Tag Archives: Piezīmes

Nedrošas paroles #2009 prologs

Ja tu esi “apgrābstījis” ap 500 000 (skaitlis izdomāts) paroļu hešu, tad tas ne vienmēr nozīmē, ka esi “apgrābstījis” 500 K lietotāju 🙂

Zemāk mēģināšu, no sava skatu punkta, izklāstīt, kā tas tā ir.

Pieņemsim, mums ir M$ pofig lietotājs Jānis.

Ir mums arī paviršs lietotājs Pēteris.

Un ir mums arī lietotāja Anna.

Visi viņi ir piereģistrējušies 10 vienādos brīnumos, kuros pieprasa paroli.

Lietotājs Jānis, būdams kaislīgs antivīrusa programmu fans, izvēlas neko neizvēlēties.

Jānis piereģistrējās 10 resursos ar paroli 1.

Tai pat laikā, paviršais lietotājs Pēteris, M$ sabrīnīts un iebaidīts, piereģistrējās augstāk minētos resursos ar dažādām parolēm:

4, 2, 3, 1, 5, 6, 7, 8, 9, 1

Anna, kā jau parasts lietotājs, lieto drošākās paroles:

10, 11, 12, 13, 14, 15, 16, 17, 18, 19

Un tagad – kā rodas tas 500 K, kas ir gandrīz visi LV interneta lietotāji?

Viss noslēpums slēpjas stulbumā!

Tātad, mums ir 3 (trīs) lietotāji, kas katrs piereģistrējies 10 nevajadzīgos brīnumos, kur pieprasa paroles.

Kopā “iztērētas” 30 paroles.

Zīmējums:

Jāņa paroles – 1

Pētera paroles – 4, 2, 3, 1, 5, 6, 7, 8, 9, 1

Annas paroles – 10, 11, 12, 13, 14, 15, 16, 17, 18, 19

Kā redzams “zīmējumā un grafikos”, dažu un dažas paroles sakrīt.

Sakrīt divas Pētera paroles ar Jāņa parolēm.

Tātad faktiski “paroles” ir tikai 19 gabalas.

Bija labi domāts, ka tās būs 30?

Šajā vietā veidojās pirmais 500 K pārpalikums – “pazūd” 11 paroles.

Paliek – 19.

Nesatraucies, lasītāj, pa 10 gadiem ir izdomātas X metodes, kas nav tik primitīvas, kā es te muldu 😉

Otrs variants

10 Lietotāji un viņu 5 paroles!

A = 12345

B = abc1d

C = a6789

D = defgh

E = i1jhl

F = mn11o

G = ba123

H = prstu

I = vz12a

J = qwert

Nezīmēju grafikus, jo tas būtu jāsaprot, ka “kliedēti viņi ar savam parolēm agri vai vēlu satiksies”.

Nekad nebūs tā, ka visiem un visur būs unikālas paroles, ņemot vērā, ka ir qwerty tastatūra utml.

Rezumē

Līdz ar to, 500 K heši nav 500 K paroles.

Labākajā gadījumā tās ir 316 K.

Labākajā!

Bez tam, daudzi lietotāji veido vairākus paralēlus kontus ar vai bez vienādām parolēm.

Tieši šī iemesla dēļ ir grūti iegūstama populārāko paroļu statistika.

Var mērīt pēc unikālajiem hešiem.
Var mērīt pec visiem hešiem.

Ar 500 K hešu arsenālu ir vieglak piemeklēt vienu konkrētu hešu nekā ar to 1 hešu mocīties atsevišķi.

Par nepielasītām parolēm utml. – citreiz, nākamreiz 😉

Šis bija biedrības “Par drošām parolēm” un Mērkaķkunga izlūkraksts, jo mēs visi taču esam izlūki!

Advertisements

Lameri par hakeriem

Studijā Haralds Burkovskis. Producente L. Bērziņa. „Kā labāk dzīvot”. blabla…

WWW (Pēc desmitiem, pēc ziņām, saite uz vajadzīgo amplitūdu) :
http://www.latvijasradio.lv/program/2008-09/20080909_1.htm

MM$ strīms (šis ir tas, par kuru te vispār ir runa):
mms://lr1w.latvijasradio.lv/pppy?20080909A100000110000

Vai tas tur pieejamais otrs sudformāts.

Rekomendēju noklausīties. Samērā maz melu.

BH OGG kopija (sue me, jeb zinātniski pētnieciskiem nolūkiem):
Nu ir man VLC lokalkopija.

Normālcilvēku normalformātus ogg, mp3 lamnet nelieto.
Es mēģināju pārkonvertēt strīmu, lai uz Linux, bet laikam esmu lamers iekš DVD pārvēršanas Denon (audio) kasetēs. Un tādā garā.

Šī ieraksta virsraksts kopumā ir atbilstošs Lameri par hakeriem, jo tur, piemēram, bija teksts par skript kidijiem, kā tādiem izsmejamiem objektiem, bet patiesībā krakerim nav jāzin visi pasaules kodi no galvas.

Ja sarunā pieminētais skript kidijs nolauž to pašu runātāju „republikāniskos serverus”, tad no pieredzes varu teikt, ka uzlauzto runātāju leksikā skript kidijs vienmēr pārvēršas par hakeri vai krakeri. Bērns uzhako korumpantu; Stilā.

Haralda Burkovska tēmas izpratnes līmenis ir audzis no „Jā, jā Sataki (jaun)kundze” un banālai lamnet reklāmai līdz atbildībai uzdot grūti atbildamus jautājumus.

Bet lamnet valgs (ap kaklu) ir jūtams.
http://www.whoishostingthis.com/www.latvijasradio.lv
http://www.utrace.de/?query=www.latvijasradio.lv
http://searchdns.netcraft.com/?host=http%3A//www.latvijasradio.lv/
Un tādā garā.

———-

Šeit atkal uz caurspīdīga papīra jāuzzīmē lamnet darboņu ieņemamo amatu, pietuvināto loka, uzņēmumu shēmas.

DDIRV == 0, bet algu fonds grozās. Bet tā tēma atkal būs rūdītās KGB demagoģijas skolas dočkas un sinočki pret 0.

http://img240.imageshack.us/img240/8458/bhsucksfb8.jpg

Kā arī es nezinu kurš pirmais savulaik medus šķaidītā darvas mucā piemeta 500 Ls par aizliegtu, rezervētu domēnu iegādi. Un tēma var turpināties. Un par to es jau esmu rakstījis iepriekš. Un tādā gara.
Speciāli uzspiests lamerisms man arī nepatīk.

Kopumā — iepazīsti pretinieku!

Zilās ķiveres! LOL!

$ Pielikumi:

Vēlāk varbūt izvērtīšu tēmu.

Kaut kā noklausieties 😉

Kādas sēnes Tu mežā lasi?

Es lasu šādas sēnes un ēdu arī:

  1. Baravikas
  2. Bekas
  3. Bērzlapes
  4. Gailenes
  5. Vilnīšus
  6. Cūcenes

Citas es kaut kā neriskēju griezt.

Daži mani sēņu čīti 😉

Visvieglāk ir atrast bērzlapes. Tās redzamas no augšas, stāvus.
Baravikas un bekas nav tik labi redzamas no augšas, jo to cepurītes ir pielāgojušās meža krasām. Meklēšanas leņķi vajag pielāgot tuvāk zemei.
Ja ir atrasta viena baravika vai beka, tad tuvākie kvadrātmetri ir rūpīgi jāizķemmē ar skatienu, jo baravikas un bekas bieži vien aug baros.
Nekad nerauju sēni ārā ar sakni! Tā vietā – smuki nogriežu pie saknes. Citreiz arī vajadzēs!
Vecas sēnes es uzkaru, uzspraužu zaros, lai izsējas.
Šaubīgas sēnes pagaršoju ar mēli. Neēdamās riktīgi kož. Bērzlapju garša arī ir mazliet tāda kā sūra, bet nu nav tik dikti un bērzlapes jau nu ir viegli pazīt pēc skata.
Pēc smaržas arī var. Ēdamās smaržo tā kā ēdamās 😉
Šaubīgas sēnes ar punu cepurītes centrā neņemu.
Sēnes ar kleitiņu, gredzenu tur, kur kātiņš, vispār neņemu. Kleitiņas parasti ir visādām mušmirēm un suņu sēnēm.
Ā, neēdamās, nezināmās sēnes es saucu par suņu sēnēm.

Dažreiz es eju lasīt tikai konkrētu sugu sēnes, piemēram, baravikas, bekas, bērzlapes. Tad neņemu, piemēram, cūcenes. Cūcenes vispār var pielasīt maisiem, bet tās nav tāda paša līmeņa sēnes, kā baravikas, bekas.

Tas tā, lielos vilcienos, saprotami 😉 Un tādā garā.

Merkakis un mušmire

Merkakis un mušmire

phoenix 0.1

Strādā 😉

Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:1.2b) Gecko/20020923 Phoenix/0.1

Dabūt var te:

Index of /pub/mozilla.org/phoenix/releases/0.1

Release history:

Mozilla Firefox – Wikipedia, the free encyclopedia

0.5 laikam bija stabilāks 😉

Par to XSS un tā

Security Compass – Application Security mājaslapā var iepazīties ar visnotaļ interesantiem Firefox pielikumiem (ekstensijas):

XSS Me
SQL Inject Me

Izglītošanās nolūkos un augstās zinātnes vārdā (!!!) mazliet iemēģināju šos brīnišķīgos Firefox pielikums dažās b33r.us portālā minētajās mājaslapās.

Rezultāti patiesi varētu iepriecināt, piemēram, turkus.

Minētie Firefox pielikumi teorētiski neder Firefox trešajai versijai, bet to ātri var atrisināt kaut vai ar šo: Nightly Tester Tools.

Vispār xcwcx, kā XUL un Firefox pielikumu specs, varētu papētīt un pielabot tos pielikums 😉 Es, piemēram, tur gribētu redzēt, ne tikai kopsavilkuma atskaiti, bet arī pilnus testēto lapu html dumpus 😉

SELECT * FROM moz_*

Es te izdomāju ar PHP 5 nolasīt (un attēlot pārlūkā) Firefox 3 formhistory.sqlite. Tas fails atrodas Firofox 3 lietotāja profila direktorijā.

Šo te ķeksīti, kas ļauj atcerēties dažādās formās ievadītos datus (Options window):

Teorētiski varētu arī dzēst ierakstus pēc id.

Līdzīgi ir arī ar citiem Firefox 3 *.sqlite failiem.

formhistory.sqlite.php
cookies.sqlite.php
places.sqlite.php

un

7777 🙂

Tas nav http://b33r.us – Pārlūku nepilnība – iespēja pārbaudīt, kuras lapas esi apmeklējis, bet localhost!

PHP: SQLite (PDO) – Manual

NEdrošas paroles #1

Latviešu nedrošās paroles.

Ievads. Pamparam, ievada nebūs. Kam vajadzēs, tas sapratīs.

Kā var noprast pēc šī bloga dažiem pēdējiem ierakstiem, mums te bija akcija, kuras laikā MD5 hešu nospiedumiem tika pielasīti attiecīgi normālteksti.

Kopumā tika iegūti 11111 (vienpadsmit tūkstoši simtu vienpadsmit) normālteksti (tikai ~87% no 12805). Turpmāk tekstā — paroles.
Varētu jau izkūkot 90% (easy), 95% (supermax), bet 11111 ir pietiekami maģisks skaitlis.

Visas šīs paroles ir uzskatāmas kā nedrošas (jo tika samērā vienkārši piemeklētas). Punkts!

Tad nu te būs tā kripatiņa informācijas.

Nedrošu paroļu analīze

Pēc garuma

1 simbols = 2
2 simboli = 1
3 simboli = 8
4 simboli = 31
5 simboli = 99
6 simboli = 3966
7 simboli = 3097
8 simboli = 2174
9 simboli = 1033
10 simboli = 433
11 simboli = 178
12 simboli = 60
13 simboli = 14
14 simboli = 7
15 simboli = 6
16 simboli = 2

Kopā: 11111.
Vidējais paroles garums: 7.22 simboli.
Vairāk par 16 simboliem netika mēģināts piemeklēt, jo ņestoit.

