使用Python认证ASP.NET角色/会员创建的数据库中原始用户名、哈希和盐

Question

我们现在有一个应用程序，用户的登录信息存储在SQL Server数据库里。基本上，这些信息包括一个明文的用户名、一个密码的哈希值和一个与这个哈希值相关的盐值。

这些信息都是通过ASP.NET的会员/角色系统自带的功能生成的。比如，有一个名叫“joe”的用户，密码是“password”，他的记录看起来是这样的：

joe,kDP0Py2QwEdJYtUX9cJABg==,OJF6H4KdxFLgLu+oTDNFodCEfMA=

我把这些数据导出了一个CSV文件，现在想把它转换成Django能用的格式。Django存储密码的格式是这样的：

[算法]$[盐值]$[哈希值]

其中，盐值是一个普通字符串，哈希值是SHA1哈希的十六进制摘要。

到目前为止，我发现ASP存储这些哈希值和盐值是用base64格式的。上面的值解码后会变成二进制字符串。

我们使用了反射工具来了解ASP是如何验证这些值的：

internal string EncodePassword(string pass, int passwordFormat, string salt)
{
    if (passwordFormat == 0)
    {
        return pass;
    }
    byte[] bytes = Encoding.Unicode.GetBytes(pass);
    byte[] src = Convert.FromBase64String(salt);
    byte[] dst = new byte[src.Length + bytes.Length];
    byte[] inArray = null;
    Buffer.BlockCopy(src, 0, dst, 0, src.Length);
    Buffer.BlockCopy(bytes, 0, dst, src.Length, bytes.Length);
    if (passwordFormat == 1)
    {
        HashAlgorithm algorithm = HashAlgorithm.Create(Membership.HashAlgorithmType);
        if ((algorithm == null) && Membership.IsHashAlgorithmFromMembershipConfig)
        {
            RuntimeConfig.GetAppConfig().Membership.ThrowHashAlgorithmException();
        }
        inArray = algorithm.ComputeHash(dst);
    }
    else
    {
        inArray = this.EncryptPassword(dst);
    }
    return Convert.ToBase64String(inArray);
}

基本上，它从数据库中提取盐值，并将其进行base64解码，变成二进制表示。然后对原始密码进行“GetBytes”操作，再把盐值放在前面，两个值连接在一起。

接着，它对这个新字符串运行SHA1算法，进行base64编码，并将结果与数据库中存储的值进行比较。

我尝试写一些代码在Python中重现这些哈希值，但一直失败。在我搞清楚如何转换之前，无法在Django中使用这些哈希值。以下是我测试的方式：

import hashlib
from base64 import b64decode, b64encode

b64salt = "kDP0Py2QwEdJYtUX9cJABg=="
b64hash = "OJF6H4KdxFLgLu+oTDNFodCEfMA="
binsalt = b64decode(b64salt)
password_string = 'password'

m1 = hashlib.sha1()
# Pass in salt
m1.update(binsalt)
# Pass in password
m1.update(password_string)
# B64 encode the binary digest
if b64encode(m1.digest()) == b64hash:
    print "Logged in!"
else:
    print "Didn't match"
    print b64hash
    print b64encode(m1.digest())

我在想有没有人能发现我方法中的问题，或者能建议其他的解决办法。也许你可以用上面的算法和已知的密码、盐值，在你的系统上生成哈希值？

数据库 django 身份验证 base64 哈希盐值 ASP.NET SHA1

使用Python认证ASP.NET角色/会员创建的数据库中原始用户名、哈希和盐

2 个回答

撰写回答