Keskustelu: Nettisivujen teko: MD5:n purkaminen

Joo tottakai ollan hakkeroitumassa.

Nimittäin omaan foorumiin. Oma salasana vaihtu nyt niin etten pääse enää hallitteen foorumiani. Olen 5 henkisen foorumin ainoa admin. Salasanan vaihdoin itte, mutta kun en enää tiedä mihin vaihdoin. No salasana on tässä mulla nyt MD5 kryptattuna edessäni. pitäs nyt nähä mitä se on suomeksi. Oisko mahdollista auttaa hädässä.

Pystyt varmaan jotenkin muuttamaan salasanaa, jos foorumi on kerran hallinnassasi. Korvaavan MD5:n saat näin:

<?php
echo md5("uusi");
?>

Onnistuuko tämä konsti?

Tuota yritinkin... Ei ole enää kirjoitusoikeutta tiedostoon.

helvetti. Mitä sitä taas on saanu aikaseksi.

Mihin salasana on tallennettu? Ihan varmasti pystyt sen muuttamaan, jos foorumi on omalla palvelimellasi.

http://passcracking.ru/index.php
http://www.plain-text.info/
http://passcrack.spb.ru/
http://www.rainbowcrack-online.com/
http://rainbowtables.shmoo.com/

Noista luulisi olevan jotakin apua.

Md5-hashista alkuperäisen salasanan selvittäminen on mahdotonta, se onnistuu vain kokeilemalla eli bruteforcettamalla.

Kuitenkin jos olet foorumin siirtänyt palvelimelle, sinulla pitäisi olla sinne ainakin ftp-oikeudet joten pystyt muokkaamaan tiedostoja. Jos muutoksia tallentaessasi saat herjauksen tiedoston oikeuksista, anna tiedostolle ensin ftp-ohjelmallasi kirjoitusoikeudet. Nyt jos salasana on tekstitiedostossa, voit korvata sen uudelle hashilla Antin neuvomalla tavalla.

Foorumi tehty itse vai jokin valmis? Mikä? Sitten voi kertoa mahdollisesti kertoa mihin salasanasi on tallennettu.

Kaikkien jotka kuvittelevat md5-salasanojen olevan purkamattomia tulisi kokeilla tuota nikon ensimmäistä linkkiä. Ainakin se toimii hyvänä opetuksena, että heikko salasana on tosiaan helposti purettavissa. Satunnainenkin 8-merkkinen lowercase salasana yhdellä numerolla tuli takaisin ennen kuin ehti kissaa sanoa. Samoin pari muuta sanaa, joiden kuvittelinkin olevan valmiiksi purettu. Vasta satunnaisella salasanalla, jossa oli sekoitettu pieniä ja isoja kirjaimia, erikoismerkkejä ja numeroita, joutui jonoo.

Kiitti. Nikon linkillä sain salasanan selville. Kun tein ite tuommosen foorumin, tai muokkasin itsetehdystä. Ja tein kämmin siihen että mulla ei ollu Confirm pass kohtaa, ja tuli kirotus vihre. No sitte passu oli sellanen mitä en tienny. Ja serveri jossa ko. php on ei ole täällä vaan kotopuolessa. Ja itte en ole lähelläkään kotopuolta. Tuon MD5 sain taas tänne s-postilla ihmiseltä joka ei käsitä salasanasta tai php:stä mitään. Eli poliisia ei nyt varmaan tarvi soittaa. Eli ei ole suomen pankin tietojärjestelmään murtauduttu. :D

No mutta kiitti viellä kerran.

Tästä voimme oppia oikeasti sen, ettei pelkällä md5:lla suojattua salasanaa kannata oikeasti käyttää. Mieluummin jokin sana (prefix) salasanan eteen sekoittaa md5-hashia, jolloin palauttaminen ei onnistu rainbowtableilla.
md5-salasana

Netistä löytyy useita sivuja, joilla voi luoda nopeasti md5-hashin haluamastaan tekstirimpsusta. Tämän rimpsun voi kopi/peistata suoraan kantaan "unohtuneen" salasanan päälle.

Yksi tapa on myös sekoittaa hashiä, vaikka vain kääntää hash-takaperin kirjoitukseksi, yms.

Tuntuuko minusta väärältä, jos luulen tuntevani niin, että jos...

DOSsissa (tahi konsoolissa)
--------------------------

X:\Apache2\bin\htpasswd .htpasswd juuseri

ja kopsitaan .htpasswd uutestaan kansioon X:\Apache\htdocs\suojattu_alue

...niin eikös se passu vaihdu silloin ihan nätisti ihan issekseen?

EDIT: Oho, en huomannu että on jo ratkastu. No anyway, tässä muille vaikka neuvoksi:

Jos kyseessä on phpBB foorumi niin voit kai phpMyAdminilla mennä tietokantaan seikkailemaan, tehdä uuden käyttäjän foorumille ja laittamaan sille admin-oikeudet.

Joo, tarkistin asian. Selvä homma. Tää on kait vähän helpompaa kuin MD5-kryptatun salasanan selvittäminen. Elikkä menet esim. phpMyAdminiin ja foorumisi tietokantaan. Otat sieltä "phpbb_users" taulun ja sieltä sarakkeesta "user_level" näkyy että onko moderaattori, ylläpitäjä vai peruskäyttäjä.

1 = Ylläpitäjä
2 = Moderaattori
3 = Peruskäyttäjä

Tässä tapauksessa muutat sen ykköseksi oman tunnuksesi rivillä. Tietty voit myös muuttaa salasanan suoraan tuolta toiseksi. Toivottavasti sulla on phpBB, se on muuteski paras :)