Secinājumi

Līdz 5 simboli paroles nav pat vērts pieminēt, jo to piemeklēšanas laiks ir minimāls. Tās pat nevar nosaukt par parolēm, bet tikai par paroles butaforiju.

Taču varbūtība sekmīgi piemeklēt paroli, kā redzams, lielāka ir apmēram 6 līdz 9 simbolu garu paroļu robežās.

Kā redzams, iespējams, ne vienmēr ir vērts tērēt datoru resursus piemeklējot 1 – 5 un 11 – x, ja populārākie paroļu garumi ir 6 – 9 simboli paroles garuma robežās. Nu, var ja piemest klāt līdz 10 simboli, bet tas jau prasīs papildus datorresursus.

Kā zināms, jo īsāka parole, jo vieglāk un ātrāk notiek tās piemeklēšana.

(Brute-force (Полный перебор) attack mixalpha-numeric-all:

)

Varbūtības attiecības starp 5 simbolu garu paroli un 6 simbolu paroli ir tik būtiska, ka 6 simbolu garas paroles piemeklēšanas efektivitāte ir acīmredzama.

Piemēram, ja ir izvēle piemeklēt paroli ar simbolu garumu no 1 līdz 10 vai 6 līdz 10, tad varbūtība, ka tiks sekmīgi piemeklēta parole ir par labu otrajam variantam. Laiks, resursi.

Populārākie simboli

a = 7643
s = 6458
i = 5674
e = 4763
r = 3708
n = 3383
1 = 3317
o = 2913
l = 2907
t = 2746
k = 2593
2 = 2492
d = 2223
m = 2211
u = 2158
0 = 1997
9 = 1854
3 = 1772
6 = 1762
8 = 1609
5 = 1584
p = 1489
4 = 1445
7 = 1317
b = 1155
c = 1141
g = 1089
z = 952
v = 932
j = 890
h = 790
x = 575
w = 552
f = 499
y = 408
q = 275

Secinājumi

Līdzīgi ir arī ar simbolu lietojumu.
Ne vienmēr efektīvākais būs pilna mixalpha-numeric-all pilna pārlase, ja daudzi simboli tiek lietoti minimāli vai vispār netiek lietoti.

[abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789!@#$%^&*()-_+=~`[]{}|\:;”‘<>,.?/]

(1 – 10)

vai

[asiern1oltk2dmu093685p47bcgzvjhxwfyq]

(1 – 10)

?

Kā redzams no grafikiem un skaitļiem, tad iespējams, otrā varianta varbūtības panākumi ir daudz lielāki.

Bet šodien pilnu pārlasi praktiski vairs nelieto neviens lauzējs. Tam ir maskas, tie paši populārakie simboli utml. Nez, kā manā sarakstā gadījās 16 simbolu gara parole, m?
Pačukstēšu — vārdu atkārtošana (piemēram janisjanisjanis).

Tieši šeit, saprašanai, var arī iederēties Monty Hall problem, kas tika pieminēta Mind.toBlog(); blogā. Tas tā par varbūtību.

Pēc simbolu lietojuma, stila, ieradumiem, stereotipiem — nākamajā daļā.

Ieteikumi?
a lietotājam lietot paroli a. Šutka.

http://ru.wikipedia.org/wiki/Brute_force
http://en.wikipedia.org/wiki/Brute_force_attack
http://en.wikipedia.org/wiki/MD5
http://en.wikipedia.org/wiki/Password
http://en.wikipedia.org/wiki/Password_strength

Inbox.Files

Man arī ir Inbox.Files ielūgums:

Sveiks,
Aicinam Jūs, kā vienu no aktīvākajiem Latvijas interneta lietotājiem, reģistrēties jaunajā Inbox Files un kā pirmajam izmēģināt šo produktu. […]

Šis ir tāds kā komentārs CooLynX rakstam Inbox Files servisa beta testi | Pods.lv.

Ietestēju augšupielādi ar Windows XP trešās servispakas failu. 316.4 MB.

Fails:

…/0fd814673ea6c4cca9b11bc83dd15e466ee12d1f

Bildītes:

Gribēju ietestēt arī ar Ubuntu ISO augšupielādi, bet man kaut kādi lēni ātrumi.

Ieteiktu izlasīt arī tur esošos lietošanas noteikumus 😉

bye, bučas =)

KDLPA #4

Raža.

80 %

80%

Piemeklēti vairāk kā 80% paroļu heši. Domāju, ka varētu izspiest arī 90%, bet pietiks.

Dažas piezīmes.

hash.insidepro.com
Tur viņiem ir tāda online Hash Database.
hash.insidepro.com labums ir tāds, ka vienlaicīgi var pārbaudīt līdz 50 hešiem. Katru dienu datubāze papildinās. cURL.

7 (telefona numuri, etc), 8 (arī numuri), 9, 10 un 11 (personas kodi) simbolu gara ciparu pārlase.
[0-9] līdz 11 simboliem, šķiet, tagad ir visi.
Arī [a-z] līdz 8 simboliem, šķiet, tagad ir visi.

Wordlisti, wordlisti un vēlreiz wordlisti.
Kombinētie wordlisti. Vienam vārdam no viena wordlista tiek piemeklēta vārda otra puse no cita wordlista.
Divu vai vairāku vārdu kombinācijas no wordlistiem.

str_repeat. janisjanisjanis.

Maskas. Piemēram, 4 cipari sākumā, 4 burti beigās un otrādi. 1111aaaa, aaaa1111. Un tādā garā.

Izplatīts paradums: vārds un galā daži cipari.

ToDo: Pie 80% paliekam un rakstām `Nedrošas paroles`.

Kādas datubāzes lietotāju paroļu analīze #3

Desmitajā testā ir mazliet pielabots wordlists. Latviešu vārdnīca, vārdadienas utml, bez diakritiskajām zīmēm.

Tika piemeklētas papildus 134 paroles.

