User-Import aus Fremdsystem (Passwörter?)

Darkwood.Design · July 26, 2022 at 11:20 AM

Hallo zusammen,

ich bin grad über eine kleine Herausforderung gestolpert für die ich noch keine optimale Lösung finden konnte. Vielleicht hat jemand von euch eine Idee.

Ich möchte gerne Benutzer aus einer extern entwickelten Software (Hersteller unbekannt), in die WoltLab Suite importieren. Es gibt eine MySQL-Datenbank mit den Nutzern (user_id, email, password) zu der ich eine Verbindung aufbaue. Nun habe ich das Problem, dass die Passwörter natürlich gehasht sind, ich den zugehörigen Algorithmus aber nicht kenne. (und dieser mit Sicherheit nicht zum WoltLab Standard passt). Gibt es eine Möglichkeit das Passwort dieser Nutzer einfach "leer" zu lassen, sodass sich jeder User zwangsweise ein neues setzen muss. (z.B. per Aktivierungs-E-Mail) oder habt ihr vielleicht eine ganz andere Idee?

- Alternativ müsste jeder Nutzer manuell die Passwort-vergessen Funktion nutzen.

Ich freue mich auf euer Feedback.

Viele Grüße,

Daniel

**Tim Düsterhus** · July 26, 2022 at 11:26 AM Official Post

Hallo,

Quote from Darkwood.Design

Gibt es eine Möglichkeit das Passwort dieser Nutzer einfach "leer" zu lassen, sodass sich jeder User zwangsweise ein neues setzen muss.

Ja. Nennt sich „Invalid“-Passwort-Hash und wird in den Importern standardmäßig durch null gesetzt, bevor der Hash mit dem passenden Hash überschrieben wird:

com.woltlab.wcf.exporter/WBB3xExporter.class.php at 5e48db00a99ac4acb1ab48acc1c71c6fda5b8888 · WoltLab/com.woltlab.wcf.exporter

Importer/Exporter System. Contribute to WoltLab/com.woltlab.wcf.exporter development by creating an account on GitHub.

github.com

Quote from Darkwood.Design

oder habt ihr vielleicht eine ganz andere Idee?

Herausfinden was für ein Hash-Verfahren das ist. Wenn es 32 Zeichen ohne Salt sind, dann ist es aller Wahrscheinlichkeit nach md5($password) und du kannst das Wbb2-Hash-Verfahren nehmen. Bonuspunkte, wenn du prüfst, ob Hashes doppelt bzw mehrfach vorkommen und den am häufigst gefundenen Hash einfach mal bei Google reinwirfst. Bei älterer Software ist es nicht ganz unüblich den Hash 81dc9bdb52d04dc20036dbd8313ed055 zu finden …

Wenn es tatsächlich etwas ist, was wir noch nicht auf Vorrat haben, dann nehme ich PRs an.

Participate now!