moxnet

问题: 如果在管理员在后台帮助用户/版主/另一个管理员修改密码后, 在[后台访问记录]会增加一条日志(日志记在forumdata/logs/下的*cplog.php文件中). 注意这儿显示的操作记录中密码是明文密码!

如一条记录中passwordnew=12121;中显示的是明文密码.(我是直接看的日志文件, 当然在后台管理中查看更清晰)

复制内容到剪贴板

代码:

<?PHP exit;?>        1203344805        abc        1        117.14.137.125        memberprofile        uid=2562; usernamenew=def; passwordnew=12121; clearquestion=1; gendernew=2; emailnew=2inin@so ...; postsnew=77; digestpostsnew=2; pageviewsnew=178; totalnew=2780; thismonthnew=50; regipnew=219.43.95.133; regdatenew=2006-4-27 08:43 ...; lastvisitnew=2008-1-18 01:40 ...; lastipnew=60.3.88.104; qqnew=223456223; locationnew=山西; bdaynew=1986-06-16; avatarnew=customavatars/2 ...; avatarwidthnew=82; avatarheightnew=90; bionew=大人; signaturenew=[color=orange]玩 ...; timeoffsetnew=9999; newsletternew=1; editsubmit=提 交
<?PHP exit;?>

从安全的角度来讲,任何地方都不应当出现明文密码, 会被别有用心的人利用.

当然用户疏于更改密码也有一定的责任, 但对于我们做软件的, 应该最大化系统的安全性.

bei11

:victory: :victory:

Clwarm

还真从来没注意过这里。

club123456

真是细心

moxnet

引用:

原帖由 club123456 于 2008-4-20 23:52 发表
真是细心

不是细心, 是被人捅了一刀.

Clwarm

不过要说，位数比较多的密码，中间会用*代替。

achair

怎么解决??

moxnet

引用:

原帖由 Clwarm 于 2008-4-25 10:54 发表
不过要说，位数比较多的密码，中间会用*代替。

这是“密码错误记录”而不是“后台访问记录”