DEFCON 17. 400,000 पासवर्ड हैक करना, या एक रूममेट को कैसे समझाना है कि बिजली का बिल क्यों बढ़ा है। भाग २

DEFCON 17. 400,000 पासवर्ड हैक करना, या एक रूममेट को कैसे समझाना है कि बिजली का बिल क्यों बढ़ा है। भाग 1

यदि आप पासवर्ड बनाने के लिए किसी भी नियम का पालन नहीं करते हैं, तो पासवर्ड एक साधारण PHP सूची की तरह लग सकता है। लोग नियमों से नफरत करते हैं, वाक्यांशों से नफरत करते हैं और उनका उपयोग नहीं करना चाहते हैं। यदि आप उन्हें स्वतंत्रता देते हैं, तो वे किसी भी ट्रिफ़ल पासवर्ड को प्रिंट करेंगे और मान लेंगे कि काम पूरा हो गया है। इस मामले में, यह सुरक्षित है यदि वे सरल मूल शब्दों का उपयोग नहीं करते हैं, इसलिए बड़े इनपुट शब्दकोशों का उपयोग करना बेहतर है।



इनपुट शब्दकोशों के निर्माण में सबसे बड़ा योगदान सेबेस्टियन रावो द्वारा किया गया था - उन्होंने प्रत्येक विकिपीडिया लेख से शब्दों की विशाल सूची बनाई, साथ ही साथ इसी तरह की परियोजनाओं से भी। यदि आप एक शब्द जानते हैं, तो आप इसके लिए एक विकिपीडिया लेख बनाते हैं। लेकिन विकिपीडिया के लिए जो अच्छा है वह हमेशा सुरक्षित पासवर्ड बनाने के लिए अच्छा नहीं है, इसलिए यदि शब्दकोश वास्तव में बहुत बड़ा है, तो इसके लिए कई अलग-अलग नियमों को लागू करना असंभव है। आप विकिपीडिया से उनके ब्लॉग http://blog.sebastien.raveau.name/ पर शब्दों की सूची पढ़ सकते हैं।

यदि कोई पासवर्ड निर्माण नीति है, तो आपको निम्नलिखित नियमों द्वारा निर्देशित किया जाना चाहिए:
शब्दकोशों में छोटे विषयगत, विशेष शब्द सूची का उपयोग करना बेहतर है,
सबसे अच्छा शब्दकोश पहले फटे पासवर्ड पर आधारित हैं।

गोपनीयता कारणों से, मैं आपको हैक किए गए पासवर्डों की एक सूची प्रदान नहीं कर सकता, लेकिन मेरा विश्वास करो, जैसे ही कोई अमीर व्यक्ति अमीर हो जाता है, एक हैक किया गया पासवर्ड मजबूत हो जाता है यदि आप देखते हैं कि इसे बनाते समय त्रुटि कहां हुई थी और इसे सही करें।

ऐसे पासवर्डों की सूची है, और हम देख सकते हैं कि इन सूचियों में वही उपयोगकर्ता दोहराए जाते हैं क्योंकि उन्होंने हर जगह एक ही पासवर्ड का उपयोग किया था।

यह उपयोगी होगा यदि आप ऐसे पासवर्ड से आधार निकाल सकते हैं। उदाहरण के लिए, TigerWoods1982 पासवर्ड बहुत व्यापक नहीं होना चाहिए, लेकिन लोग लगातार TigerWoods पासवर्ड का उपयोग करते हैं। इसलिए, आप इसके आधार पर एक मजबूत पासवर्ड बनाने के लिए इस मूल वाक्यांश "टाइगरवुड्स" को निकाल सकते हैं। मेरी सीडी पर कुछ उपकरण हैं जो आपको इसे बहुत आसान बनाने में मदद करेंगे।

पासवर्ड के लिए शब्द बनाने के नियम बहुत सरल हैं:

