비밀번호찾기관련으로 어제 해결못한건 해결을했는데..

Question

비밀번호 해싱코드로 변경된거 그리고 솔트값으로 저장 된것들 변경되는건 오늘 해결을 했는데 DB상에서도 둘이 값 바뀌는건 확인이 되는데 막상 로그인화면에서 바뀐 임시비밀번호를 치면 로그인이 안되네요. SHA256 + SALT 값 변경 클래스 package com.project; import java.security.MessageDigest; import java.security.NoSuchAlgorithmException; import java.util.Random; public class SHA256Util { //////////////SHA256+SALT public static String getEncrypt(String source, String salt) { return getEncrypt(source, salt.getBytes()); } public static String getEncrypt(String source, byte[] salt) { String result = ""; byte[] a = source.getBytes(); byte[] bytes = new byte[a.length + salt.length]; System.arraycopy(a, 0, bytes, 0, a.length); System.arraycopy(salt, 0, bytes, a.length, salt.length); try { MessageDigest md = MessageDigest.getInstance("SHA-256"); md.update(bytes); byte[] byteData = md.digest(); StringBuffer sb = new StringBuffer(); for (int i = 0; i < byteData.length; i++) { sb.append(Integer.toString((byteData[i] & 0xFF) + 256, 16).substring(1)); } result = sb.toString(); } catch (NoSuchAlgorithmException e) { e.printStackTrace(); } return result; } public static String generateSalt() { Random random = new Random(); byte[] salt = new byte[16]; random.nextBytes(salt); StringBuffer sb = new StringBuffer(); for (int i = 0; i < salt.length; i++) { sb.append(String.format("%02x",salt[i])); } return sb.toString(); } ////////////////////////////////////////////////////////// } 비밀번호 찾기 결과 페이지 <%@page import="com.project.SHA256Util"%> <%@page import="com.admin.login.User"%> <%@page import="com.admin.adminDTO"%> <%@ page language="java" contentType="text/html; charset=UTF-8" pageEncoding="UTF-8"%> <%@ page import="com.admin.adminDAO" %> <%@ page import="java.util.Properties" %> <%@ page import="java.io.PrintWriter" %> <% request.setCharacterEncoding("UTF-8"); %> <%@ page import="java.sql.*" %> <%@ page import="com.project.DBUtil" %> <% String Pwrandom = adminDAO.randomPw(); adminDAO adminDAO = new adminDAO(); int findPW = adminDAO.findPW(adminDTO.getId(), adminDTO.getName(),adminDTO.getCom()); String source =""; String salt =""; String newsalt = ""; source += Pwrandom; newsalt += Pwrandom; salt += Pwrandom; if(findPW == -1) { // 계정이 없는 경우. PrintWriter script = response.getWriter(); script.println(""); } else { if(adminDAO.pwHashing(SHA256Util.getEncrypt(source, salt), SHA256Util.generateSalt(newsalt), adminDTO.getId()) == 0){ PrintWriter script = response.getWriter(); script.println(""); } } PrintWriter script = response.getWriter(); script.println(""); %> //클래스부분 비밀번호 해싱,솔트값 변경 public int pwHashing(String admin_pass,String salt, String admin_id) { String SQL = "UPDATE admin SET admin_pass = ?,salt = ? WHERE admin_id = ?;"; try { PreparedStatement pstmt = conn.prepareStatement(SQL); pstmt.setString(1, admin_pass); pstmt.setString(2, salt); pstmt.setString(3, admin_id); pstmt.executeUpdate(); return 1; } catch(Exception e) { e.printStackTrace(); } return 0; } // 임시비밀번호 랜덤 특문,영어대소문자,숫자 섞이게 public static String randomPw(){ char pwCollectionSpCha[] = new char[] {'!','@','#','$','%','^','&','*','(',')'}; char pwCollectionNum[] = new char[] {'1','2','3','4','5','6','7','8','9','0',}; char pwCollectionAll[] = new char[] {'1','2','3','4','5','6','7','8','9','0', 'A','B','C','D','E','F','G','H','I','J','K','L','M','N','O','P','Q','R','S','T','U','V','W','X','Y','Z', 'a','b','c','d','e','f','g','h','i','j','k','l','m','n','o','p','q','r','s','t','u','v','w','x','y','z', '!','@','#','$','%','^','&','*','(',')'}; return getRandPw(1, pwCollectionSpCha) + getRandPw(8, pwCollectionAll) + getRandPw(1, pwCollectionNum); } public static String getRandPw(int size, char[] pwCollection){ String ranPw = ""; for (int i = 0; i < size; i++) { int selectRandomPw = (int) (Math.random() * (pwCollection.length)); ranPw += pwCollection[selectRandomPw]; } return ranPw; } 관리자 DB부분 // 관리자 로그인 체크 public boolean check(String id, String Hasing_password) { String SQL = "SELECT admin_pass,salt FROM admin WHERE admin_id = ?"; Connection conn = null; PreparedStatement pstmt = null; ResultSet rs = null; try { conn = DBUtil.getMySQLConnection(); pstmt = conn.prepareStatement(SQL); pstmt.setString(1, id); rs = pstmt.executeQuery(); //결과를 조회 하는 것 꼭 rs와 같이 사용한다. if(rs.next()) { for(int i = 0; i < adminData.size(); i++) { if(Hasing_password.equals(adminData.get(i)[1])) { System.out.println("DB/adminData=" + adminData.get(i)[1]); return true; } } } }catch(Exception e) { e.printStackTrace(); } System.out.println("DB실패/Hasing_password=" + Hasing_password); return false; } 관리자 USER 부분 // 관리자 로그인 public int get_User(String id, String password) throws Exception { String temp_salt = db.get_SALT(id); // 아이디와 일치하는 솔트값 출력 //String temp_salt1 = db.get_SALT(id); // 아이디와 일치하는 솔트값 출력 String temp_pass = Hashing(password.getBytes(), temp_salt); //출력한 솔트와 입력패스워드를 같이 해싱 //db.set_LOGIN(id,password,temp_salt1); //if(password.equals(password)) {//임시방편 if(db.check(id,temp_pass)) {// com.admin.login.DB에서 check 부분해당 System.out.println(temp_pass); System.out.println("로그인 성공"); return -1; } else { System.out.println("User/password=" + password); System.out.println("User/password바이트=" + password.getBytes());//다름 System.out.println("User/temp_pass=" + temp_pass); System.out.println("User/temp_salt=" + temp_salt); System.out.println("로그인 실패"); return 0; } } 성공시 로그 DB/ID성공 = test4 DB/DB안에 salt가져오기성공 = 81568e3eb07504d0ac77738b8a9fd5e2 DB/admin_pass = 91cb673d678ab73f3502311f488dde97a92c37dd9d3280a30cddc6acf8b24431 DB/adminData=test4 DB/adminData=81568e3eb07504d0ac77738b8a9fd5e2 User/Hasing_PW=[B@5fdedc68 User/Hasing_PW바이트=[B@5fdedc68 User/Hasing_Salt=81568e3eb07504d0ac77738b8a9fd5e2 연결성공 DB/adminData=91cb673d678ab73f3502311f488dde97a92c37dd9d3280a30cddc6acf8b24431 91cb673d678ab73f3502311f488dde97a92c37dd9d3280a30cddc6acf8b24431 로그인 성공 login :-1 실패시 로그 DB/ID성공 = test4 DB/DB안에 salt가져오기성공 = 85c112af45f41b28522aa031a9aac384 DB/admin_pass = f3137658885b0772880db1a8a2290360a3432d08f7491ae143df9345382215ab DB/adminData=test4 DB/adminData=85c112af45f41b28522aa031a9aac384 User/Hasing_PW=[B@6a851376 User/Hasing_PW바이트=[B@6a851376 User/Hasing_Salt=85c112af45f41b28522aa031a9aac384 연결성공 DB실패/Hasing_password=0523abbbb8e79ab98c2f7645daad8dbf14480ab4acaf2965a02e931101ad634b User/password=(Ss*DTUSV1 User/password바이트=[B@20303a5d User/temp_pass=0523abbbb8e79ab98c2f7645daad8dbf14480ab4acaf2965a02e931101ad634b User/temp_salt=85c112af45f41b28522aa031a9aac384 로그인 실패 코드가 좀 길어서 뭘 말하고싶은건지 이해를 돕고자 정리하자면 1. 초기에 가입을 할때 비밀번호가 해싱코드 + 솔트 값해서 암호화가 됩니다.2. 비밀번호를 찾고자할때 임시비밀번호 발급형식으로 해싱코드 + 솔트값 바뀌게끔 하였습니다.3. DB상으로 조회하면 바뀐 해싱코드와 솔트 값이 나타나는데 바뀐 임시비밀번호로 로그인하면 로그인이 안됩니다. 4.로그기록으로 보면 DB실패로 뜨는 해싱코드가 바뀐 해싱코드랑 다르게 출력되어서 나옵니다.

