Bug #2446

Błędne escapowanie znaku \ w haśle przy rejestracji lub zmianie hasła w GG

Added by Piotr Dąbrowski over 1 year ago. Updated 2 months ago.

Status:New Start date:01/27/2012
Priority:Normal Due date:
Assignee:- % Done:

0%
Category:- Spent time: -
Target version:-
Found in Git commit: Steps to reproduce:
Fixed in Git commit: Additional information:0.11.0-rc2
http://www.kadu.im/forum/viewtopic.php?p=105385#p105385
Junior job:No

Description

Unheard napisał:

Zmieniam hasło do GG przez Kadu na "abc\". Restartuję Kadu.
Pyta mnie o hasło i okazuje się, że muszę wpisać "abc\\",
czyli 2 ukośniki na końcu.

Jeśli jednak ponownie zmieniam hasło, to w polu
"Stare hasło" oczekiwane jest "abc\", czyli tak,
jak powinno być.

History

#1
Updated by Piotr Dąbrowski about 1 year ago

1)

Rejestracja, podaję hasło "eee\":

Debug: GaduServerRegisterAccount: Password: eee\
POST /appsvc/fmregister3.asp HTTP/1.0\r\n
pwd=eee%5c&email=e@e.pl&tokenid=b67b710df52049d144aa05ec25cf1b04&tokenval=FUCYSO&code=1137603420

Do zalogowania trzeba podać "eee\\".

2)

Zmiana hasła, podaję stare hasło "eee\", a nowe "rrr\" 

Debug: GaduServerChangePassword: Password: eee\
Debug: GaduServerChangePassword: NewPassword: rrr\
POST /appsvc/fmregister3.asp HTTP/1.0\r\n
fmnumber=42871710&fmpwd=eee%5c&pwd=rrr%5c&email=e@e.pl&tokenid=a999671fe213f859e27bb3584f72cbbe&tokenval=PYFADU&code=1002528852

Do zalogowania trzeba podać "rrr\\".

Nie jest to zatem ani błąd Kadu, ani libgadu. Wygląda na problem po stronie GG.

Trzeba przetestować jak takie hasła zachowują się na oryginalnym GG.
Jeśli na GG to działa, to być może PRZY LOGOWANIU ZNAKI W HAŚLE SĄ ESCAPOWANE? Jeśli tak, to należałoby to dodać w libgadu.

#2
Updated by Piotr Dąbrowski about 1 year ago

W czasie zakładania konta przez stronę gadugadu:

Niepoprawne znaki w haśle. Hasło powinno zawierać od 6 do 15 liter lub cyfr

#3
Updated by Bartosz Brachaczek about 1 year ago

  • Subject changed from Błędne escapowanie znaku \ w haśle przy rejestracji lub zmianie hasła w GG to Przy podawaniu nowego hasła powinny być akceptowane wyłącznie litery lub cyfry w liczbie od 6 do 15
  • Target version set to 0.12.0

#4
Updated by Bartosz Brachaczek about 1 year ago

  • Project changed from core to gadu-gadu

#5
Updated by Piotr Dąbrowski about 1 year ago

  • Subject changed from Przy podawaniu nowego hasła powinny być akceptowane wyłącznie litery lub cyfry w liczbie od 6 do 15 to Błędne escapowanie znaku \ w haśle przy rejestracji lub zmianie hasła w GG

Rejestracja przez klienta GG 10.5 (10.5.2.13164):
- hasło musi mieć minimum 6 znaków
- program PRZYJĄŁ hasło z backslashem: "tester\"
- inne warunki dla hasła na razie nieprzetestowane

A po rejestracji konta... pojawił się ten sam błąd co w Kadu ;)
Czyli niepoprawne hasło.
Podając hasło "tester\\" można się zalogować.

#6
Updated by Bartosz Brachaczek about 1 year ago

  • Target version deleted (0.12.0)

Skoro oryginalny klient też ma z tym problem, nie musi być koniecznie poprawione w 0.12.

Bardziej co do problemu, to ja bym jednak nie pozwalał wpisywać znaków, które mogą stwarzać problemy. W razie czego: obejście problemu w sposób, który by uniemożliwiał zalogowanie się w przypadku poprawienia błędu po stronie serwerów GG, nie wchodzi w grę.

#7
Updated by Piotr Dąbrowski about 1 year ago

Po dodaniu powyższego konta do Kadu do zalogowania wymagane jest także hasło "tester\\".

Kadu na pewno powinno pozwalać LOGOWAĆ się z takim hasłem.
Być może dla poprawienia tego błędu Kadu powinno przy logowaniu zamieniać znak \ na \\ w podanym haśle, choć będzie to zachowanie niezgodne z oficjalnym klientem GG. Ale tak jak mówisz, to by mogło uniemożliwić logowanie, więc może niech zostanie zgodnie z GG, czyli do zalogowania trzeba ręcznie podać hasło z \\ zamiast \.

Natomiast co do USTAWIANIA hasła (rejestracja, zmiana hasła), to wygląda na to, że także powinno to być dozwolone, skoro oficjalny klient na to pozwala.
Należałoby ustalić inne wymogi dla hasła: minimum 6 znaków, itd.
Choć gadu-gadu POZWALA na hasła krótsze niż 6 znaków przy rejestracji z Kadu (sprawdzanie odbywa się po stronie oryginalnego klienta GG). Więc może nie uniemożliwiać tego użytkownikom? ;)

#8
Updated by Piotr Dąbrowski about 1 year ago

  • Target version set to 1.0

#9
Updated by Rafał Malinowski 2 months ago

  • Target version deleted (1.0)

Also available in: Atom PDF