• पहले से फटे पासवर्ड के आधार पर नए शब्द बनाना सीखें;
• JtR केवल कमजोर पासवर्ड को अच्छी तरह से तोड़ता है, इसीलिए इसे इसके लिए डिज़ाइन किया गया है, लेकिन यह जटिल पासवर्ड के साथ बदतर करता है। मैंने अपने कई JtR- आधारित पासवर्ड निर्माण नियम डाउनलोड के लिए उपलब्ध कराए;
• मिंगा कई सुविधाजनक ऑनलाइन पासवर्ड निर्माण उपकरण भी होस्ट करता है: http://marc.info/?l=john-users&m=123820850908275&w=2 , http://marc.info/?l=john-users_m=124053430313891&w=2

हालांकि, आपको अपने स्वयं के नियमों को विकसित करने की आवश्यकता होगी यदि आप वास्तव में मजबूत पासवर्ड को क्रैक करना चाहते हैं। मेरी सीडी पर एक और उपकरण है जो आपको पासवर्ड को 2 अलग-अलग सेटों में पार्स करने की अनुमति देता है।

पहला पासवर्ड है, जिसके बारे में हम जानते हैं कि वे कैसे बनाए गए थे, उदाहरण के लिए, पासवर्ड123 , और दूसरा पासवर्ड हैं, जिस सिद्धांत का हमें पता नहीं है। यह बहुत अच्छा है, क्योंकि आपको पासवर्ड123 जैसे 200 हजार पासवर्ड को छांटने की जरूरत नहीं है और फिर उन्हें इस्तेमाल करने के लिए नए नियमों के साथ आने की कोशिश करें। आपको एक छोटी सूची मिलेगी, जिसमें से आप देख सकते हैं, उदाहरण के लिए, लोग इमोजी का उपयोग शब्दों में इमोटिकॉन्स डालकर पासवर्ड बनाने के लिए करते हैं। आप नए कुंजी संयोजनों को सीखेंगे और इससे आपको मजबूत पासवर्ड बनाने में बहुत आसानी होगी।

जैसा कि मैंने कहा, मैंने अंतर्निहित जेआरआर नियमों से दूर जाने का फैसला किया और "अनुमान" बनाने का अपना तरीका विकसित किया। अच्छे परिणाम संभाव्य क्रैकिंग विधि, प्रोबैबिलिस्टिक क्रैकिंग से आते हैं । मैंने पहले ही कहा है कि हमारी प्रतिक्रियाएँ सार्वभौमिक हैं: हम अपनी आँखों से कुछ करते हैं, सिर हिलाते हैं, कहते हैं कि यह बहुत अच्छा लग रहा है, लेकिन क्या हम सोचते हैं: "किस तरह का अकादमिक कचरा है!" लेकिन मैं यह कहना चाहता हूं कि हम वास्तव में सीखना चाहते थे कि क्रैकिंग पासवर्ड के लिए सबसे अधिक प्रतिरोधी कैसे बनाया जाए, इसलिए हमने हर चीज को बेहतरीन तरीके से करने की कोशिश की।

यह ज्ञात है कि कुछ शब्द दूसरों से अधिक लोगों द्वारा पसंद किए जाते हैं, उदाहरण के लिए, पासवर्ड , बंदर , फुटबॉल । यह भी ज्ञात है कि लोग 123, 007, $$$ या शब्दों के पहले बड़े अक्षरों को जोड़कर "विकृत" पासवर्ड के लिए कुछ नियम पसंद करते हैं। ताकत बढ़ाने के लिए, हमें अनैतिक तरीके से पासवर्ड बनाने के नियमों का अनुकूलन करना चाहिए। यह एक समय लेने वाली प्रक्रिया है। जॉन द रिपर ईमेल न्यूजलेटर से, मुझे उस व्यक्ति के बारे में पता चला जिसने 10 या 12 हजार जेटीआर नियम विन्यास फाइल बनाई थी, जो इसका सबसे अधिक लाभ उठाने की कोशिश कर रहा था।



