cmaedu.com

网站是如何记住你的密码的?

当用户登录时，比如说输入账号user1，密码123456，网站先计算出123456的散列值，然后再与数据库中保存的散列值进行对比，如果一样就说明登录成功了。那么疑问来了，如果用户输入的密码不是123456，就一定不能得到和数据库中保存的一样的散列值吗？事实上，散列函数是一种多对一的映射，因为信息的长度可以是任意的，但散列值永远只有固定的长度，就像把100个球放进10个袋子里，必然有至少一个袋子里面得装多于一个的球，换句话说，必然存在两条不同的信息，它们的散列值恰好是一样的，这种情况叫做散列碰撞。尽管对于散列函数来说，碰撞是必然存在的，但是一个好的散列函数可以让碰撞足够分散，使得攻击者无法人为地制造出碰撞，不幸的是，我们上面提到的MD5就是一个不太好的散列函数，它的抗碰撞性已经很差了，或者说已经很不安全了，然而，根据乌云平台的描述，网易邮箱依然在使用MD5来保存用户的密码，也是醉了吧？在常用的散列函数中，MD5已经被淘汰，SHA-1的安全性也较弱，SHA-2是主流，而SHA-3则具备更高的安全性。

cmaedu.com其实，这样保存密码还有一个问题，因为对于某个确定的散列函数，一个密码永远只能产生一个固定的散列值，比如说对于MD5来说，123456的散列值永远是e10adc3949ba59abbe56e057f20f883e，那么攻击者只要看到e10adc3949ba59abbe56e057f20f883e，就知道这个用户的密码是123456了。那么疑问来了，用户的密码千变万化，哪有这么容易就能通过散列值一眼看出来呢？你还别说，大部分用户的密码都特别弱，而且，密码与散列值的对应表是可以事先算好再从里面查的，比如说CrackStation.net这个网站上，我们就可以通过散列值来反查明文密码， 把user2的密码散列值c33367701511b4f6020ec61ded352059，立马就查出来明文密码是654321了。实际上，对于任何8位或更短的密码，用散列值反查密码都是一秒钟的事情，因此对于弱密码来说，散列实际上是形同虚设了。

cmaedu.com

怎么才能注册乌云账号

cmaedu.com注册乌云账号需要提交漏洞并在提交漏洞的时候点选“获取邀请码”

也就是说，你需要先发一个漏洞并且审核通过后才会得到邀请码（会发到邮箱）

cmaedu.com然后才能注册

cmaedu.com我只能回答到这里了，我没办法送你一个漏洞发（我不觉得会有人送你个未公布的漏洞）

cmaedu.com不过我可以提醒你一下，漏洞并不一定要多严重才会通过，只要是和安全相关的问题都可以

cmaedu.com

乌云技术社区账号申请流程

cmaedu.com乌云目前需要邀请码注册帐号：

cmaedu.com1）厂商注册请联系 help#wooyun.org；

cmaedu.com注：企业沟通前，请提前开通 security@xxx.com 邮箱地址验证与获取邀请码。注册与漏洞报告均为免费，不会收取企业任何费用。

2） 提交漏洞 审核通过后即可获得邀请。