Advanced password cracking
Upcoming SlideShare
Loading in...5
×
 

Advanced password cracking

on

  • 6,434 views

Ponencia sobre password cracking en la rootedcon2011.

Ponencia sobre password cracking en la rootedcon2011.

Statistics

Views

Total Views
6,434
Slideshare-icon Views on SlideShare
4,753
Embed Views
1,681

Actions

Likes
4
Downloads
173
Comments
0

15 Embeds 1,681

http://www.securitybydefault.com 1553
http://blog.ka0labs.org 72
http://static.slidesharecdn.com 25
http://paper.li 9
http://rsscorner.com 6
http://feeds.feedburner.com 3
http://twitter.com 3
http://www.netvibes.com 2
https://si0.twimg.com 2
http://translate.googleusercontent.com 1
https://twitter.com 1
http://webcache.googleusercontent.com 1
http://seguinfcol.blogspot.com.es 1
http://seguinfcol.blogspot.com.ar 1
http://cloud.feedly.com 1
More...

Accessibility

Categories

Upload Details

Uploaded via as Adobe PDF

Usage Rights

© All Rights Reserved

Report content

Flagged as inappropriate Flag as inappropriate
Flag as inappropriate

Select your reason for flagging this presentation as inappropriate.

Cancel
  • Full Name Full Name Comment goes here.
    Are you sure you want to
    Your message goes here
    Processing…
Post Comment
Edit your comment

