3

Estava lendo sobre uma regra do apache para validação de permissões à acesso a arquivos/diretórios, e vi que o padrão do arquivo que lê o usuário e senha era:

usuário:senha (sendo a senha em base64).

Tentei decodificar a senha pelo terminal do linux, só que foi retornado uma mensagem de erro:

~$ echo "zuQCCnEXtTamg" | base64 -d

~$ Invalid Input

E No Windows com cerUtil:

Retorno inválido de dados

Pesquisei e vi que esse erro é gerado pelo tipo de char-encoding que o arquivo foi codificado (UTF-8, UTF-16, etc)

O Problema é que não sei como ele foi codificado e nem onde (como o windows usa utf8 e o linux não por padrão). Existe alguma forma de descobrir como ele foi codificado e sua encoding?

Hash: zuQCCnEXtTamg

2
  • echo "zuQCCnEXtTamg" | base64 -d , isso no Linux. No windows usei o cerUtil --decode ... O resultado no linux foi : caracteres bugados e no Windows: Retorno de dados inválidos 27/04/2014 às 17:19
  • @user3386417 coloque essa informação na pergunta também!!!
    – user6026
    27/04/2014 às 17:28

2 Respostas 2

2

Não é assim que o .htpasswd funciona... O que é armazenado não é a senha codificada em base 64, mas sim um hash da senha - e que eu saiba, este não é necessariamente codificado em base 64 (ele pode especificar o algoritmo, parâmetros, sal, cada um no seu formato e tudo separado por $).

Caso não esteja familiarizado com hashes, veja essa pergunta relacionada. É impossível (exceto por tentativa e erro) recuperar a senha original a partir do hash, por isso que tentar "decodificar" o texto em base 64 não está dando resultado (independentemente do encoding de saída). Para autenticar um usuário, o que o Apache faz é re-hashear a senha enviada e comparar seu hash com o hash salvo no arquivo.

Obter a senha original a partir do hash é, no melhor caso trabalhoso, e no pior impossível [na prática]. Note ainda que o hash usado como padrão pelo Apache (MD5 ou crypt) é considerado "fraco" (ver pergunta linkada), de modo que sistemas mais novos (Apache 2.4+) deveriam migrar pro bcrypt. Se esse algoritmo for usado, de fato é inviável tentar recuperar a senha a partir do hash.

Nota: Ver essa pergunta no security.SE (em inglês) para razões pela qual é importante sim usar um hash "forte" nessa situação, ainda que à primeira vista não pareça.

0
0

No MacOS decodificou "q?6?", mas utilizei --decode:

echo zuQCCnEXtTamg | base64 --decode
??
q?6?Paulo:~ paulo$ 

Neste site http://www.base64decode.org o resultado foi "q6"

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .