网易的密码泄漏了，请问下 django 写的网站，在不泄漏 SECRET_KEY 的情况下，攻击者脱裤后有多大可能破解密码

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

V2EX 提问指南

这是一个创建于 3323 天前的主题，其中的信息可能已经有所发展或是发生改变。

SECRET_KEY 好像是用来加密的

如果这个东西不泄漏

数据库被人拖走了

那么密码被破解的几率大吗

攻击者有什么办法最大可能的尝试破解密码呢

第 1 条附言 · 2015-10-20 14:29:06 +08:00

结贴

感谢大家的回复

目前问题已经解决

我把大家的回复整理一下如下：

SECRET_KEY

并不参与密码本身的加密，该参数用来加密 cookie 的，但泄漏该值会带来 [远程代码执行] 参考 http://rickgray.me/2015/09/12/django-command-execution-analysis.html

django 本身的密码加密，是非常安全的，用了随机盐什么的反正很复杂

参考 https://docs.djangoproject.com/en/dev/topics/auth/passwords/

密码

攻击者

泄漏

secret_key

22 条回复 • 2015-10-20 13:42:54 +08:00

ryd994

2015-10-20 09:43:25 +08:00

SECRET_KEY 不就是一个固定的“盐”么
用了等于没用

zander

2015-10-20 09:45:14 +08:00 via iPhone

没什么意义，要以最坏的打算来预估对方的算力。

watzds

2015-10-20 09:51:08 +08:00 via Android

@ryd994
有了这个盐值，相当于密码很复杂，普通的字典还能查到破解吗

Zzzzzzzzz

2015-10-20 09:53:29 +08:00

SECRET_KEY 涉及的是 cookie 的加密，和 auth 无关， auth 的密码是随机 hash 算法+随机 hash 次数+随机 salt

ryd994

2015-10-20 09:53:50 +08:00

@watzds
聪明一点的人就自己注册一个用户，从库里找到自己密码，然后穷举 SECRET_KEY 就行了
且不说网上是有常见密码的带盐字典的，
如果我没有记错， django 用的是 sha1 还是 md5 ，这两个都超快，临时暴力做个字典也是可以的

QQ1685425675

2015-10-20 09:55:55 +08:00

@Zzzzzzzzz 哦哦谢谢也就是说， django 的安全性还是很高的对吗

messense

2015-10-20 09:56:39 +08:00

@ryd994 By default, Django uses the PBKDF2 algorithm with a SHA256 hash

messense

2015-10-20 09:56:54 +08:00

@ryd994 https://docs.djangoproject.com/en/1.8/topics/auth/passwords/

virusdefender

2015-10-20 09:58:35 +08:00

secret key 是加密 cookie 用的，如果这个泄露，可能造成远程代码执行。

django 的密码的盐就在加密后的字符串里面，加密强度还是挺强的

virusdefender

2015-10-20 09:59:28 +08:00

http://rickgray.me/2015/09/12/django-command-execution-analysis.html

zhchbin

2015-10-20 10:05:05 +08:00

@QQ1685425675 数据库里存的东西安全性是由你决定的，框架并不会帮你干什么事。另外，框架也是可能存在漏洞，导致被黑的。 Google: site:wooyun.org django （看一下国内乌云论坛上的漏洞吧）

目前正确的存储用户密码哈希的姿势： https://crackstation.net/hashing-security.htm