В этой статье не будет ничего принципиально нового, однако некоторым будет весьма интересен взгляд со стороны спамера (уже бывшего) со стажем. Идея написать на хабр пришла давно, после прочтения этой статьи, которая только вызвала улыбку. Так уж вышло, что давным-давно, во времена учебы в университете, я искал удаленную работу, поскольку на стипендию трудно выживать, не говоря уже о каких-то развлечениях. Тогда один товарищ пригласил меня в компанию, где работал сам. Работа была простая – оставлять где угодно ссылки на определенные сайты, попутно добавляя к ним какое-то сообщение, т.е. обычный спам. Тут, как понимаете, абсолютно никакая капча, проверка cookies или javascript не спасет ситуацию, поскольку регистрируется настоящий человек с помощью обычного браузера. По поводу автоматических спамилок ситуация похожая, если они разновидности «заскриптованный браузер». Однако есть способы усложнить жизнь спамерам и, если не полностью убрать, то значительно снизить поток спама на свой сайт.
Рубрика «брутфорс» - 4
Защита сайта от спамеров и угона аккаунтов
2013-10-14 в 12:22, admin, рубрики: брутфорс, Веб-разработка, защита сайта, информационная безопасность, спам, метки: брутфорс, защита сайта, спамБрутфорс головоломки «Китайские шашки»
2013-10-08 в 15:04, admin, рубрики: c++, брутфорс, головоломка, рекурсия, метки: брутфорс, головоломка, рекурсияПредыстория
Чтобы летом держать мозг в тонусе я скачал себе сборник головоломок. По началу задания были довольно простыми и не особо требовательными к проявлению логики, но по ходу игры чувствовалось нарастающее усложнение.
В какой-то момент я застрял на головоломке под названием «Китайские шашки». Редкие потуги решить её своими силами не приносили особых плодов на протяжение долгого времени и в итоге я отложил свои муки с решением до лучших времен.
Закончилась зимняя сессия, а до начала учебы еще пара недель — чем не «лучшие времена»? Я заглянул в интернет, дабы проверить есть ли у данной головоломки вообще хоть какое-нибудь решение, и первые же результаты поискового запроса убедили меня в том, что оно действительно существует.
Я не стал подглядывать в прохождение, мне хотелось дойти до него своими силами — или самому решить, или написать программу, которая найдет мне это решение. Однако напрямую применить силу мозга мне так и не удалось, я явно упускал из виду что-то принципиально важное для нахождения решения.
— «Ну всё, пусть эта головоломка поговорит с моим многоядерным другом!» — пронеслось у меня в голове, и я сел за написание брутфорса.
Простой способ защиты от распределённого брутфорса доступов к CMS
2013-08-15 в 7:53, admin, рубрики: cms, nginx, брутфорс, системное администрирование, хостинг, метки: cms, nginx, брутфорс Всем добрый день.
Команда Русоникса решила проблемы с электричеством и написала прекрасный пост с красивыми картинками про «Распределенную брутфорс-атаку на CMS с точки зрения хостера».
Впрочем, там не хватает одного — собственно реализации.
Итак, цели этого поста:
- Эскизная реализация описанной в статье схемы на Nginx + немного бэкэнда в виде php;
- Поиск решения «покрасивее»
Если интересно, прошу под хабракат.
Читать полностью »
Просмотр DVD-дисков под Linux является незаконным в США
2013-03-03 в 11:56, admin, рубрики: DMCA, DVD, linux, брутфорс, копирайт, Софт, метки: DMCA, dvd, брутфорс, копирайт 
Не все пользователи Linux знают, что запуск на компьютере лицензионного диска DVD может быть нарушением закона Digital Millennium Copyright Act (DMCA), так же как разлочка и рутование телефонов, снятие DRM-защиты с книг и многое другое.
Кстати, именно по этой причине Ubuntu и другие дистрибутивы Linux отказались от встроенного DVD-плеера, и каждый пользователь должен самостоятельно найти и скачать библиотеку libdvdcss, но только не из официального репозитория.
Журналист и линуксоид Крис Хоффман (Chris Hoffman) довольно доступно изложил суть проблемы. Проблема именно в библиотеке libdvdcss, которая взламывает защиту DVD-дисков с помощью брутфорса 40-битного шифра. Это делается в фоновом режиме незаметно для пользователя.
Читать полностью »
Хеш от хеша уменьшает стойкость к брутфорсу — так ли это?
2012-11-13 в 12:26, admin, рубрики: hash, php, sha512, брутфорс, Веб-разработка, информационная безопасность, пароли, хеширование, метки: hash, sha512, брутфорс, информационная безопасность, пароли, хешированиеЧитая разные статьи по информационной безопасности я часто встречаю подобное утверждение. Обосновывают его так: количество вариантов входных данных второй хеш-функции уменьшается до количества выходных вариантов первой.
И, в принципе, это правда. Если количество этих вариантов изначально было большим.
Читать полностью »
Генератор/валидатор паролей по результатам взлома LinkedIn
2012-06-19 в 2:03, admin, рубрики: брутфорс, генератор паролей, информационная безопасность, перебор, частотный анализ, метки: c++, брутфорс, генератор паролей, перебор, частотный анализ 
После анализа подобранных паролей к LinkedIn появилась идея создать генератор паролей, совмещенный с валидатором, не допускающим легко подбирающиеся пароли. Простейшего анализа на длину, наличие специальных символов здесь не достаточно — некоторые пароли можно легко собрать из очень вероятных «кусочков» и на их перебор уходит существенно меньшее время, нежели теоретически заявленное. И гарантий, что программа-генератор не выдаст вам подобный пароль нет — случайность, она на то и случайность. Мое творение не претендует на полное решение вопроса, скорее это повод для размышлений, но оно вполне работоспособно (исходники и небольшой разбор тоже присутствуют).