Pie tā paša.
Dažas smukās kombinācijas uz qwerty tastatūras, piemēram, 6yhn7ujm. Kā tas veidojās, var sameklēt bildē.
Mazs, improvizēts qwerty tastatūras smuko (vizuāli uz tastatūras) kombināciju wordlists.

4 paroles.

Laiku nesanāca nomērīt. Kādas pāris stundas ar sagatavošanos. Sāk piegriezties 🙂

Vienpadsmitais tests ar md5oogle.com
MD5 hešu (hash) salīdzināšanai tika izmantots md5oogle.com.
Līdzīgi, kā ar md5decryption.com, bet daudz vienkāršāk un ātrāk.

Tika piemeklētas papildus 668 paroles.

Laiks — aptuveni 2,5 stundas.

Divpadsmitais tests — viltīgais.
Rēķinot, ka jau iepriekš piemeklēta ~1/4 daļa paroļu, iemēģinājām kādas citas datubāzes plaintext parolīšu wordlistu. Nelietojam vienu un to pašu paroli visur!

263. Pamaz.

Laiks — 5 minūtes.

Trīspadsmitais tests.
Izveidots wordlists no apollo.lv, delfi.lv, tvnet.lv, diena.lv, db.lv, http://nekur.lv/top/week mājaslapu dažādiem tekstos izmantotajiem vārdiem.
Random vārdu wordlists.

43.

hansabanka — desmit burti 🙂

Laiks — apmēram 30 minūtes.

Četrpadsmitais tests.
Tāks, ~1/3 ir piemeklētas.

Nav, ko tālāk ākstīties — jāņem rainbow tables 😉 Tīri intereses pēc.
Arvien vairāk nedrošo paroļu lietotāji atkrīt. 1-6 simbolu visas paroles agri vai vēlu tiktu piemeklētas ar rainbow tables. Kļūst sarežģītāk.

http://freerainbowtables.com/

Tika iemēģināts 400 hešu hešlists.

Tika piemeklētas papildus 24 paroles, kas nav sevišķi daudz :/ Bet naverņika.

izmantots md5_mixalpha-numeric-all-space 1-6.
Rēķinām, ka mums ir vairāki tūkstoši hešu, tādēl tikai 1-6 simboli. Ja būtu tikai viens hešs, tad līdz 8 simboli šķiet tīri reāli atminami.
Līdz 1-6 simboli, imho, vārdnīca (wordlist) ir daudz efektīvāka. Ātruma ziņā. Wordlistā daži vārdi ir arī garāki par 6 simboliem. Spornij vapros.

Ctrl + C, jo pārāk ilgi. Noderētu atsevišķs dators (tikai šo darbību veikšanai), jo tās rainbow tables pamatīgi noslogo datoru.

Laiks — aptuveni 7 stundas.

Piecpadsmitais tests.

Līdzīgi, kā devītajā testā, jau piemeklēto paroļu wordlistam, katrai parolei tiek sākumā, beigās un abos galos pielikts klāt pa ciparam 0, 1, 2, 3, 4, 5, 6, 7, 8, 9 un 10.

Lieka 31 parole ir piemeklēta.

Laiks — apmēram 1 stunda.

Dažas jautrībsaites:

http://www.google.lv/search?q=4d9fa555e7c23996e99f1fb0e286aea8
http://www.google.lv/search?q=bcb48dddff8c14b5f452ee573b4db770
http://www.google.lv/search?q=5f4dcc3b5aa765d61d8327deb882cf99
http://www.google.lv/search?q=9b25505fd5c437194b65b2909b1f0396

Uzmini pēc Googles pirmā rezultāta, kas slēpjas zem šiem hešiem! Tā, uz aci 😉

4d9fa555e7c23996e99f1fb0e286aea8 = ?
bcb48dddff8c14b5f452ee573b4db770 = ?
5f4dcc3b5aa765d61d8327deb882cf99 = ?
9b25505fd5c437194b65b2909b1f0396 = ?

Bilance

Kopā atminētas jau 4117 paroles no 12805.

32 %

Pagaidām visefektīvākā metode, šķiet, ir wordlisti.

Nākamajos testos — varbūt rainbow tables un tas, kas nav izpildīts iepriekšējos testos, ja vien šis viss neapniks.

Iepriekšējās sērijās: 12805 « BlackHalt

Arī par tēmu: Par to paroļu pierakstīšanu « BlackHalt

Kādas datubāzes lietotāju paroļu analīze #2

Kādas datubāzes lietotāju paroļu analīze #2

md5 Iepriekšējā pētījumā noskaidrojām to, ko noskaidrojām.

Viss notiek mājas apstākļos :). Vecs dators. Neizmantojam speciālas, advancētas paroļu minēšanas programmas. Izmantojam švakiņos PHP un MySQL.

Ejam tālāk.

Testi

Ceturtais tests bija visilgākais. Arī samērā maza produktivitāte.
MD5 hash salīdzināšanai tika izmantots http://md5decryption.com/

Tika piemeklētas 569 paroles.

Liela daļa pavisam vienkāršas, kas, kā izrādījās, nebija iepriekšējos testos izmantotajās wordlistēs.
Dažas interesantas: qazwsx, qwertyuiop, lollollol, asdfghjkl, ytrewq, ******, P@ssw0rd

Laiks — vairāk kā divas diennaktis.
Piemeklēto, atminēto paroļu heši no tālākiem testiem tiek izslēgti.

Piektajā testā tika izmantotas tā saucamās permutācijas (permutations). Tādas vienkāršas kombinācijas. Cipari no 1 līdz 6. Garums seši simboli. Tāds kā mini bruteforce.
Šis bija vairāk kā tests par to, vai ir vērts veikt lielāku ciparu pārlasi.

Tika piemeklētas 42 paroles.

Kaut kādi rezultāti tomēr bija.

Laiks — aptuveni 30 minūtes.