    Advanced password cracking Advanced password cracking Presentation Transcript

    • Know your ******4dv4nc3d P@55w0rd$ (r4c|<1ng Alejandro Ramos SecurityByDefault.com
    • Yo. Ego - presentación Manager del TigerTeam de SIA Profesor en el MOSTIC de la Universidad Europea de Madrid Editor de SecurityByDefault.com Aunque lo parezca. No soy gamer =] Blah Blah… ¡Ah! mi twitter: @aramosf
    • ¿Password cracking en 2011? Estudio de políticas de contraseñas «Nuevas» técnicas:  Usos distribuidos  GPGPU  La nube, servidores en Internet Una contraseña suele ser válida para varios sitios  «un anillo para gobernarlos a todos» Para qué ASLR, DEP, IPS, Antivirus, proxies… si la contraseña es el nombre de la compañía Because There Is No Patch To Human Stupidity
    • Aplicaciones que comprueban contraseñas Alejandro2011 http://www.passwordmeter.com/ Alejandro2011https://www.microsoft.com/security/pc-security/password-checker.aspx
    • Políticas de contraseñas Long. Min Dígitos Caráct.Esp. Ej válidos 8 No No 1234567ab 6 No No qwerty 6 No No qwerty 6 No No asdfgh 8 No No qwertyui 6 No No qwerty 6 No No qwerty1234
    • Consejos de Seguridad Si, si, pone «caradehuevo»
    • ¿Qué esta ocurriendo?
    • ¡STOP! Ya todos sabemos… Las contraseñas se deben almacenar de forma segura en nuestras aplicaciones web El método más común es utilizar algoritmo de hash Ejemplo MD5, MD5, SHA1, SHA256Registro en Contraseña 4d186321c1a7f0f354b297e8 md5(hola) 914ab240 web «hola» Acceso: 4d186321c1a7f0f35Contraseña: md5(hola) 4b297e8914ab240 «hola»
    • Dorking filetype: sql log txt Cadenas a buscar:  @hotmail.com @gmail +password +username  Hashes sin salt  e10adc3949ba59abbe56e057f20f883e (md5 123456)  7c4a8d09ca3762af61e59520943dc26494f8941b (sha1 123456)  Volcados de software de gestión de BBDD  "phpMyAdmin SQL Dump"  "Richsoft 2010 Data backup"  "MySQL dump"  "PHPwind bakfile"  "PostgreSQL database dump"  "SHOPEX SQL MultiVolumn"  "Dumped by N3tShell.SQL"  "MySQL Administrator dump 1.4"  Trozos de Bases de datos:  "INSERT INTO `phpbb_users"
    • Ejemplo
    • Incidentes - PHPBB Febrero 2009 Contraseña Num 123456 2650 Obtenidas mediante SQL password 1244 Injection phpbb 708 255.421 usuarios qwerty 562 84,389 contraseñas 12345 418 97% crackeadas 12345678 371 letmein 343 111111 313 1234 273 123456789 253
    • Incidentes - RockYou Diciembre 2009 Contraseña Num 123456 290729 Obtenidas mediante SQL 12345 79076 Injection 123456789 76786 32.603.387 usuarios password 59462 14.344.391 contraseñas iloveyou 49952 Contraseñas en texto plano princess 33291 1234567 21725 Diccionario de gran utilidad rockyou 20901 12345678 20553 abc123 16648
    • Ojo con las estadísticas….
    • Incidentes – Singles.org Red social de citas para Contraseña Num religiosos (?) 123456 221 jesus 63 Acceso al perfil del usuario con password 58 su ID de 6 dígitos 12345679 46 En el perfil se muestra la christ 36 contraseña. love 29 16.250 usuarios princess 27 12.234 contraseñas jesus1 25 sushine 24 1234567 23
    • Incidentes – Internet is for.. Pr0n! Origen y sitio desconocido Contraseña Num 1234 28 10.000 usuarios 123456 25 8.089 contraseñas válidas password 20 pussy 19 12345 18 6969 15 mustang 14 love 14 michael 13 dick 13
    • Incidentes – Gawker Sin detalles del ataque Contraseña Num 123456 4162 Lifehacker / Gizmodo password 3332 748.557 usuarios / hashes 12345678 1444 DES, salt (8 caracteres max) lifehack 861 Muchas pass son HEX (spam) qwerty 765 abc123 529 674,690 encontrados (91%) 12345 503 monkey 471 111111 439 12345 410
    • Gawker – NO-Latinhttp://seclists.org/bugtraq/2010/Feb/5
    • Linkedin
    • Scripts…#!/usr/bin/perluse strict; • http://secby.me/00checkgmailuse Mail::POP3Client; • http://secby.me/01checkpaypaluse IO::Socket::SSL; • http://secby.me/02checkfbmy ($mail,$pass); • http://secby.me/03checkmuopen(FILE,$ARGV[0]); • http://secby.me/04fuckyeahwhile(<FILE>) {chomp();($mail,$pass)=split/:/;next unless $mail =~ /gmail.com/;my $socket = IO::Socket::SSL->new( PeerAddr => pop.gmail.com, PeerPort => 995, Proto => tcp) || die "No socket!"; my $pop = Mail::POP3Client->new(); $pop->User("$mail"); $pop->Pass("$pass"); $pop->Socket($socket); $pop->Connect(); if ($pop->Count() > 0) { print "$mail:$pass:OK!n"; } else { print "$mail:$pass:NOOKn"; }}
    • Incidentes – rootkit Portal de RCE Contraseña Num 123456 1023 Ingeniería social con el password 384 incidente HBGary rootkit 329 81.450 usuarios 111111 190 58,675 contraseñas distintas 12345678 181 54,372 encontradas (93%) qwerty 174 123456789 170 4,303 Pendientes 123123 99 qwertyui 91 12345 89 hijodeputa 1