मैं उससे ज्यादा आलसी हूं, इसलिए मैंने ऐसा नहीं किया। मैंने पासवर्ड बनाने की प्रक्रिया को अनुकूलित करने और प्रक्रिया को स्वचालित करने के लिए इसे आसान बनाने की कोशिश की। हम सभी सूचनाओं को संसाधित करते हैं और कुछ शब्दों और संयोजनों का उपयोग करने की संभावना निर्धारित करते हैं, अर्थात्, हम अनुमान लगाने की संभावना से पासवर्ड रैंक करते हैं। और फिर हम पासवर्ड बनाने के लिए कम से कम शब्दों के संयोजन और "विकृतियों" का उपयोग करते हैं। तो यहाँ हम अपने पासवर्ड को मजबूत बनाने की कोशिश करें:

• पासवर्ड विरूपण के एक गैर-सामान्य तरीके के साथ एक सामान्य शब्द का उपयोग करें, उदाहरण के लिए 13! पासवर्ड 13!
• एक आम "विकृति" के साथ एक दुर्लभ शब्द का उपयोग करें, उदाहरण के लिए, zibra123।

इस विधि से, हम सफल हुए हैं। यदि आप उपर्युक्त संकेतों के अनुसार पासवर्ड को दो सेटों में नहीं तोड़ सकते हैं, तो हमारे पास एक ट्रेनर प्रोग्राम है जो स्वचालित रूप से ज्ञात पासवर्डों की सूची का विश्लेषण करता है और जिसे हम "व्याकरण" कहते हैं, उत्पन्न करता है। इस "व्याकरण" में सभी आवश्यक जानकारी होती है, इसलिए हम क्रैकिंग पासवर्ड की संभावनाओं की जांच के लिए दो ऐसे "व्याकरण" का उपयोग करते हैं।

इसके लिए धन्यवाद, हम अपने पास मौजूद हर चीज का उपयोग करने की संभावना निर्धारित करते हैं: शब्दों में शब्द, शब्द "पासवर्ड में विकृत" के लिए नियम, "पासवर्ड 12 के अंत में दो अंक" जैसे वर्णों की व्यवस्था के लिए एल्गोरिदम, जिसके विपरीत आप नियम का उपयोग कर सकते हैं "पासवर्ड के अंत में दो अंक"। 21 ", और पसंद है।

मैं इस बारे में बात करना जारी रख सकता हूं, लेकिन मैं आपको बेहतर उदाहरण दिखाता हूं कि यह कैसे काम करता है। मैं आपसे स्लाइड पर सब कुछ पढ़ने की उम्मीद नहीं करता, इसलिए मैं आपको बताऊंगा कि मैं क्या करने जा रहा हूं। मैं हमारे संभावित पासवर्ड पटाखा और "फ़ीड" को दो अलग-अलग इनपुट शब्दकोशों में लॉन्च करने जा रहा हूं। वास्तव में, यह 10 शब्दकोशों तक का समर्थन करता है, लेकिन पागल नहीं होना बेहतर है।



एक इनपुट डिक्शनरी में सबसे आम पासवर्ड होते हैं, इसलिए इसमें अनुमान लगाने की उच्च संभावना होती है। दूसरे शब्दकोश में कम से कम सामान्य शब्द हैं, और एक पासवर्ड क्रैकर दो शब्दकोशों के बीच स्विच करेगा। उसके बाद, मैं जॉन द रिपर में सीधे "नमक" करता हूं, क्योंकि, जैसा कि मैंने कहा, मैं अपना पासवर्ड हैशिंग एल्गोरिथ्म बनाना चाहता हूं।

दुर्भाग्य से, हम गोपनीयता की वजह से, फिर से यहां PHP सूची का उपयोग नहीं कर सकते, क्योंकि आप सभी के लिए पासवर्ड क्रैकिंग प्रदर्शित नहीं कर सकते हैं, हमारा संस्थान इसे कानूनी नहीं मानता है। इसलिए, मैं माइस्पेस सूची के उदाहरण पर पटाखे के काम का प्रदर्शन करूंगा, जिसका खुलासा 2 साल पहले किया गया था। इसमें सभी पासवर्ड सादे पाठ में प्रस्तुत किए गए थे, इसलिए आप उन्हें पढ़ सकते हैं, और यह ऑपरेशन एक अतिरिक्त खतरा पैदा नहीं करता है।

हमने एमडी 5 हैशिंग का उपयोग किया है, यह ठीक उसी हैशिंग एल्गोरिथ्म है जिसका उपयोग phpbb सूची के लिए किया जाता है, इसलिए यहां यह बड़े पैमाने पर phpbb पर हमले का अनुकरण करता है। बिना “जेस्ट” के लगभग 17,000 पासवर्ड हैश लोड किए गए थे, और हमने वास्तव में ठेठ मशीन सीखने के लिए उनकी सूची को कई अलग-अलग हिस्सों में विभाजित किया था।

अभी स्क्रीन पर आप उस गति को देख सकते हैं जिस पर पासवर्ड क्रैक किए गए हैं, इसलिए आपको संभवतः धीमी हैशिंग एल्गोरिथ्म का उपयोग करना चाहिए। विभिन्न नियमों के बीच एक स्विच भी है, इसलिए ये केवल "1 अंक आज़माने, 2 अंक आज़माने" और इसी तरह के प्रयास नहीं हैं।

आप देखते हैं कि पासवर्ड विभिन्न आकारों के होते हैं, आमतौर पर लोग 6 से 8 अक्षरों की लंबाई का उपयोग करते हैं और कभी-कभी पासवर्ड के अंत में विस्मयादिबोधक बिंदु होते हैं।

कई और प्रकार के अनुकूलन हैं जिन्हें हम इस एल्गोरिथ्म में एकीकृत करने की कोशिश कर रहे हैं, क्योंकि हमारा काम अभी भी जारी है। इन चीजों में से एक प्रक्रिया में लक्षित हमलों का समावेश है, जब कुछ बड़े पुराने पासवर्ड को तोड़ने के बजाय, प्रोग्राम एक विशिष्ट उपयोगकर्ता के पासवर्ड को क्रैक करने का प्रयास करता है।



एक लक्षित हमले के लिए आपको एक अलग इनपुट डिक्शनरी का उपयोग करना होगा, जैसे कि बच्चे का नाम, जन्मदिन, ज़िप कोड और इसी तरह।

आप देखते हैं कि स्क्रीन पर हैकिंग की प्रक्रिया थोड़ी धीमी हो गई है, ये डिज़ाइन की विशेषताएं हैं, यदि हैकिंग काफी सरल है, तो प्रक्रिया त्वरित हो जाती है। लेकिन चूंकि यह एक संभाव्य मॉडल पर आधारित है, उच्चतम संभावना वाले पासवर्ड का तेजी से अनुमान लगाया जाता है, और कम से कम प्रायिकता वाले पासवर्ड को थोड़ा धीमा कर दिया जाता है, इसलिए अधिक से अधिक संख्या में अनुमान यहां उपयोग किए जाते हैं।

आपने यह भी देखा कि इस सूची के पासवर्ड ज्यादातर बहुत कमजोर हैं। ऐसा इसलिए है क्योंकि हम केवल पासवर्ड क्रैकिंग सत्र शुरू कर रहे हैं और बहुत जटिल या उन्नत पासवर्ड का उपयोग नहीं करना चाहते हैं।

यदि आपके पास एक हैकिंग रणनीति है जिसमें आप केवल मजबूत पासवर्ड पर हमला करने का इरादा रखते हैं, तो आपको ऐसे पासवर्ड के आधार पर एक उपयुक्त सूची बनाने और केवल मजबूत पासवर्ड हैक करके सत्र शुरू करने की आवश्यकता है।

