CDRN

Tuvasta hashi algoritm

  • Töölaud
  • Dokumentatsioon
  • API
tuvastab hashi tõenäolise algoritmi (MD5, SHA-1, SHA-256, bcrypt, argon2…) selle pikkuse ja vormingu järgi ning üritab leida selgteksti läbi tavaliste paroolide sõnastiku
Kleebi mistahes hash (kuueteistkümnend, bcrypt $2y$..., argon2 $argon2id$...). Tööriist tuvastab tõenäolise algoritmi.

Mis on krüptograafiline räsi?

Räsi (või krüptograafiline sõrmejälg) on teisendava funktsiooni tulemus suvalise suurusega sisendandmed (parool, fail, string) stringiks fikseeritud suurus. See funktsioon on ühesuunaline: räsist on see nii algse kirje leidmine matemaatiliselt võimatu. Kaks identset sisendit toodavad alati sama räsi, kuid väikseimgi muutus sisendis muudab tulemust täielikult.

Meie tööriist tuvastab räsi tõenäolise algoritmi selle vormingu alusel ja proovib otsida ülilevinud paroolide sõnastikku peamiste algoritmide põhjal.

Kuidas räsi tuvastada?

Tuvastamine põhineb kolmel vihjel:

  • Pikkus: iga algoritm loob fikseeritud suurusega jalajälje.
  • Vorming: puhas kuueteistkümnendsüsteem, Base64 või modulaarne krüptivorming koos eesliidetega spetsiifiline.
  • Eesliide: tänapäevased parooliräsid järgivad vormingut $id$params$salt$hash, kus id identifitseerib funktsiooni üheselt kasutatud.

Tavalised kuueteistkümnendsüsteemi pikkused

  • 8 tähemärki: CRC32 (kontrollsumma, mitte krüptograafiline räsi)
  • 32 tähemärki: MD5, MD4, NTLM, RIPEMD-128
  • 40 tähemärki: SHA-1, RIPEMD-160
  • 64 tähemärki: SHA-256, SHA3-256
  • 96 tähemärki: SHA-384, SHA3-384
  • 128 tähemärki: SHA-512, SHA3-512, Whirlpool

Ainuüksi pikkusest ei piisa järelduseks: MD5 ja NTLM jagavad sama suurust 32 tähemärki näiteks hex. Seejärel tagastab meie tööriist võimalike algoritmide loendi.

Modulaarse krüptivormingu eesliited

Parooliräsi koodist crypt() või kaasaegsed teegid kasutavad a selge eesliide:

  • $1$: MD5 krüpt
  • 5 $: SHA-256 krüpt
  • 6 $: SHA-512 krüpt
  • $2y$, $2a$, $2b$: Bcrypt (variandid olenevalt platvormist)
  • $argon2i$, $argon2id$, $argon2d$: Argon2 (variandid kasutusest, täna soovitatakse Argon2id)

Krüpti räsi näide

$2y$10$N9qo8uLOickgx2ZMRZoMyeIjZAgcfl7p92ldGxad68LJZdL17lhWy

Kasutusjuhtumid

  • Andmelekke analüüs: tuvastage andmebaasi kasutatav algoritm ohustatud, et hinnata rünnaku raskust.
  • Silumine: kinnitage kiiresti, milline algoritm leitud sõrmejälje genereeris API vastuses või logis.
  • Turvaaudit: tuvastage süsteem, mis salvestab endiselt paroole MD5 või SHA-1 (vältida).
  • Kohtuekspertiisi: iseloomustage uurimises esinevat artefakti.

Miks räsi ei ole pööratav

Räsifunktsioon on loodud ühesuunaliseks. Algoritmi pole "räsi dekrüpteerimisest", sest räsi ei ole krüpteerimine: see on projektsioon. Mitu erinevad sisendid võivad teoreetiliselt tekitada sama räsi (kokkupõrke), seega isegi teadmine kirje, mis toodab õiget räsi, ei garanteeri te, et see on algne kirje.

Praktikas tähendab räsi "murdmine" kandidaatkirjete massilist testimist kuni leiate selle, mille sõrmejälg ühtib. Seda teevad sõnaraamaturünnakud ja toore jõuga.

