MS SQL hashed пароль по сравнению с обычным текстом

Question

Мне интересно, как я мог бы заставить свою маленькую Программу работать. Все, что мне нужно, это когда я набираю свой пароль, который равен Password321!, чтобы сравнить с хэшированным паролем в базе данных MS SQL под столбцом Password, я попытался использовать PWDCOMPARE('Password321!', Password);, но это не сработало для меня. Появляется сообщение об ошибке Ошибка конверсии при преобразовании значения nvarchar 'nEg5JzRQHD8P7VOwwIkeaDx6WEs =' в тип данных int. Вот мой код:

select Password from aspnet_Membership where Password=PWDCOMPARE('Password321!', Password); 

Пожалуйста, помогите,

Благодаря

M

Answer 1

Если вы используете сервер SQL для аутентификации пользователей, вы должны попытаться использовать лучшие методы, чтобы свести к минимуму возможность SQL Injection на вашем веб-сервере.

Нижеприведенный запрос является хорошим примером использования аутентификации SHA1 для аутентификации пользователей при входе в систему. Обратите внимание, что это не реализация Java, но она должна дать вам хорошее представление о том, что вы делаете неправильно.

sql = "SELECT user_id, user_name, user_level 
     FROM users 
     WHERE user_name = '" . mysql_real_escape_string($_POST['user_name']) . "' 
     AND user_pass = '" . sha1($_POST['user_pass']) . "'"; 

Answer 2

Для SQL Server, PWDCOMPARE() возвращает значение INT 1, если данный пароль mataces еще возвращает 0

PWDCOMPARE

Hashes a password and compares the hash to the hash of an existing password. 

СИНТАКСИС:

PWDCOMPARE ('clear_text_password', password_hash [ , version ]) 

Возвращает 1, если хэш поля clear_text_password соответствует параметру password_hash и 0, если это не так.

Измените запрос, как это,

SELECT Password 
FROM aspnet_Membership 
WHERE PWDCOMPARE('Password321!', Password) = 1; 

Или вы можете использовать PWDENCRYPT()

PWDENCRYPT:

Returns the SQL Server password hash of the input value that uses the current 
version of the password hashing algorithm. 

СИНТАКСИС:

PWDENCRYPT ('password') 

Измените запрос, как это,

SELECT Password 
FROM aspnet_Membership 
WHERE Password = PWDENCRYPT('Password321!');