इसलिए, हमारे कार्यक्रम ने अपना काम पूरा कर लिया है। हैकिंग प्रक्रिया में 2 मिनट 30 सेकंड का समय लगा, उस दौरान 5586 पासवर्ड हैक या अनुमान लगाए गए थे, जो कि कुल संख्या का 30% से थोड़ा अधिक है।

सौ कारण हैं कि मुझे क्यों लगता है कि पासवर्ड बनाने की नीति को बदलने की आवश्यकता है, इसलिए नहीं कि पासवर्ड का बहुत उपयोग कुछ पिछड़ा और बेवकूफ है। यह सिर्फ इतना है कि मुझे वास्तव में विश्वास है कि वे हमारी सुरक्षा के लिए अच्छे से अधिक नुकसान करते हैं। खासकर अगर हम ऑफ़लाइन हमलों के बारे में बात कर रहे हैं जिनका विरोध नहीं किया जा सकता है जब तक कि आप हर 2 मिनट में अपना पासवर्ड नहीं बदलते हैं।

अब मैं ब्रूट फोर्स अटैक तकनीक के बारे में बात करना चाहता हूं। यदि आप बचाव का ध्यान नहीं रखते हैं तो ये हमले वास्तव में बहुत नुकसान कर सकते हैं।

वे काफी शक्तिशाली हैं, लेकिन आप उनका विरोध कर सकते हैं, आपको बस अपने दिमाग का उपयोग करने की आवश्यकता है। ऐसा करने के लिए, आपको यह पता लगाने के लिए अक्षरों और प्रतीकों के उपयोग की आवृत्ति का विश्लेषण करने की आवश्यकता है कि कौन से अक्षर या प्रतीक अपेक्षाकृत कम ही पासवर्ड में उपयोग किए जाते हैं।



निश्चित रूप से आप सभी ने इस बारे में सुना है, इसलिए, उदाहरण के लिए, अक्षर Q को अधिक बार उपयोग करने के लिए प्रयास करें, जो पासवर्ड में दुर्लभ है। आपके हैकिंग एल्गोरिदम को सभी पासवर्ड को क्रैक करने की कोशिश नहीं करनी चाहिए, आपको सबसे अधिक संभावना वाले लोगों पर ध्यान केंद्रित करने की आवश्यकता है।

एक अधिक "उन्नत" विकल्प मार्कोव मॉडल है । यह अक्षरों की सशर्त संभाव्यता पर आधारित है, उदाहरण के लिए, यदि आपके पास एक पंक्ति में दो अक्षर Q हैं, तो आप अपने पत्र सेट में U से अधिक सुरक्षित हैं, क्योंकि U आमतौर पर अक्षर Q को शब्दों में अनुसरण करता है। यह भी मानता है कि पासवर्ड बनाया गया है। "ह्यूमन" तरीके, अर्थात, यदि एक निश्चित अक्षर शब्द के इस स्थान पर स्थित है, तो इसके बाद एक और अक्षर होता है, जिसका उपयोग अक्सर ऐसे अक्षर संयोजन में किया जाता है। मार्कोव के मॉडल का उपयोग जेटीआर हैकिंग एल्गोरिथ्म द्वारा किया जाता है, जो इस बात पर ध्यान देता है कि "मानव शब्द" में क्यू आमतौर पर यू या डब्ल्यू द्वारा पीछा किया जाता है, लेकिन एस या जेड नहीं। मत सोचो कि मैं आपको "जॉन द रिपर" प्राप्त करने के लिए संघर्ष कर रहा हूं, लेकिन यह है वास्तव में अच्छा कार्यक्रम।

हम लक्षित हमलों का उपयोग करके ब्रूट फोर्स के तर्क को और गहरा कर सकते हैं। वे पासवर्ड बनाने के ऐसे सिद्धांतों के उपयोग पर आधारित हैं:

