理解php Hash函数，增强密码安全
以很容易地一个一个地在彩虹表中查找这些hash值，并得到原始密码。虽然不是所有的hash值都能在彩虹表中找到，但是肯定会有能找到的。
如何解决？
我们可以尝试给密码加点干扰，比如下面的例子：
复制代码 代码如下:
$password = "easypassword";
// this may be found in a rainbow table
// because the password contains 2 common words
echo sha1($password); // 6c94d3b42518febd4ad747801d50a8972022f956
// use bunch of random characters, and it can be longer than this
$salt = "f#@V)Hu^%Hgfds";
// this will NOT be found in any pre-built rainbow table
echo sha1($salt . $password); // cd56a16759623378628c0d9336af69b74d9d71a5
在这里我们所做的只是在每个密码前附加上一个干扰字符串后进行hash，只要附加的字符串足够复杂，hash后的值肯定是在预建的彩虹表中找不到的。不过现在还是不够安全。
6.问题3：还是彩虹表
注意，彩虹表可能在窃取到干拢字符串后重头开始建立。干扰字符串一样也可能被和数据库一起被窃取，然后他们可以利用这个干扰字符串从头开始创建彩虹表，如“easypassword”的hash值可能在普通的彩虹表中存在，但是在新建的彩虹表里，“f#@V)Hu^%Hgfdseasypassword”的hash值也会存在。
如何解决？
我们可以对每个用户使用唯一的干扰字符串。一个可用的方案就是使用用户在数据库中的id：
复制代码 代码如下:
$hash = sha1($user_id . $password);
这种方法的前提是用户的id是一个不变的值（一般应用都是这样的）
我们也可以为每个用户随机生成一串唯一的干扰字符串，不过我们也需要将这个串存储起来：
复制代码 代码如下:
// generates a 22 character long random string
function unique_salt() {
return substr(sha1(mt_rand()),0,22);
}
$unique_salt = unique_salt();
$hash = sha1($unique_salt . $password);
// and save the $unique_salt with the user record
// ...
这种方法就防止了我们受到彩虹表的危害，因为每一个密码都使用一个不同的字符串进行了干扰。攻击者需要创建和密码数量一样的彩虹表，这是很不切实际的。
7.问题4：hash速度
大部分hash算法在设计时就考虑了速度问题，因为它一般用来计算大数据或文件的hash值，以验证数据的正确性和完整性。
如何产生？
如前所述，现在一台强劲的PC机可以一秒运算数十亿次，很容易用暴力破解法去尝试每个密码。你可能会以为8个以上字符的密码就可以避免被暴力破解了，但是让我们来看看是否真是这样：
如果密码可以包含小写字母，大写字母和数字，那就有62（26+26+10）个字符可选；
一个8位的密码有62^8种可能组合，这个数字略大于218万亿。
以一秒钟运算10亿次hash值的速度计算，这只需要60小时就可以解决。
对于一个6位的密码，也是很常用的密码，只需要1分钟就可以破解。要求9到10位的密码可能会比较安全了，不过这样有的用户可能会觉得很麻烦。
如何解决？
使用慢一点的hash函数。
“假设你使用一个在相同硬件条件下一秒钟只能运行100万次的算法来代替一秒10亿次的算法，那么攻击者可能需要要花1000倍的时间来做暴力破解，60小只将会变成7年！”
你可以自己实现这种方法：
复制代码 代码如下:
function myhash($password, $unique_salt) {
$salt = "f#@V)Hu^%Hgfds";
$hash = sha1($unique_salt . $password);
// make it take 1000 times longer
for ($i = 0; $i < 1000; $i++) {
$hash = sha1($hash);
}
return $hash;
}
你也可以使用一个支持“成本参数”的算法，比如 BLOWFISH。在php中可以用crypt()函数实现：
复制代码 代码如下:
function myhash($password, $unique_salt) {
// the salt for blowfish should b
如何解决？
我们可以尝试给密码加点干扰，比如下面的例子：
复制代码 代码如下:
$password = "easypassword";
// this may be found in a rainbow table
// because the password contains 2 common words
echo sha1($password); // 6c94d3b42518febd4ad747801d50a8972022f956
// use bunch of random characters, and it can be longer than this
$salt = "f#@V)Hu^%Hgfds";
// this will NOT be found in any pre-built rainbow table
echo sha1($salt . $password); // cd56a16759623378628c0d9336af69b74d9d71a5
在这里我们所做的只是在每个密码前附加上一个干扰字符串后进行hash，只要附加的字符串足够复杂，hash后的值肯定是在预建的彩虹表中找不到的。不过现在还是不够安全。
6.问题3：还是彩虹表
注意，彩虹表可能在窃取到干拢字符串后重头开始建立。干扰字符串一样也可能被和数据库一起被窃取，然后他们可以利用这个干扰字符串从头开始创建彩虹表，如“easypassword”的hash值可能在普通的彩虹表中存在，但是在新建的彩虹表里，“f#@V)Hu^%Hgfdseasypassword”的hash值也会存在。
如何解决？
我们可以对每个用户使用唯一的干扰字符串。一个可用的方案就是使用用户在数据库中的id：
复制代码 代码如下:
$hash = sha1($user_id . $password);
这种方法的前提是用户的id是一个不变的值（一般应用都是这样的）
我们也可以为每个用户随机生成一串唯一的干扰字符串，不过我们也需要将这个串存储起来：
复制代码 代码如下:
// generates a 22 character long random string
function unique_salt() {
return substr(sha1(mt_rand()),0,22);
}
$unique_salt = unique_salt();
$hash = sha1($unique_salt . $password);
// and save the $unique_salt with the user record
// ...
这种方法就防止了我们受到彩虹表的危害，因为每一个密码都使用一个不同的字符串进行了干扰。攻击者需要创建和密码数量一样的彩虹表，这是很不切实际的。
7.问题4：hash速度
大部分hash算法在设计时就考虑了速度问题，因为它一般用来计算大数据或文件的hash值，以验证数据的正确性和完整性。
如何产生？
如前所述，现在一台强劲的PC机可以一秒运算数十亿次，很容易用暴力破解法去尝试每个密码。你可能会以为8个以上字符的密码就可以避免被暴力破解了，但是让我们来看看是否真是这样：
如果密码可以包含小写字母，大写字母和数字，那就有62（26+26+10）个字符可选；
一个8位的密码有62^8种可能组合，这个数字略大于218万亿。
以一秒钟运算10亿次hash值的速度计算，这只需要60小时就可以解决。
对于一个6位的密码，也是很常用的密码，只需要1分钟就可以破解。要求9到10位的密码可能会比较安全了，不过这样有的用户可能会觉得很麻烦。
如何解决？
使用慢一点的hash函数。
“假设你使用一个在相同硬件条件下一秒钟只能运行100万次的算法来代替一秒10亿次的算法，那么攻击者可能需要要花1000倍的时间来做暴力破解，60小只将会变成7年！”
你可以自己实现这种方法：
复制代码 代码如下:
function myhash($password, $unique_salt) {
$salt = "f#@V)Hu^%Hgfds";
$hash = sha1($unique_salt . $password);
// make it take 1000 times longer
for ($i = 0; $i < 1000; $i++) {
$hash = sha1($hash);
}
return $hash;
}
你也可以使用一个支持“成本参数”的算法，比如 BLOWFISH。在php中可以用crypt()函数实现：
复制代码 代码如下:
function myhash($password, $unique_salt) {
// the salt for blowfish should b