엡실론 · Accepted Answer

1. getBytes() 와 같은 byte배열을 출력할때에는 System.out.println(getBytes()) 와 같이 하면 안됩니다. 바이트 배열의 내용을 출력하는게 아니라 메모리 주소를 출력합니다. Arrays.toString을 써서 System.out.println(Arrays.toString(getBytes()))와 같은 형태로 사용하세요.2. 해싱을 생성할때에는 SHA256Util.getEncrypt로 검사할때에는 Hashing으로 생성하네요. 둘이 같은 해쉬를 생성하는 건 맞나요?3. 솔트를 저장할때 역시 hex string으로 인코딩하는데, db.get_SALT()가 적절하게 디코딩하는지는 모르겠네요.

asdfjljf · Answer

일단 로그를 찍어서 한번보시는게..만약에 임시발급 시 디비에 임시발급으로 발급된거랑 비교하는건 하시는거죠?그냥 말만들어보면 기존의 솔트된 값과 비교된게아닐까 싶으니..

블라썸체리 · Answer

Dev.kerberos 네 처음 가입해서 비밀번호,SALT값 하고 발급받고나서 값은 비교하고있습니다. 로그 찍혀서 나오는게 6번째로 올린거라..

블라썸체리 · Answer

엡실론 설명감사드립니다! 한번 해보겠습니다.

비밀번호찾기관련으로 어제 해결못한건 해결을했는데..

4개의 답변

#password 목록