• लोग पासवर्ड को एक बड़े अक्षर से शुरू करते हैं;
• वे आमतौर पर पासवर्ड के अंत में संख्या जोड़ते हैं;
• उसी कारण से, वे पासवर्ड में php या phpbb संयोजनों का उपयोग करना पसंद करते हैं।

"शब्दकोश हमलों" के लिए समान सिद्धांतों का उपयोग किया जा सकता है। "क्रंच" नामक हमलों की प्रभावशीलता की जांच करने के लिए एक बहुत अच्छा उपकरण है, यह रिमोट-exploit.com नेटवर्क्स फोरम पर पाया जा सकता है।

मैं आपको ब्रूट फोर्स के हमले का उपयोग करके एक "मजबूत" पासवर्ड को तोड़ने का एक उदाहरण देना चाहता हूं। ऐसा करने के लिए, मैं पहली बार JtR शुरू करता हूं और यह मार्कोव मॉडल का उपयोग करके लोअरकेस अक्षरों के आधार पर "अनुमान" उत्पन्न करना शुरू करता है।



आप देखते हैं कि इस सूची में कई वास्तविक शब्द हैं, जैसे कि कुत्ते, स्टारलेस, समुद्री, जो इनपुट डिक्शनरी में हैं। लेकिन मार्कोव मॉडल के लिए धन्यवाद, वह उन शब्दों को भी उत्पन्न करता है जो वहां गायब हैं, उदाहरण के लिए, स्टेक। लेकिन जब से हम एक मजबूत पासवर्ड हल कर रहे हैं, हमें कुछ अतिरिक्त तर्क लागू करने की आवश्यकता है। इसलिए, मैं उन लिपियों का उपयोग करता हूं जो एक शब्द की शुरुआत में एक बड़े अक्षर प्रदान करते हैं, और एक शब्द के अंत में विशेष वर्ण और संख्या भी जोड़ते हैं।



जैसा कि आप देख सकते हैं, ये "अनुमान" एक वास्तविक मजबूत पासवर्ड की तरह दिखते हैं। अब जब आप पासवर्ड निर्माण नीति जानते हैं, तो आपको "शब्दों को बंद करें" बटन पर क्लिक करना चाहिए और इन शब्दों को एक निश्चित आकार देने के लिए 5 मिनट का समय देना चाहिए, क्योंकि वे बहुत कम दिखते हैं।

हम सब कुछ वापस JtR पर अपलोड करने की कोशिश कर सकते हैं और हैश क्रैक करने की कोशिश कर सकते हैं।



प्रस्तुति की शुरुआत में, मैंने phpbb.com के उपयोगकर्ताओं के लिए पासवर्ड की सूची को तोड़ने के बारे में विस्तार से बात की, और अब मैं वेब होस्टिंग टॉक की सूची को तोड़ने के बारे में थोड़ी बात करना चाहता हूं।



उसे 21 मार्च, 2009 को हैक किया गया था, कम से कम उस समय नेटवर्क पर एक सूची प्रकाशित की गई थी, और हमलावर एक असली बदमाश निकला, क्योंकि उसने सार्वजनिक डोमेन में लगभग 200 हजार लॉगिन और पासवर्ड और अन्य गोपनीय उपयोगकर्ता जानकारी रखी थी। उसने हैश चुरा लिया, और फिर साइट को और सभी बैकअप को हटा दिया। यह सिस्टम प्रशासक के लिए एक बहुत बड़ा आघात था।



उसके बाद, साइट मालिकों ने बताया कि उन्हें हैक कर लिया गया था, लेकिन उपयोगकर्ताओं को चिंता करने की आवश्यकता नहीं है, क्योंकि अब वे सुरक्षित हैं। उसी समय, उन्होंने एक विचार व्यक्त किया, जो वास्तव में धोखा देने वाला और खतरनाक था, मैं आईनेट समुदाय के समन्वयक के शब्दों को उद्धृत करता हूं: "पासवर्ड में" उत्साह "है, और यह एक अभूतपूर्व घटना होगी यदि कोई उन्हें फिर से डिज़ाइन कर सकता है। मैं समय-समय पर अपना पासवर्ड बदलता रहता हूं, इसलिए शायद आज इसके लिए एक अच्छा दिन है। ”