Sestajā testā princips tāds pats, kā piektajā, bet cipari 0123456789. Garums no 1 līdz 6 simboli. Varētu līdz 7 simboli, bet būtu pārāk ilgi šim testam.
Arī no šī testa tika izslēgti piektā testa rezultāti, kas jau atminēti. Piektā testa rezultāti būtu pieskaitāmi šī testa rezultātiem, bet mēs to nedarām, jo viss te tiek pierakstīts tieši tā, kā tika darīts. Nu, šis jau būtu uzskatams kā bruteforce.

Jocīgi, bet tika piemeklētas `tikai` 457 paroles.

Interesanti, ka tieši sešu simbolu garas paroles bija visvairāk (444). Ar 7 simboliem, droši vien, iebirtu vēl.

Varbūt trīs, pieci simboli tiek uzskatīti par gana īsu paroli. Tā tas, protams, arī ir.
Lietotājam uz tastatūras ir ritmiskāk, ērtāk uzsist pāra reižu, nekā nepāra 🙂 Klik-klik-klik, klik-klik-klik.
Daudzi izskatās dzimšanas dienas skaitļi, piemēram, 280877.

Laiks — aptuveni 12 stundas.

Septītais tests — dzimšanas dienas.
Ar PHP Date/Time funkcijām tika uzģenerēti datumi no 1970 līdz 1998 gadam, kurus varētu izmantot dzimšanas dienu pārlasei.
Sākumā šādā formātā dmY. Piemēram, 01011970.
Tā jau būtu astoņu(!) simbolu gara parole.

Tika piemeklēta 31 parole.

Laiks — aptuveni 3 stundas.

Pie tā paša tika iemēģināts arī d-m-y formāts. Parole ietver divus speciālos (-) simbolus!

Netika atminētas, bet tas nenozīmē, ka šāda stila paroles būtu drošas.

Laiks — aptuveni 3 stundas.

Neatrada, jo tie kuri zina, kas ir speciālie simboli dzimšanas dienu paroles nelietotu. Un tas arī ir pareizi!
d.m.y, d/m/y, d-m-Y un citi datumu formāti tālāk netika mēģināti, jo, iemesls lasāms iepriekšējos teikumos.

Astotais tests savu kļūdu labošanas tests.
Ar jau atminēto paroļu wordlistu tiek nobraukts vēlreiz visam pāri. Aizpildot caurumus, jo ceturtajā testā dažreiz nebija konekcija ar md5decryption.com un tāda garā.

Tika piemeklētas vēl 79 paroles, kuru heši iepriekšējos testos kaut kā bija izkļuvuši cauri.

Laiks — sekundes.

Ja jau tā, tad devītajā testā papildus tika izmantots jau atminēto paroļu wordlists, bet ar dažiem papildinājumiem:
jau atminētais paroles variants ar papildus galā pieliktu ciparu 1. Piemēram, ja jau bija piemeklēta parole juris, tad tagad tika iemēģinātas juris1, ja janis1, tad janis11. Un tādā gara.

Bez 1 pielikšanas galā, tika izmēģināts pielikt galā arī 2, 3, 4, 5, 6, 7, 8, 9, 0, 11, 00, 55, 666, 777.
Citreiz varētu paturpināt arī citas variācijas.

Ar 1 tika piemeklētas 23 paroles.
Ar 2 — 8
Ar 3 — 4
Ar 4 — 5
Ar 5 — 1
Ar 6 — 2
Ar 7 — 7
Ar 8 — nav
Ar 9 — 2
Ar 0 — 1
Ar 11 — 5
Ar 00 — 1
Ar 55 — 2
Ar 666 — 1
Ar 777 — nav

Šajā testā kopā piemeklētas 62 paroles.

Laiks — aptuveni 30 minūtes.

Daži starpsecinājumi.
Plikas ciparparoles, diemžēl, ir samērā populāras.
Daudzi lietotāji savu paroli atceras uz qwerty tastatūras, tas ir, vizuāli. Piemēram, qazqaz, asdfghjkl. Var veidot wordlistus, izmantojot qwerty tastatūras tematiku.
Daži lietotāji paroli veido atkārtojot vienu un to pašu vārdu, piemēram, kakakaka, yopyop.
Parasti lietotāji, iespējams, nemaz neprot(?!) uzdrukāt speciālos simbolus.

Galīgie tematiskie rezumē būs vēlāk. Pēc visiem testiem. Atsevišķā ierakstā.

Kādēļ vispār šis tiek darīts?

Tādēļ, ka es neesmu admins un nezinu lietotāju paradumus.
Tādēļ, ka ir reāla datubāze ar reāliem lietotājiem un nevis kaut kāda mākslīga spriedelēšana.
Tādēļ, ka ir interesanti.
Tādēļ, ka ir iespējams izpētīt samērā liela lietotāju kopuma uzvedību.
Tādēļ, lai informētu lietotājus par viņu nedrošajiem paroļu izvēles paradumiem.

Tavs tāds pats lietotājs…

Varbūt kādam šie testi šķiet muļķīgi vai bezjēdzīgi, bet man tā nemaz nešķiet. Varbūt ir mazliet haotiski, bet visu izšķir galarezultāts. Šis ir process. To visu var salikt pa smukiem plauktiņiem.

Bilance uz šodienu (ieskaitot iepriekšējos testus)

Kopā atminētas 2950 paroles no 12805.

Gandrīz katrs ceturtais — pwned!

23 %

Visas ir uzskatāmas, kā nedrošas paroles!

Kaut kādi rēķini:

Ciparparoles (ctype_digit) — 853
Burtparoles (ctype_alpha) — 1958
Ciparburtparoles (‘^((([a-z]+[0-9]+)+[a-z]*)|(([0-9]+[a-z]+)+[0-9]*))$’) — 135
Paroles ar specsimboliem — 4 OMG, OMG! Programmas kļūda?

Verētu jau būt, ka ir dažas nelielas kļūdas/atkāpes.

