Falscher Saltwert in DB?

[sr972]

Hi,

wir haben vor Kurzem umgestellt von phpBB auf vB (JUHU!). Auf jeden Fall haben wir alles importiert und so weiter.

Nun ist es so, dass bei etlichen (auch in meinem Record) immer ein Salt von 'G' steht und nicht mehr. Ich denke doch eigentlich, dass der Salt 3-stellig sein müsste oder?

Dabei fällt auf, dass sich nach gewisser Zeit, dass Passwort wieder "ändert". Ja genau. Es ist einfach wieder irgendwas anderes und zwar anscheinend bei allen gleich (sieht man ja, da der md5 wert in password überall gleich aussieht).

Könnt ihr mir irgendeinen Tipp, Lösungsansatz oder sonst was geben, wo ich ansetzen könnte? Ich kann auch dummerweise nicht mehr so einfach neu importieren, da schon alleine über 1000 neue User ins Forum gekommen sind.


Danke!

[sr972]

Keiner irgendeine Idee? Wiegesagt, es muss ja keine Lösung sein, ein Denkanstoß würde schon reichen.

[StGaensler]

Ich finde es etwas seltsam, dass sich das Passwort ändert - das sollte eigentlich nie vorkommen, außer du machst es selbst. Sonst setze einfach allen Benutzern, die diesen Salt-Wert haben, einen zufälligen dreistelligen Salt ein, und bitte sie dann, ihr Kennwort zu ändern (Kennwort-Vergessen Funktion verwenden).

Viele Grüße,
Stefan

[sr972]

Huch eine Reaktion :)

Ja, deshalb sitzen wir ja auch hier seit 2-3 Tagen und grübeln. Wir haben mal alle Skripte ausgeschaltet, die sowas machen könnten. Nur "eure" Wartungsskripte laufen halt.

Es ging ja nur z.B. darum, dass wenn eure Wartungsskripte (nur mal als Beispiel, die müssen ja nicht die schuldigen sein!) laufen, sehen die, oh Salt nur strlen() 1 oder sowas und weiss nicht mehr was zu tun ist und ändere aus irgendeinem Grund nun das PW.

Deshalb frage ich ja. Gäbs eine Möglichkeit, dass da eines der Wartungsskripte aus dem Schwung kommt?

[StGaensler]

Ich hab grad Mike noch gefragt, um mich zu versichern: Die Wartungsscripte ändern weder am Passwort noch am Salt irgendwas.

Auch ist es egal, wenn der Salt nur einstellig ist - auch wenn er in der Regel (wenn von vBulletin gesetzt) dreistellig ist.

Viele Grüße,
Stefan

[sr972]

OK, dann bin ich mit meinem Latein am Ende. Es gibt nur noch 2 Skripte die auf die DB zugreifen, und das nur definitiv 1way .. nämlich lesend.

Könnte denn 1 koruppter DB Entry schuld sein?

Du merkst sicherlich, wie verzweifelt ich bin ^^ ich versuch mich an jeden Strohalm zu klammern :)

[StGaensler]

Nö, ein defekter Eintrag darf da nichts durcheinanderbringen - außer eine User-ID ist doppelt, aber das verhindert die Datenbank, und sonst würd sie auch nicht ID heißen :D

Du kannst ja mal im AdminCP bei den Wartungsfunktionen die Benutzerprofile reparieren lassen.

Sonst hilft wohl nur noch, bei MySQL mal im Query-Log nachzusehen, bzw. das zu aktivieren.

Viele Grüße,
Stefan

[sr972]

Eine Frage habe ich noch: Dürfen in den Salts auch ", ' oder ` stehen?

[StGaensler]

Ja, kein Problem. Die vBulletin-Funktion fetch_user_salt() vergibt Salt-Werte, die Zeichen mit dem ASCII-Code von 33 bis 126 enthalten.

Viele Grüße,
Stefan