 Skąd wziąć hash, bezpieczeństwo |
  |
| Skąd wziąć hash, bezpieczeństwo |
 12.03.2008, 15:11:00
Post
#1
|
|
|
Grupa: Zarejestrowani Postów: 258 Pomógł: 17 Dołączył: 22.05.2007 Ostrzeżenie: (0%) 
 |
Witam
Naczytałem się ostatnio o ułomnościach md5, sha1, tęczowych tablicach i tak dalej. Spłycając temat, to problem sprowadza się do uzyskania ciągu, który po przepuszczeniu przez funkcję skrótu da nam hash danego hasła. Nie musi to być oryginalne hasło, tylko hashe maja być identyczne. Wszystko fajnie, ale żeby złamać takie hasło wcześniej musze posiadać ów hash – czyli de facto włamać się np. do bazy danych. Jeśli już jestem w bazie to w jakim celu jeszcze hashe łamać?  Można przecież wprowadzić zmiany bezpośrednio na bazie. Pozdrawiam Mrok -------------------- |
 |
 
|
|
12.03.2008, 16:21:00
Post
#2
|
|
 Grupa: Moderatorzy Postów: 4 465 Pomógł: 137 Dołączył: 26.03.2004 Skąd: Gorzów Wlkp. |
A co, jeśli hashe, które trzymasz w złamanej bazie danych są hasłami do innych kont/baz?
-------------------- To think for yourself you must question authority and
learn how to put yourself in a state of vulnerable, open-mindedness; chaotic, confused, vulnerability, to inform yourself. Think for yourself. Question authority. |
|
|
|
|
12.03.2008, 16:47:34
Post
#3
|
|
 Grupa: Zarejestrowani Postów: 1 387 Pomógł: 273 Dołączył: 18.02.2008 Ostrzeżenie: (0%)
|
- można przechwycić hasło w inny sposób, niekoniecznie z bazy. Mogę np. podsłuchiwaniem bądź nawet jakimś js (musi być słabość skryptu na ataki XSS) przechwycić hash administratora - po złamaniu zalogować się i zdobyć inne. Później (najlepiej jak już uzyskam bazę użytkowników wraz z ich hashami i adresami stron www) następne strony (i nie tylko! - sporo ludzi używa jednego hasła np. do allegro) lecą jak domino
 Jak później wyjaśnić takim użytkownikom, że ich hasła wyciekły właśnie z Twojej strony?
-------------------- XMPP: l0ud@chrome.pl
|
|
|
|
|
12.03.2008, 17:40:58
Post
#4
|
|
 Grupa: Zarejestrowani Postów: 184 Pomógł: 6 Dołączył: 23.02.2008 Skąd: Katowice Ostrzeżenie: (0%)
|
Polecam pobaic sie SQL Injection
 a jesli juz bedziesz mial hasha, to niektore skrypty do cookiesow lub w sesji dodaja nie hasl a hash wiec mysle ze to nic trudnego 
-------------------- Sygnaturka comes here.
|
|
|
|
|
12.03.2008, 18:08:59
Post
#5
|
|
|
Grupa: Zarejestrowani Postów: 258 Pomógł: 17 Dołączył: 22.05.2007 Ostrzeżenie: (0%)
|
Macie racje. Trochę wstyd, ale o tych mozliwościach nie pomyslalem
 Dziekuje -------------------- |
|
|
|
|
|
Wersja Lo-Fi | Aktualny czas: 4.05.2025 - 06:04 |