Paroļu garumi šajos testos (kopā ar iepriekšējiem):

1 simbols — 2
2 — 1
3 — 7
4 — 24
5 — 56
6 — 1705
7 — 575
8 — 291
9 — 215
10 — 56
11 — 14
Garākas par 11 — 4

Populārāko paroļu dzejolis uz šodienu:

[123456] => 138
[asdasdasd] => 91
[parole] => 69
[qwerty] => 45
[samsung] => 26
[666666] => 21
[000000] => 21
[latvija] => 21
[siemens] => 18
[111111] => 17
[dators] => 17
[kurmis] => 17
[saulite] => 16
[asdasd] => 16
[123123] => 15
[123456789] => 13
[kristaps] => 12
[kaspars] => 12
[kakakaka] => 10
[logitech] => 10
[xxxxxx] => 9
[extreme] => 9
[nezinu] => 9
[martins] => 8
[qazwsx] => 8
[milums] => 8
[madara] => 8
[jaanis] => 8
[celeron] => 8
[123321] => 8
[labais] => 8
[oskars] => 8
[matrix] => 7
[12345] => 7
[aaaaaa] => 7
[sanita] => 7
[master] => 7
[1234567] => 7
[sviests] => 7
[klauns] => 7
[edgars] => 6
[maksis] => 6
[qqqqqq] => 6
[diablo] => 6
[slipknot] => 6
[raivis] => 6
[raimis] => 6
[zemene] => 6
[789456] => 6
[klucis] => 5
[159357] => 5
[lauris] => 5
[susurs] => 5
[walkman] => 5
[andris] => 5
[google] => 5
[mazais] => 5
[resnais] => 5
[password] => 5
[12345678] => 5
[asdfgh] => 5
[1234567890] => 5
[hahaha] => 5
[kartupelis] => 5
[lzorro] => 5
[asshole] => 5
[ramona] => 5
[reinis] => 5
[internets] => 5
[pipele] => 5

Būs arī turpinājums. Pārāk gari šie `palagi`. Pie brutālās burtu pārlases vēl neķērāmies. Interesantāk ir tematiski.

Iepriekšējā piegājiena trešajā testā wordlistā tika izmantotas diakritiskās zīmes, bet tā bija nevajadzīga ekstra. Palaidām garām riga, jurmala, girts utml. Testu jāatkārto bez diakritiskajām zīmēm.
Diakritisko zīmju neizmantošana varētu vainagoties ar papildus xxx paroļu piemeklēšanu, bet tad nāksies otrreiz pie tām iemēģināt paroles ar cipariem galā.

Trešajā piegājienā plānos arī piemeklēt paroles pēc: telefona numuriem, automašīnu numuriem, pasta indeksiem, personas kodiem, IP, e-pastiem, …, kaut ko ar burtiem. Advancētākas datumu pielases.

Kaut kas, kaut kas, hmz: http://www.freerainbowtables.com/en/tables/md5/
Par parolēm: http://www.usewisdom.com/computer/passwords.html

Pagaidām pietiks. Turpinājums sekos…

Saistītais iepriekšējais pētījums.

P.S. ja komentāros ir kādi tematiskie wordlist utml. priekšlikumi, tad rakstiet, bet vispār, pasākumu pamazām ir jāvelk uz nobeigumu.

Ir 23% no 12805
Vai būs 50%?

Lietotāju paroles – paradumi

Kādas datubāzes lietotāju paroļu analīze

Grave, iepriekš pacentās un izanalizēja boot.lv lietotāju paroles, kas bija nonākušas atklātībā.

Asfaltētis Asfaltētis izanalizēja kādas citas datubāzes lietotāju paroles. Arī šī datubāze bija publiski pieejama.
Šajā datubāzē paroles neglabājās atklāta veidā (plaintext), bet gan bija šifrētas ar MD5, glabājās tikai paroļu hešs (hash). Kopā 12805.

Testi

Pirmajā testā tika pārbaudīts, vai lietotāju vārdi atbilst parolei.
Piemēram, vai lietotāja test1 parole ir test1.

230 lietotāji, savu lietotāja vārdu izmantoja arī kā paroli.

Laiks — sekundes.

Otrajā testā tika izslēgti pirmā testa dati, jo tie bija `atminēti`.
Otrajā testā tika izmantots vienkāršu vārdu saraksts (wordlist) no openwall.com.

Tas saraksts nav kā vārdnīca, bet gan biežāk lietoto paroļu saraksts. Cipari arī tur ir.
Katra lietotāja parolei tika piemērīti 2289 vārdi.

Tika piemeklētas 499 paroles.

Laiks — sekundes.

Iespējams, ka ar lielāku, valodai atbilstošāku, tematiskāku wordlist, tiktu atminēts krietni vairāk.

Tādēļ trešajā testā tika izmantots mazliet specifiskāks wordlists.
Latviešu vārdnīca, latviešu vārdadienas, Latvijas pilsētas (77), neliela angļu vārdnīca un openwall.com (cita versija). Tāds nefiltrēts mistrojums.

Visi vārdi tika piemēģināti gan ar mazajiem burtiem, gan lielajiem, gan ar vārda pirmo lielo burtu.

Trešajā testā tika izslēgti abu iepriekšējo testu rezultāti.

Katra lietotāja parolei tika piemērīti 17674 * ~3 vārdi (cipariem nav lielie mazie).

Tika piemeklētas 981 paroles.

Laiks — apmeram 1,5 stundas.

Vēl varētu izmantot arī dažādu brendu wordlistus un tamlīdzīgi. Izskatās, ka arī vienkāršas ciparu kombinācijas ir ļoti populāras.

Kopā atminētas 1710 paroles no 12805.

13,35%

Populārakās paroles:

[123456] => 138
[parole] => 69
[qwerty] => 45
[666666] => 21
[000000] => 21
[111111] => 17
[123123] => 15
[kristaps] => 12
[kaspars] => 12
[xxxxxx] => 9
[extreme] => 9
[labais] => 8
[123321] => 8
[oskars] => 8
[madara] => 8
[martins] => 8
[sanita] => 7
[12345] => 7
[matrix] => 7
[master] => 7
[sviests] => 7
[aaaaaa] => 7
[klauns] => 7
[1234567] => 7
[diablo] => 6
[zemene] => 6
[789456] => 6
[maksis] => 6
[raivis] => 6
[edgars] => 6
[asdfgh] => 5
[kartupelis] => 5
[reinis] => 5
[andris] => 5
[12345678] => 5
[ramona] => 5
[klucis] => 5
[asshole] => 5
[lauris] => 5
[password] => 5

——————————–

Un tas nav viss saraksts.