ऐसा लगता है कि मैं कहता हूं: "हैलो दोस्तों, आप जानते हैं, कॉपी रूम चालू है, लेकिन चिंता न करें, वहां एक आग बुझाने की व्यवस्था है, इसलिए इस इमारत के लिए जमीन पर जलना बिल्कुल असंभव है।" लेकिन कभी-कभी मुझे लंच के समय बाहर जाना पसंद होता है, इसलिए आप चाहें तो बाहर भी घूम सकते हैं। ” यह एक कारण है कि मैंने इस सूची को यहां हैक करने का फैसला क्यों किया।

इसके अलावा, समन्वयक ने निम्नलिखित कथन प्रकाशित किया: "एक भी उपयोगकर्ता क्रेडिट कार्ड या पेपे खाता हैक नहीं किया गया है।" शायद केवल इसलिए कि हैकर को इसकी जरूरत नहीं थी। और फिर एक नई विफलता थी - उसी साइट को उसी हैकर द्वारा 7 अप्रैल को फिर से हैक कर लिया गया था, और इस बार उसने नेटवर्क पर लगभग 202 हजार पासवर्ड हैश और 2218 क्रेडिट कार्ड नंबर प्रकाशित किए।

मैं उस साइट पर कभी नहीं जाऊंगा, जिसका प्रशासन कहता है: "हाँ, दो हजार क्रेडिट कार्ड हमसे चुराए गए हैं, लेकिन बाकी सुरक्षित हैं"!

मैं स्थिति को थोड़ा स्पष्ट करना चाहता हूं। लोगों को हैक करना एक तथ्य है, और मैं इसके लिए वेब होस्टिंग टॉक को दोष नहीं देना चाहता। हैक होने के तुरंत बाद अपने सिस्टम से कुछ को बचाने और खींचने की कोशिश करना एक कठिन समस्या है, खासकर अगर उपयोगकर्ताओं ने बार-बार आपको सिस्टम का बैकअप लेने के लिए कहा है। इसलिए, मुझे लगता है कि वेब होस्टिंग टॉक के साथ मुख्य समस्या यह है कि उन्होंने अपने उपयोगकर्ताओं के सामने आने वाले जोखिमों को कम कर दिया है। और उनकी ओर से अभिनय करना बहुत खतरनाक था।

क्योंकि आपको, कम से कम, उपयोगकर्ताओं को एक टिक-टिक घड़ी जैसी कोई चीज़ प्रदान करनी चाहिए, जो न केवल इस साइट के लिए, बल्कि अन्य सभी साइटों के लिए भी लॉग इन करने और अपना पासवर्ड बदलने की आवश्यकता को इंगित करेगा। यह बहुत महत्वपूर्ण है, क्योंकि जल्द ही मुझे इस साइट के बारे में एक दिलचस्प तथ्य पता चला है: पहले हमले के बाद, 1348 उपयोगकर्ताओं ने अपने पासवर्ड बदल दिए, जो साइट पर पंजीकृत कुल संख्या का केवल 0.6% था!

इसलिए हैकर के पास एक ही अपरिवर्तित उपयोगकर्ता क्रेडेंशियल्स का उपयोग करके साइट को वापस करने और फिर से हैक करने का एक शानदार अवसर था, या यहां तक ​​कि उन अन्य साइटों को हैक करने के लिए भी उपयोग करें जहां वे पंजीकृत थे।