Integreeritud sõnastiku otsing

Meie tööriist sisaldab 39 ülilevinud parooli minisõnastikku: tühi string, parool, administraator, 123456, qwerty, letmein jne. Need 39 sisendit on eelarvutatud 10 algoritmi alusel (MD5, SHA-1, SHA-256, SHA-512, MD4, NTLM jne). Kui teie räsi ühtib ühega neist sõrmejälgedest, tööriist tagastab teile parooli selge tekstina.

See funktsioon illustreeribmiks lihtsad räsid ei sobi sõnade jaoks pass: ründajal pole vaja isegi arvutada, ta konsulteerib tabeliga.

Lihtne räsi vs parooliräsi

Kõik räsid pole paroolide salvestamisel võrdsed:

  • Lihtsad räsid (MD5, SHA-256, SHA-512): loodud olema kiired, mis on vaikeseade, kui soovite vastu seista jõhkra jõu rünnakule. Need ei sisalda Vaikimisi sel, nii et kahel sama parooliga kasutajal on sama räsi, jättes selle eelarvutatud tabelite (vikerkaaretabelite) rünnakutele.
  • Parooliräsi (bcrypt, scrypt, Argon2): loodud kasutamiseks ehituselt aeglane, integreerige juhuslik sool ja tegur konfigureeritav kulu. Argon2id on tänapäeval OWASP soovitatud tipptasemel.

Kuidas tööriista kasutada

  1. Kleebi räsi sisestusväljale.
  2. Tööriist tuvastab vormingu (pikkus, eesliide) ja soovitab võimalikke algoritme.
  3. Kui räsi vastab ülitavalisele paroolile, kuvatakse lihttekstisõna.
  4. Vastasel juhul saate kandidaatalgoritmide loendi, mida tööriistaga edasi uurida pühendatud.

Korduma kippuvad küsimused

Miks minu krüptiräsi ei sobita sõnastikku?

Bcrypt kasutab räsi kohta ainulaadset juhuslikku soola: isegi parooliga parool, iga kasutaja toodab erineva räsi. Sõnastiku eelarvutus seetõttu ei tööta. Just see omadus muudab bcrypti tabelirünnakute suhtes vastupidavaks.

Mida teha, kui sama pikkusega on võimalik kasutada mitut algoritmi?

Rist teiste vihjetega: räsi allikas (Active Directory osutab NTLM-ile, Linuxile /etc/shadow SHA-512 krüpti, vana MySQL andmebaasi MD5 jne) ja rakenduse kontekst. Võrdse pikkuse korral jääb MD5 statistiliselt kõige tõenäolisemaks vanad süsteemid.

Kuidas praktikas räsi "murda"?

Õigustatud turvatestide (audit, pentest) jaoks on standardsed tööriistad Rippija Johannes ja hashcat. Nad aktsepteerivad sõnaloendeid massiivne (rockyou jne) ja kasutage GPU-d miljardite kandidaatide testimiseks teiseks. Teostatavus sõltub algoritmist: MD5 ja SHA-1 toodavad kiiresti, bcrypt ja Argon2 aeglustada rünnakut mitme suurusjärgu võrra.

Kas sisseehitatud sõnastik on otsitav?

Sõnastik on teadlikult minimalistlik (39 kirjet) ja illustreerib selle nõrkust lihtsad räsid triviaalsetel paroolidel. Tõsise kajastuse saamiseks kasutage sõnaloendit väline (rockyou, SecLists) koos Rippija Johni või hashcatiga.

Kas me saame räsi "dekodeerida"?

Ei. Räsi ei ole krüpteerimine: pöördfunktsiooni pole. Iga sait, mis lubab "räsi dekodeerida" rakendab tegelikult otsingut eelarvutatud baasis. Kui teie parool on kordumatu ja pikk, seda seal pole.

Päringunäide

curl -X POST https://cdrn.fr/api/v1/tools/hash-identifier/execute \
  -H "Content-Type: application/json" \
  -d '{"hash":"..."}'

Sisendskeem

Väli Tüüp Kohustuslik Vaikimisi
hash text ✓ –

Lõpp-punktid

  • GET https://cdrn.fr/api/v1/tools - loetleb kõik saadaolevad tööriistad
  • GET https://cdrn.fr/api/v1/tools/hash-identifier - toob selle tööriista skeemi
  • POST https://cdrn.fr/api/v1/tools/hash-identifier/execute - täidab selle tööriista JSON-payloadiga