    • Ejemplos de contraseñas encontradas Rockyou: y los hackers:  phpBB y el amor:  fuckyouhackers  SANDRA TE AMO  trytohackme  Tru Love  some1hackedmypassword  teamojuanpablo  hackingisfunbutbecareful!  lovedogs  hacker!@#$%^&*(  ilovetits Rootkit y el sexo  Gawker y ...:  Transexual27  asslover  pornking  notgay  Ilovebrittanie  gayboy  iownyourass  assfuck1
    • ¿Cómo?
    • Fuerza Bruta Probando todas las combinaciones posibles:  aaaaa…ZZZZ  Markov (http://openwall.info/wiki/john/markov) Uso de Tablas Rainbow para algoritmos sin salt  Mejoran rendimiento en discos duros SSD ($$!) Lista de 500hash MD5 mixalpha_all_space 1-6:  Rainbow Tables: ~6horas  GTX460 IGHASHGPU: 23min Un solo hash MD5:  Rainbow Tables: 2,5min  GTX460 IGHASHGPU: 16min
    • Herramientas (GPU) OclHashcat  http://www.hashcat.net IGHASHGPU  http://www.golubev.com/hashgpu.htm BarsWF  http://3.14.by/en/md5 Whitepixel  http://whitepixel.zorinaq.com/
    • Fuerza Bruta (eh, pero con clase): Máscaras Crear ataques en base a reglas. Ejemplos:  «Los 5 primeros carácteres tiene que ser letras minúsculas y luego 2 dígitos»:  ?l?l?l?l?l ?d?d  «La primera letra máyuscula y luego 6 letras minúsculas»:  ?u?l?l ?l?l?l  «5 caracteres alfanúmericos»  -1 ?l?u?d ?1?1?1 ?1?1?1?l = abcdefghijklmnopqrstuvwxyz?u = ABCDEFGHIJKLMNOPQRSTUVWXYZ?d = 0123456789?s = !”#$%&’()*+,-./:;<=>?@[]^_`{|}~?h = ISO-8859 characters from (0xc0 – 0xff)
    • Oclhashcat
    • Diccionarios Clásicos: openwall, etc Generación:  Wikipedia  Freedb.org  IMDB  …  Crawling (CeWL: http://www.digininja.org/projects/cewl.php) Diccionarios de sitios hackeados anteriormente. Diccionarios de nombres de usuario  Facebook  Usuarios de dumps viejos
    • Ejemplo… IMDB Títulos de películas:$ wget ftp://ftp.fu-berlin.de/pub/misc/movies/database/movies.list.gz$ zcat movies.list.gz | sed -e s|(.*||g > movies.dict$ sort –R movies.dict |head -1 movies.dictMagic in the Sky$ zcat movies.list.gz | sed -e s|(.*||g -es/<(.)([^ ]*)/1/g -e s| ||g |sort –u>moviesacron.dict$ sort –R movies.dict |head -1YWNitMP
    • Diccionarios: Reglas Permutan palabras de un diccionario: Ej «ninja»  Ninja2010, ninja!, NiNjA, $$ninja$$, ninja8==D, ninjaaa! Herramientas: oclhashcat+, hashcat y JtR Reglas creadas por Korelogic:  JtR: http://contest.korelogic.com/rules.html  Ocl/hashcat: https://contest.korelogic.com/rules-hashcat.htmljohn.conf:[List.Rules:RootedRulesAppendrooted]cAz"[rR][oO][oO][tT][eE][dD]«[List.Rules:RootedRulesPrependrooted]A0"[rR][oO][oO][tT][eE][dD]"
    • Ejemplo JtR / Oclhashcat+
    • Diccionarios: fingerprint Dado un diccionario de contraseñas válidas, generar otras combinaciones: $ echo cosa|./hashcat-utils-0.3/expander.exe| sort -u a ac aco acos c co cos cosa o os osa osac s sa sac saco
    • Fingerprint
    • Hardware
    • ¿ AMD o NVIDIA ?  Nvidia:  CUDA está mejor soportado  AMD:  Menos aplicaciones  Drivers problemáticos  Mucho más rápido2500  Más económicas 10000 9000 80002000 70001500 6000 50001000 4000 MD5 3000 500 2000 SHA1 0 1000 0
    • GPGPU – Velocidades (MD5)Basado en: http://golubev.com/gpuest.htm
    • En resumen MD5 SHA1 PrecioGeforce 8600 GT 92 28 -Geforce 9600 GT 253 76 -Geforce GT 220 159 48 52,90 €Geforce GT 240 313 95 68,90 €Geforce GTS 450 668 201 73,90 €GeForce GTX 460 1008 303 127,90 € MD5 SHA1 PrecioNVIDIA Tesla C2050 1392 437 2.279,00 € Radeon HD 4350 115 34 34,99 €GeForce GTX 570 1899 596 314,00 € Radeon HD 4670 602 176 71,00 €GeForce GTX 580 2137 670 519,00 € Radeon HD 5450 192 52 76,90 € Radeon HD 5550 649 176 66,90 € Radeon HD 5770 2509 680 109,90 € Radeon HD 6850 2745 744 157,00 € Radeon HD 6870 3720 1008 199,00 € Radeon HD 5870 5018 1360 295,00 € Radeon HD 5970 8561 2320 569,00 € Radeon HD 6950 4560 1173 284,00 € Radeon HD 6970 5472 1408 326,90 € Radeon HD 6990 9328 2400 600 €
    • En productos comercialeshttp://www.elcomsoft.com/aopr.html
    • Hardware - d3ad0ne
    • Hardware - d3ad0ne
    • Dummy DVI 75 Ω C1-C5 (analog red / analog ground) ó C2-C5 ó C3-C5
    • Dummy VGA ~50-150 Ω C3-C8 C2-C7 C1-C6
    • BarsWF
    • IGHASHGPU
    • Clusters  Fabricantes: Cubix  16 slots pci express  28.500$ (ups!)
    • PS3 Condor Cluster 1760 consolas
    • Distribuido
    • Amazon Ofrece Instancia con 2 Nvidia TESLA a 2$ la hora = 410M/s Velocidad similar a 1 Geforce GT 240 (70$)  8 instancias durante una semana = 4 ATI 5790  4 ATI =36.000M/s  8 Instancias = 1.640M/s
    • Gracias.Alejandro Ramos / @aramosf SecurityByDefault.com SecurityByDefault.com