Tātad, šāda stila paroles nevajadzētu lietot.

P.S. Bija doma arī par ceturto testu, izmantojot http://md5decryption.com/, bet tas prasītu vismaz 24 stundas laika.

Is TOR?

TOR Tajā pašā sakarā. Un tādā garā.
Uzgudroju mazu PHP skriptiņu, kas nosaka vai IP adrese izmanto TOR.
Ietekme no: Izbano savādāk domājošo. – http://etc.blogiem.lv (tagad jau http://etc.appspot.com).

Domāju, ka daudziem admiņiem ir līdzīgi skripti, bet neviens jau nedalās :/

Te tā mana koda versija: PHP koda glabātuve – Is TOR?

Kaut kādas interesantas lapas:

https://torstatus.kgprog.com/
https://torstat.xenobite.eu/

MITM:

http://www.f-secure.com/weblog/archives/00001321.html
http://www.teamfurry.com/wordpress/2007/11/19/on-tor/

Google Favicon

Sīkums, bet Googlei ir jauna favicon ikoniņa:

Google favicon

http://www.google.lv/favicon.ico

Nezinu, varbūt tas tik man tā. Varbūt tā jau bija 🙂

Iepriekš tā ikona izskatījās tāda:

Ātruma Polise

Tāda neeksistē!

Mana versija: `Jūs pārsniedzāt ātrumu par divdesmit latiem!`
Ātruma Polise - License to kill

Šis ieraksts ir par tēmu G2G: `Ātruma Polise`.

Mans viedoklis: sviests.

Atjaunots: Ātruma Polise: Iespējams, ka Ātruma Polise eksistēs

Tautietis.lv

Ja godīgi, tad es paredzu:

Kā jau minēju, es negūstu nekādu finansiālo labumu no šī pasākuma (AdSense tāpat neviens nekliko :D), drīzāk izdevumus. Mans mērķis nav sasniegt noteiktu lietotāju skaitu un tad uzspridzināt saitu to piebāžot ar reklāmām. Es vēlos izveidot blogu bibliotēku.

http://senteevs.lv/?s=uzspridzin

Bet man nav žēl: Tautietis.lv

Pamēģini pats! Atkārto, piemēram, manu blogtop.lv. Atrisini tehniskās problēmas (blogtop.lv tās nav atrisinātas, jo serveris nevelk).

Tu varētu ar mani apvienoties 😉 Bet man nepatīk WP risinājumi :/

Manaideja.lv finanšu piramīda

Manaideja.lv finanšu piramīda […]finanšu piramīdai konkurents var būt tikai cita finanšu piramīda […] (Citāts no Interneta)

Par Manaideja.lv blogos:

NuuchaBlogs – Manaideja.lv
Manaideja.lv – kārtējais sūds, kas čakarē cilvēkus / Digg.lv – Uzzini ātrak. Izlasi vairāk.
Manaideja.lv un aunapieres « Citāti
Ko par to saka Hansabanka, Latvijas Tālrunis, Latvijas Mobilais Telefons, Tele2, SEB Unibanka un Bite Latvija? | Arturs Mednis
See the pyramids along the Nile (ļāūņš ļāčīš)


Par piramīdām:
Pyramid scheme – Wikipedia, the free encyclopedia

Deviņdesmitajos gados Latvijas iedzīvotāji zaudēja naudu vairākās finanšu piramīdās — Bankā Baltija, firmās Auseklītis un Latgalīte, Gigant LLC, kā arī PMI Global LLC, pret kuru 2002.gadā ierosināja krimināllietu par krāpšanas mēģinājumu.
Likuma vārdā : Ekonomikas policija sākusi pārbaudi aizdomu dēļ par iedzīvotāju krāpšanu, iesaistot kādas firmas finanšu piramīdā

6. Finanšu piramīdas. Tādu finanšu piramīdu reklamēšana, kurās peļņu
galvenokārt gūst no citu patērētāju iesaistīšanas shēmā, nevis pārdodot un
patērējot produktus
.
http://tinyurl.com/6exrp8

No sevis es te vairāk neko i negribu piebilst. Man viss ir skaidrs. Lai meklētāji darbojas.

Papildināts.
Zombētajiem: Negodīgas komercprakses aizlieguma likums.

JavaScript Keylogger

Tāds neliels localhost testiņš.

Ielogo visu, ko tu raksti.

Testiem: k.zip

Viss notiek localhost k direktorijā.
Iekšā ir k.html html fails, kurā tiek iekļauts k.js javascript kods, kas ar AJAX nosūta informāciju uz k.php.
Direktorijā data k.php saglabā datus.

Nevajag nekādus skaļus defeisus ar sveicieniem Kirilam. Smuki koda backgroundā sēžam un visu pierakstām.

Mozilla Firefox, Opera, Safari paņēmās.

Ar Internet Explorer man nestrādāja. Žēl.

P.S. Nevajg i nekādus SQL dumpus, i MD5 hašus.

Matrikš 2.0 PHP piezīmes

Matrikš 2.0 PHP piezīmes

Es te uzkodēju kādu PHP fišku. Nevienmērīga failu apmaiņa. Pagaidām tāds kā PHP pseidokods.
Ir lietotāji full, half, none. Lietotāju nosaukumi var būt citi. Te tādi, lai nojausma.

Pamatdirektoriju struktūra:

/users

/users/full
/users/half
/users/none

Katram lietotājam ir apakšdirektorijas data un nodes-out.

Full ir faili Ubuntu_Logo.png un citi.
Full uzģenerē failu (/users/full/nodes-out/full/923be8951d028a249d55a784f7158c86) nodes, kas izskatās apmēram šādi:

full|Ubuntu_Logo.png|923be8951d028a249d55a784f7158c86|4225|0,4225

full ir lietotajs.
Ubuntu_Logo.png ir faila nosaukums.
923be8951d028a249d55a784f7158c86 ir md5_file(‘Ubuntu_Logo.png’);
4225 ir faila izmērs.
0,4225 doma ir tāda, ka faila daļa no cik līdz cik (rezervēta fiška, bet nav DAdomāta).