Читать полностью »
Анализ возможностей массового аудита на основе утечки хешей из LinkedIn
2012-06-14 в 18:31, admin, рубрики: CUDA, sha1, Алгоритмы, брутфорс, информационная безопасность, перебор, радужные таблицы, релевантность, Соль, частотный анализ, метки: CUDA, sha1, брутфорс, перебор, радужные таблицы, релевантность, Соль, частотный анализ 
Неделю назад утекла база хешей с LinkedIn, для других это событие может быть примечательным само по себе, но для меня, в первую очередь, это означает возможность провести анализ современных возможностей взлома паролей. И я не собираюсь рассказывать о том сколько раз слово «password» было встречено среди паролей и о том, сколько времени занимает перебор шестисимвольных комбинаций. Скорее буду пугать пользователей тем, насколько сложные пароли можно «взломать» за несколько часов. А программистам расскажу как это возможно эффективно реализовать, и в качестве небольшого подарка приложу программу, которую я написал для массового аудита. Присутствует и некоторый ликбез по использованию радужных таблиц с простыми выводами.
И так, за час удалось «восстановить» около 2.5 миллионов паролей на средней рабочей конфигурации, без специальных словарей и радужных таблиц. Среди найденных паролей присутствуют 16-символьные алфавитно-цифровые комбинации, и далеко не в единственном экземпляре.
Читать полностью »
LinkedIn начал использовать соль
2012-06-11 в 10:27, admin, рубрики: john the ripper, linkedin, брутфорс, информационная безопасность, хэширование паролей, метки: john the ripper, linkedin, брутфорс, хэширование паролейКомпания LinkedIn опубликовала в корпоративном блоге дополнение к правилам безопасности: теперь парольные хэши на сервере будут храниться с добавлением соли. В LinkedIn работают хорошие эксперты по ИТ-безопасности, которые давно готовили апгрейд системы, чтобы хэши хранились с солью. К моменту утечки апгрейд уже был сделан, сейчас идёт работа над дополнительными уровнями безопасности.
Директор LinkedIn также подчёркивает, что в утёкшей базе не были указаны email'ы пользователей, а поиском злоумышленников уже занимается ФБР.
Тем временем, с момента утечки подобрано больше половины паролей из опубликованной базы. Например, SophosLabs удалось подобрать 3,5 млн паролей, т.е. 60% всех уникальных хэшей из опубликованного файла LinkedIn (там из 6,5 млн хэшей только 5,8 млн являются уникальными).
Читать полностью »
Автор md5crypt просит им больше не пользоваться
2012-06-07 в 22:10, admin, рубрики: md5, брутфорс, Веб-разработка, криптография, скремблирование, хеш-функция, шифрование, метки: MD5, брутфорс, скремблирование, хеш-функция, шифрованиеАвтор md5crypt Пол-Хеннинг Камп (Poul-Henning Kamp) опубликовал на персональном сайте призыв ко всем разработчикам прекратить использовать этот алгоритм для шифрования (скремблирования) паролей.
Камп говорит, что для своего времени md5crypt был достаточно надёжной защитой для паролей, но с момента его выхода в 1995 году прошло очень много времени. Последние тесты показывают, что на коммерчески доступном GPU можно перебирать варианты со скоростью 1 миллион в секунду, то есть MD5 сейчас уязвим перед брутфорсом точно в той же степени, в какой был уязвим основанный на DES скремблер crypt в 1995 году. Любой пароль из 8 символов можно взломать за пару дней.
«Как автор md5crypt, я умоляю всех не откладывая перейти на более надёжный скремблер паролей», — гвоорит Пол-Хеннинг Камп.
Читать полностью »
Поиск и взлом SIP шлюзов
2012-05-28 в 9:17, admin, рубрики: sip, брутфорс, взлом, информационная безопасность, метки: sip, брутфорс, взлом Со времен введения стандарта SIP (Session Initiation Protocol) разработанногo Хенингом Шулзри и Марком Хэндли в 1996 году, инфраструктура SIP разрослась и опутала весь мир своей сетью. SIP — один из протоколов, лежащих в основе VOIP.
SIP используется для передачи как голоса так и видео. Основные клиенты это физические, юридические лица и корпорации, которые испоьзуют SIP как для звонков по миру так и для внутренней связи. Синхронизация элементов SIP сети происходит на 5060 порту, либо на 5061 с использованием шифрования. SIP хост работает как прокси сервер, он принимает запросы от клиентов, обрабатывает и выполняет соответствующие действия. Для авторизации на SIP сервере используется пара логин/пароль, которые обычно имеют цифровое значение. А сам SIP хост выглядит как IP:5060
Чтобы воспользоватся прелестями этого протокола, вам необходимо обнаружить и хакнуть парочку шлюзов. Для этого вам понадобится пакет SIPVicious и интерпретатор Python. Либо дистрибутив Backrack в котором эти утилиты уже установлены.
Читать полностью »