MD5 Verschlüsselung

[homer65]

Hallo Leute,
konkret geht es mir um phpBB. Dort werden die Passwörter der Benutzer MD5 verschlüsselt abgelegt. Ist es möglich zu einem MD5 Hash ein Passwort zu finden, das den gleichen Hash liefert?
Christian

 

[Roar]

nein, nur durch bruteforcing oder dictionaries.

 

[Wildcard]

Für soetwas nimmt man Rainbow Tables, allerdings gibt es wenige legale Anwendungsbereiche für so etwas :noe:

 

[foobar]

Wenn die Passwörter schwach sind, findest du mit John the Ripper innerhalb weniger Minuten das PW.
http://www.openwall.com/john/

 

[homer65]

Ist ja interessant, das es dafür schon ein fertiges Programm gibt. Habe mir John the Ripper mal runtergeladen. Komme aber noch nicht damit zurecht. Wie bedient man es? Konkret geht es mir um Passwörter von phpBB, die sind in einer MySQL Tabelle als MD5 Hashes gespeichert. Könnte die in ein Flat File entladen. Aber wie geht es dann weiter?

 

[foobar]

Du brauchst erstmal ein Dictionary-File oder benutzt den Incrementmode, aber das kann dauern. Ruf john mal ohne Parameter auf, dann werden alle Options aufgelistet.

 

[homer65]

Ok, hab ich gemacht. Wenn ich das richtig verstanden habe (Wer weiss?) ruft man das wie folgt auf:
john-386.exe --format=MD5 --incremental user.txt (Läuft unter Windows)
Wobei in user.txt der zu knackende MD5 Hash steht. Dummerweise funktioniert es nicht, stattdessen kommt:
No password hashes loaded
Was mach ich falsch? Muss user.txt ein bestimmtes Format haben?

 

[foobar]

John erwartet ein Unixpasswortfile. Das sieht ungefähr so aus:

man:*:12931:0:99999:7:::
lp:*:12931:0:99999:7:::

Dort wo die Sterne sind, muß das gehashte Passwort eingefügt werden.

BTW incremental kann etwas dauern ;-)

 

[wranger]

Hatte das ganze auch mal probiert ... allerdings keine MD5 verschlüsselten Passwörter

Für eine 4-stelliges Passwort hat er etwa 20min gebraucht

Bei einem 5-stelligem habe ich nach etwa 25Tagen aufgegeben.

War auch per Bruteforce

Mein Tipp: Lass es einfach sein

 

[byte]

Hm, wenn man mal nur von Groß- und Kleinbuchstaben sowie den 10 Ziffern als Alphabet ausgeht (die meisten Passwörter enthalten wohl keine Sonderzeichen), dann ergibt das 62^4 Kombinationen bei 4-stelligen bzw. 62^5 Kombinationen bei 5-stelligen Wortlängen. Also offenbar hattest Du bei den 20 Minuten einfach nur Glück, denn das 5-Stellige dauert im Worst Case "nur" 62 mal länger.

 

[wranger]

Kann natürlich auch sein, dass das bei einem 3 und 4stelligem Passwort so war ... ist schon eine Weile her

 

[Gast]

mit ner wörterliste kommt ihr da viel besser weg!

guckt doch mal hier, was zb bei flirtlife für nette, einfache passwörter benutzt werden:

http://www.heise.de/newsticker/result.xhtml?url=/newsticker/meldung/73396&words=ficken Ficken


einfach ne liste mit den umgänglichsten wörtern nehmen und gut is *g*

 

[zubi]

Wozu das Ganze eigentlich? Wildcard hat ja bereits erwähnt, dass es wenig legale Anwendungen dafür gibt... deshalb verstehe ich die Hilfestellungen nicht ganz.

 

[Guest]

Wozu das Ganze eigentlich? Wildcard hat ja bereits erwähnt, dass es wenig legale Anwendungen dafür gibt... deshalb verstehe ich die Hilfestellungen nicht ganz.

na und? muss denn alles legal sein? n bisschen rumgespiele mit solchen sachen is doch ganz normal.

 

[Grizzly]

Finde ich auch, dass das Ganze etwas arg merkwürdig ist. Sorry, Christian, aber die Sache stinkt bzw. riecht etwas merkürdig. :noe:

Wenn ein Benutzer in einem/Deinem phpBB Forum sein Passwort vergessen hat, kannst Du es ja zurücksetzen. Wenn das nicht über die Admin Oberfläche von phpBB geht, nimm ein Passwort, lass MD5 drüber rennen und schreib das Ergebnis entsprechend in die MySQL Datenbank.

Ansonsten kann ich mir nur vorstellen, dass man im Namen der entsprechenden Person Beiträge im Forum verfassen will (was nicht nett ist und viel einfacher über Einträge direkt in der Datenbank gehen würde). Oder man versucht über das Passwort Beiträge in anderen Foren über den Benutzer zu verfassen, bei eBay einzukaufen oder bei Amazon zu bestellen.
Ich will ja nichts unterstellen, aber - naja... :wink:

 

[Grizzly]

Wozu das Ganze eigentlich? Wildcard hat ja bereits erwähnt, dass es wenig legale Anwendungen dafür gibt... deshalb verstehe ich die Hilfestellungen nicht ganz.

na und? muss denn alles legal sein? n bisschen rumgespiele mit solchen sachen is doch ganz normal.

Würde "rumspielen" nicht heissen, das man es selber ausprobiert?

Hallo Leute,
konkret geht es mir um phpBB. Dort werden die Passwörter der Benutzer MD5 verschlüsselt abgelegt. Ist es möglich zu einem MD5 Hash ein Passwort zu finden, das den gleichen Hash liefert?
Christian

Das klingt eher nach einer fertigen Lösung. Und wenn man "rumspielen" möchte, schaut man bspw. bei Wikipedia nach und liesst entsprechende Artikel. Dann kann man sich die Frage selber beantworten und ein entsprechendes Programm sich aus den Rippen klopfen.

So würde ich das zumindest machen...

BTW: Prinzipiell lässt sich zu jedem Hash der Ausgangswert finden. :wink: