IDC资讯中心
刚才看了《分析腾讯网页登陆的加密机制》这篇文章，里面写了webQQ登陆过程，这个过程我没有去验证，但是我却突然想到另一个问题，那QQ的密码是明文的?
现在我简单总结一下这个登陆过程：
1. 输入：QQ号，用户的明文密码，验证码
2. 将输入进行哈希(MD5)
3. 将QQ号、验证码、哈希值传输，因为验证码每次不一样，所以计算出来的哈希，每次都是不一样的
4. 服务器端验证，成功或者失败
前面3步都很正常，也很安全，就算在第3步，把QQ号、验证码、哈希值得到，还是无法解出用户的密码。
既然我们普通人员无法解出密码，那么服务器也是从用户请求的值解出密码的。
那么，问题来了，服务器是怎么验证用户的有效性的呢?
1. 验证哈希值——假设服务器存储的是密码哈希的值，那么很简单，验证哈希值与服务器上存储的哈希值是否一致即可——可是，这个哈希值是每次登陆，都会变化的，也就是服务器不能存一个静态的哈希值，所以，不会是验证哈希值。
这个方法行不通
2. 通过在服务器端运行同样的哈希过程，然后比较哈希值——这个过程是可行的，因为大家使用同样的输入和计算过程，那么最终得到结果肯定是一样的。
但是，这有一个前提： 那就是服务器端具有与用户同样的输入值：
用户的输入值有：QQ号、密码、验证码
所以，服务器端需要拿到用户的明文密码才可能重现哈希过程。
3. 其他办法验证?我暂时想不出来，还有其他办法验证用户身份——欢迎提供其他验证思路
所以，我的结论是：
验证服务器是可以取到用户的明文密码的——也就是说存储的要么是明文密码（虽然这种可能性不大），要么存储的是可逆加密的密码。
至于腾讯公司，在内部采用了什么办法来保证密码不会被泄露，就不得而知了。
（来源：博客园 作者：小彬）