Tipa full nošārē failus.

Half ir pieeja pie full nodēm un tas tās atvelk uz savu direktoriju /users/half/nodes-out/full (half pie sevis izveido direktoriju full, kur glabāt full failus).
Half ir failu kopēšanas limits ($power=512) 512 baiti vienā reizē.
Half sāk vilkt failus no full ar 512 baitiem solī. Failu velk no tās vietas, kur iepriekš pabeidza. Katru reizi nevelk no 0 (šeit varētu būt fiška, ka full jau iepriekš failus sadala pa gabaliem, lai nav ar PHP tādas mokas vilkt).

Katru reizi, kad tiek novilkti kādi baiti, tos half ieraksta savās nodēs. Apmēram tā:

full|Ubuntu_Logo.png|923be8951d028a249d55a784f7158c86|512|0,512

Tikmēr none ir pieeja pie half nodēm un viņam vajag full failus.
None ir kopēšanas limits 256 baiti solī.
None redz, ka half ir fails ar izmēru 512 baiti.
None sāk vilkt no half to, kas ir pieejams.
None nedabūs pilnu full failu, kamēr half tas jau nebūs.
Pašlaik none atvelk 512 baitus lielu failu ar diviem soļiem un gaida, līdz half atjaunosies nodes.
Katra atvilktā daļa tiek pielīmēta klāt failam.

Jēgu man neprasiet.

Jēga varētu būt kaut kā tā:

Full šārē failus, kuriem tiek klāt half. None netiek klāt full, bet tiek klāt half.
None netraucē full, jo velk failus no half.

Ja pēkšņi full likvidējas (uzspridzina serveri. lol) un half ir atvilkti visi full faili, tad none turpina vilkt no half.
Protams, ja full kidrik ir ātrāks, nekā half ir atvilcis failus, tad cieš visa ķēdīte.

Tāds kā BitTorrent.

Bilde no tā, kas man tur tagad notiek:
Matrikš 2.0 PHP

Ja nu kas, tad tas Ubuntu logo (cerams, ka sakrīt md5_file):
Ubuntu Logo

PHP ekperimentus grande by BlackHalt (http://feeds.feedburner.com/blackhalt)

//———————————————-

Wubi – Ubuntu Linux uz Windows

Wubi ir Ubuntu Linux instalētājs no Windows sistēmām.
Nevajag pat CD matricu bojāt.

Vairāk domāts tādiem, kas tikko uzzināja, ka Internets nesākās ar E un ka kompjūters nav Windows.
(Kaut gan, ja Wubi veiksmīgi neuzinstalēsies, tad Internets kādu laiku veiksmīgi uzelpos bez kāda lietotāja)

Ar Wubi Windows lietotājs var paskatīties, kāds izskatās jaunākais Ubuntu Linux. Paskatīties, cik tas nesmuks un nākošajā dienā, kā Linux eksperts, izteikt pamatotu visas Open source, neWindows sistēmas kritiku 🙂

Tātad, jānozog šī programma: http://wubi.sourceforge.net/latest.php (GNU General Public License).

Nevajag lasīt šo: Wubi – FAQ un WubiGuide – Ubuntu Wiki.

Jāspiež ierastais, filozofiski – ģeniālais Install, NEXT.

Wubi uzinstalēs Ubuntu Linux, kas nesabojās Windows, jo nav vajadzīgas partīcijas un citi grūtumi. Wubi fiziski izmanto failus, kas atrodas uz Windows. Tiek izveidots fails – virtuālais disks, ko Linux saprot kā Linux disku. (N.B. Patiesībā, es Wubi instalācijas laikā atradu iespēju notīrīt to partīciju, kur atrodas Wubi ar visiem failiem. lol)

Tas Linux gan nebūs tāds patiess Ubuntu Linux. Salīdzinājumam, Wubi uzinstalēs sieru uz sapelējušas baltmaizes.

Wikipedia apraksts te: Wubi (Ubuntu) – Wikipedia, the free encyclopedia

Ar Wubi var šo Linux arī noinstalēt (uninstall).

Daži līdzinieki:
Say goodbye to Microsoft. Now.
Topologilinux – [Running Linux inside Windows]
Lubi, LVPM, UNetbootin, and Bubakup – Portal
Instlux – openSUSE

Man gan šķiet, ka iebremzēs un ka ir vieglāk Ubuntu Linux uzinstalēt normālā veidā. Diezko nopietns pasākums tas nav.

————————

Stāsta turpinājums (pēc dienas).

Īsāk sakot — neiesaku!

Iedomājies — tev jau ir uzinstalēts Ubuntu Linux un Windows.
Tu ieslēdz kompīti. Palaižas GRUB. Tu izvēlies Windows.
Palaižas Wubi GRUB (otrs GRUB. wtf?).
Tev atkal tiek piedāvāts izvēlēties — tavu īsto Ubuntu Linux, Windows un Wubi Ubuntu Linux.
Diezgan sviestainu, ne?

Prātīgāk nav Ubuntu Linux instalēt normālā veidā?
Tikai apskatīt Ubuntu Linux var ar Live CD vai izmantojot, piemēram, VirtualBox.

Viens no vienkāršākajiem veidiem, kā uzinstalēt Wubi linuxi ir:
Nozagt Ubuntu Linux ISO;
Uztaisīt direktoriju X:\wubi;
Iekopēt tur Ubuntu Linux ISO un wubi exe;
Palaist wubu exe.
Wubi atradīs tavu Ubuntu Linux ISO un instalēs Ubuntu Linux no tā.

Nav diezko gudri instalēt Wubi, ja tev jau ir pieejams Ubuntu Linux ISO, jo tu vari ierakstīt CD un Ubuntu Linux instalēt, kā Live CD.
Vai no citas partīcijas, vai vienalga. Wubi paliek lieks.

Wubi ir veids, kā Windows lietotajam piečakaratēt dzīvi.

Es izdzēsu Wubi.