मैं यह पता लगाना चाहता था कि क्या इस साइट का हैश वास्तव में इतना कमजोर था, और यह पता लगाने के लिए Google की ओर मुड़ गया कि साइट किस सॉफ्टवेयर का उपयोग करती है। यह पता चला कि यह एक फोरम इंजन vBulletin है , जिसे PHP में लिखा गया है और अपने डेटाबेस को बनाए रखने के लिए MySQL सर्वर का उपयोग कर रहा है। Google ने इस सवाल का भी जवाब दिया कि यह साइट किस हैश एल्गोरिथम का उपयोग करती है - यह MD5 (MD5 (पासवर्ड) .salt) की तरह डबल हैशिंग है। यानी आप उपयोगकर्ता का पासवर्ड लेते हैं, उसने MD5 का उपयोग किया है और एक बार फिर उसी MD5 का उपयोग करके प्राप्त पासवर्ड हैश किया है। मुझे नहीं पता था कि "जॉन द रिपर" ऐसे हैशिंग से कैसे निपटेगा, इसलिए मैंने अपना "पटाखा" लिखा। लेकिन मैंने इस साइट के असली पासवर्ड को क्रैक करने की कोशिश नहीं की, क्योंकि इसमें कई सप्ताह लगेंगे, मैंने अभी सूची में पासवर्ड "पासवर्ड" की उपस्थिति का परीक्षण करने का निर्णय लिया और तुरंत ही पासवर्ड के रूप में "पासवर्ड" शब्द का उपयोग करने वाले 1109 लोगों को हैक कर लिया।



मैं यह कहना चाहता हूं कि पासवर्ड में "हाइलाइट" वास्तव में हमलावर के लिए एक समस्या बन जाता है और इसलिए उपयोगकर्ता के लिए महत्वपूर्ण है। मैं अलग-अलग "उत्साह" के साथ "विज्ञापन" पासवर्ड जारी रखता हूं, क्योंकि एक पटाखा के लिए इसका मतलब होगा कि प्रत्येक व्यक्तिगत उपयोगकर्ता के लिए प्रत्येक पासवर्ड के हैश का "अनुमान" लगाना। यदि हम phpbb साइट लेते हैं, उदाहरण के लिए, जहां MD5 एक-चरण हैश का उपयोग किया गया था, तो हैकर ने पासवर्ड सूची को क्रैक करने में लगभग 1 घंटे का समय लगाया। वेब होस्टिंग टॉक के पासवर्डों की सूची पर इस तरह के हमले के लिए, यदि उन्हें "जेस्ट" द्वारा संरक्षित किया गया था, तो इसमें 200 हजार घंटे लगेंगे।

और क्या कहा जाना चाहिए? , «Dell» 34% 200 phpbb . , «». , , ? , .

, «» , - , , , «». , , 200 , . , «admin» «webmaster».

, , . , , «», , .

, weir@cs.fsu.edu

- , .

: , «It's fun to try the impossible»! : «!!It's fun to try the impossible!» «!!ifttti!».

, Mad Libs , .

: ASCII, :




हमारे साथ बने रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक दिलचस्प सामग्री देखना चाहते हैं? एक आदेश देकर या अपने मित्रों को इसकी अनुशंसा करके हमें समर्थन दें, एंट्री-लेवल सर्वरों के अनूठे एनालॉग पर हैबर उपयोगकर्ताओं के लिए 30% छूट जो हमने आपके लिए ईजाद की है: VPS (KVM) E5-2650 v4 (6 करोड़) 10GB DDR4 240GB SSD 1Gbps से पूरा सच $ 20 या सर्वर को कैसे विभाजित करें? (विकल्प RAID1 और RAID10 के साथ उपलब्ध हैं, 24 कोर तक और 40GB DDR4 तक)।

VPS (KVM) E5-2650 v4 (6 करोड़) 10GB DDR4 240GB SSD 1Gbps दिसंबर तक मुफ्त में जब छह महीने की अवधि के लिए भुगतान करते हैं, तो आप यहां ऑर्डर कर सकते हैं ।

डेल R730xd 2 बार सस्ता? केवल हमारे पास 2 x Intel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps नीदरलैंड और यूएसए में $ 249 से 100 टीवी है ! इन्फ्रास्ट्रक्चर Bldg कैसे बनाएँ के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग?