Problema password in javascritpt

[stefano_T]

Allora, scusate l'intrusione nel forum dedicato allo scripting che di solito non frequento.. Generalmente per proteggere delle pagine html con delle password utilizzo linguaggi server side tipo il php quindi sono completamente a digiuno di javascript e simili. In questo caso un mio amico non ha a disposizione sul suo server il supporto al php quindi si era fatto fare uno javascript per proteggere con password una pagina. Il problema è che non riesce più a rintracciare il tipo che glielo aveva fatto e quindi non sa proprio come modificarlo e quindi ha chiesto aiuto a me. In pratica questo è il codice del form in cui si inserisce la password:

Password:

<input type="text" name="password2" size="10">
<input type="button" name="Button6" value="Entra" onClick="submitentry()">

mentre lo javascript vero e proprio è questo:

function submitentry()
{
password = document.password1.password2.value.toLowerCase()
pass = 1
for(i = 0; i < password.length; i++)
{pass *= password.charCodeAt(i);}
if(pass == 15662490768262800 || pass == 1316082446993160000 || pass == 1682144717432901000)
{window.location=password+".html"}
else
{alert("Attenzione: per visitare il sito è necessario inserire la 'Password' e cliccare sul tasto 'Entra'.")}
}

Veniamo quindi al dunque: dovrei modificare le password di accesso ma non so proprio come fare
Infine un'ultima mia curiosità: come si fa a decodificare la password attuale visto che il mio amico se l'è dimenticata? Cercando su internet mi sembra di aver capito che si deve usare fromCharCode()

-ciao e grazie a tuttti

[fcaldera]

è molto semplice: metti una alert prima dell'if che ti stampi la variabile pass, ovvero:

for(i = 0; i < password.length; i++)
{pass *= password.charCodeAt(i);}
alert(pass); 
if(pass == 15662490768262800 || pass == 1316082446993160000 || pass == 1682144717432901000)

poi nella pagina che chiede la password scrivi quella nuova che vorresti mettere. L'alert stamperà un numero (ad esempio 1234567890) che poi dovrai verificare nell'if scrivendo

if(pass == 1234567890)




la decodifica mi sembra un pò troppo complicata purtroppo

[Mich_]

Originariamente inviato da fcaldera
la decodifica mi sembra un pò troppo complicata purtroppo

E` vero che la decodifica e` complessa, ma dallo script si puo` ricavare facilmente la passwd codificata.

Per andare comunque alle tre pagine aperte dal quello script e` sufficiente scrivere nella location del browser, le seguenti stringhe, precedute dal dominio e path della pagina che contiene lo script:
15662490768262800.html
1316082446993160000.html
1682144717432901000.html

Nota: ci sono strumenti migliori per proteggere una pag con passwd, anche solo facendola in JS.
Anni fa ne avevo visto un paio tra gli script di HTML.it
Comunque togliendo il check delle passwd codificate, e` una protezione migliore: non si da` all'utente smaliziato la chiave pronta (in tal caso in caso di passwd errata viene tentato di aprire una pagina inesistente)

[fcaldera]

no Mich_ aspetta, la pagina non è <numerone.html> ... è la password di partenza

In effetti potresti decodificarla se sai che comunque è composta da lettere e numeri e la decodifica potrebbe non essere univoca, ovvero potresti ottenere password diverse a partire dal numerone

[stefano_T]

grazie fcaldera ma forse sono imbranato ma non mi esce l'alert e quindi non posso prendere il numero... se magari riusciamo a decodificare la password intanto il mio amico può incominciare a rientrare nell'area protetta del suo sito...

[fcaldera]

ok, decodifcata (credo) con il seguente script

<script>
var numerone = new Array();
var password = new Array();

numerone[1] = 15662490768262800;
numerone[2] = 1316082446993160000;
numerone[3] = 1682144717432901000;

password[1] = "";
password[2] = "";
password[3] = "";

for (i=126; i>=32; i--) {
    for (j=1; j<=3; j++) {
        if ((numerone[j] % i) == 0) {
            numerone[j] /= i;
            password[j] += String.fromCharCode(i);
        }
    
    }    
}


document.write(password[1] + "
");
document.write(password[2] + "
");
document.write(password[3] + "
");

</script>

le tre (possibili e non univoche) password ottenute sono

1) ~xogcaU%
2) mD@
3) ~xrpogaQ

vedi se vanno bene...

[fcaldera]

no aspetta, te lo rimando...

[stefano_T]

ok, grazie mille... le prime password non vanno bene... vediamo le prossime

[br1]

Ma non sarebbe piu' semplice collegarsi in FTP al server e vedere i nomi delle pagine contenute?

Oppure state tentando un azione illegale?

ciao

[fcaldera]

penso piuttosto che gli serva capire come aggiungere nuovi utenti...

o almeno spero