。提前是我们在程序没有漏洞的情况下。

[trainee]

杜绝SQL入侵是关键 假如黑客拿到密文和加密方法，假如设的密码不够复杂，用穷举法是很容易破的

[xuzuning]

MDS 是索引，并不是加密，不存在破解一说，谁要把精力放在所谓的“破解”上的话，那只能说他愚不可及！！！

[夏之冰雪]

一般都是加固定盐，进行加密。然后还要有随机盐，进行加密。很少看见你这种设计方式，嵌套加密。

[尘世中一个迷途小码农]

直接用password_hash加密不香吗？