Дело в том, что необходимо при управлении контентом входить на страницу администратора. Кроме администратора ни у кого паролей больше нет. Где хранить один единственный пароль? Не в базе данных же. 
И одновременно схожий вопрос. Администратор должен иметь возможность менять картинку. Всего картинки две. Но только одна может быть на сайте. Какая именно выбирает администратор. Как хранить информацию какая именно должна быть картинка? 
Есть идея хранить это все в обычном текстовом файле. 
Но может что-нибудь есть получше? 

Prompt, не парься и закрой полность директорию (или файл) на сервере через htpasswd

вот читай
http://forum.vingrad.ru/index.php?showtopi...amp;hl=htpasswd
 

А если у человека не апач? Или он делает переносимую программу, чтоб могла уснанавливаться и на IIS? Тут твой htpasswd накрывается медным тазиком.

   делай так: пароль шифруй в md5, потом конкетируй к результату какие-нибудь пару букв - и то что получится- опять md5 - результат сохраняй в файл. 
Т.е:

   Когда админ входит - делаешь то же самое с вводимым паролем и проверяешь, совпадает ли с твоей шифровкой.

    Предупрежу вопрос: Зачем добавлять двойной md5?  А потому, что есть в сети куча огромных библиотек, содержащих уйму пар - пароль-его md5. По ним пароль много шансов найти (особенно если у тебя админ использовал какой-нибудь простенький пароль).

 Храни так:

   В отдельном php файле.
  И для сравнения вырезай его.
 Так если кто-то снаружи даже напишет имя этого файла - увидит просто пустую строку. 

Это мне нравится. А как насчет запоминания того какую картинку выбрал администратор? 

Сделай это в базе данных.Для этого используй язык MYSQL. 

szz, мне кажется, это будет ненадёжно. Слишком большие коллизии.
И потом, что мешает оставить обычное хэширование?  Хэш то никто видеть не будет  

Prompt
сделай эти две картинки как две большие кнопки ),
а дальше передавай это дело в сценарий

ну а дальше примерный сценарий

Ну в общем первое что приходит в голову, ну дальше измени по вкусу 
P.S. не компилил, может содержать ошибки даже логические ) 

Это сообщение отредактировал(а) jzZ - 27.7.2006, 08:44

ну echo это я так к примеру ) добавь переменную в $_GET и передай ее дальше сценарию какому хотел, не знаю какая цель у тебя 

Как выбрать картинку я понимаю, но как сохранить информацию, что именно эта картинка должна появляться при заходе обычного пользователя? Получается так, что администратор должен иметь право поменять внешний вид сайта. И вариантов вида у него всего два. 

Ну в бд, или в файле, можешь хранить в php файле, открываешь пишешь типа этого:

дальше ставишь его на главную
include "scenarij.php";
Дальше просто показываешь переменную в нужном месте, т.е. картинку
echo($picture); 

Это сообщение отредактировал(а) jzZ - 27.7.2006, 11:42

Способ с солью, предложенный szz, является стоиким к бруту + убирает слабые пароли. Первичный пароль в этом случае по словарику найти не получится уже никогда. 

GiV
от брута есть очень хорошая функция sleep().
Указываешь задержку по три - пять секунд перед проверкой пароля ) не один брутер не вытерпит, если конечно это не цель всей его жизни поломать твой сайт ) 

Я про это и говорю. А вдруг найдется левый пароль, который из-за коллизий подойдет? ИМХО надо быть осторожным, создавая свои методы...

А всё-таки:

 

Брут применяется на хэш, а не на систему логина =)



в чистом мд5 тоже есть коллизии, но помимо этого чистый мд5 можно подобрать по словарю без коллизий. Так что лучше? 

    Нет шансов )))
  Если конкетация мд5 с солью х опять мд5 выдаст потом коллизию - то можно это репортить как грандиозное событие в истории мд5   


   Даже если у взломщика будет конечная строка в распоряжении - то брутом будете ее распаковывать столетиями - и через 2 года постоянного перебора получит мд5+соль - и охрененно обломается   

   Даже один мд5 на строку длиннее 5 букв (если она не словарная) подбирать будешь несколько месяцев  а в моем случае - взломщик окажется глубоко в заднице 

Добавлено @ 12:31 


  Блин, столько раз об этом слышал, но никогда не встречал!!!
 Дайте пожалуйста две строки - человеческие, не более 10 букв - которые бы дали коллизию   Интересно просто )))

Добавлено @ 12:33 
Кстати, именно так парольи в этом IPB используются - мд5+соль * мд5 (правда, соль генерится для каждого пароля, но она видна). И ничо, никто пока не жаловался )))
   В phpBB ваще простой одинарный md5, а он дико популярен )))  И ничо, все довольны! 

szz
Короче респект тебе полюбому )) но интересно было бы побрутить авторизацию, с двойным md5 и sleep на три секунды )) попробую реализовать на досуге )
 

Это сообщение отредактировал(а) jzZ - 27.7.2006, 15:09

jzZ, sleep() защитит только от последовательного перебора. Мало-мальски грамотный взломщик будет просто параллельно посылать несколько запросов и никакие задержки не помогут.