Как расшифровать пароль 85231

Как надо хешировать пароли и как не надо

В очередной раз, когда мы заканчивали проводить аудит информационной безопасности веб-проекта, моя личная бочка с гневом переполнилась негодованием так, что оно перелилось через край в этот пост.

Постараюсь очень лаконично и быстро обрисовать ситуацию с хэшами.

Сразу определю какую задачу применения хешей буду рассматривать — аутентификация пользователей. Не токены восстановления паролей, не аутентификация запросов, не что-то еще. Это также не статья про защиту канала передачи данных, так что комментарии по challenge-response и SSL неуместны!

Матчасть (короткая)

Hash = хеш функция — (свертка) функция однозначного отображения строки (любой длины) на конечное множество (строку заданной длины).
Само число (строка) хеш — результат вычисления хеш-функции над данными.
Существуют криптографические и некриптографические (классифицируются отдельно, к ним относятся, например, контрольные суммы) хеш-функции.

• Необратимость: для заданного значения хеш-функции m должно быть вычислительно неосуществимо найти блок данных X, для которого H(X)=m.
• Стойкость к коллизиям первого рода: для заданного сообщения M должно быть вычислительно неосуществимо подобрать другое сообщение N, для которого H(N)=H(M).
• Стойкость к коллизиям второго рода: должно быть вычислительно неосуществимо подобрать пару сообщений ~(M, M’), имеющих одинаковый хеш

Вникать в тонкости криптографии прикладному разработчику не обязательно, достаточно запомнить какие хэш-функции (алгоритмы по названию) можно сейчас использовать, а какие уже нет. MD5 — уже нельзя, коллеги, — используйте bcrypt/scrypt.

В веб-приложениях, в числе прочего, хеш-функции используются для безопасного хранения секретов (паролей) в базе данных.
Именно хэш-функция становится вашим последним оплотом, если злоумышленник смог свести нападение к локальной атаке на систему аутентификации. Про онлайн атаки (перебор паролей НТТР запросами), может быть, кто-то еще напишет позже.

• стойкость к атакам перебора (прямой перебор и перебор по словарю)
• невозможность поиска одинаковых паролей разных пользователей по хешам

Для выполнения первого требования нужно использовать стойкие в настоящее время (а не в 90х годах!) хеш-функции.
Для выполнения второго — к паролю перед хешированием добавляется случайная строка (соль). Таким образом, у двух пользователей с паролем «123456» будут разные соли «соль1» и «соль2», а соответственно и хеш-функции от «123456соль1» и «123456соль2» в базе тоже будут разные.

Теперь немного про систему хранения — и соль и сам хеш хранятся в базе данных.
То есть получив доступ к СУБД, злоумышленник получает и значения хешей и соли.

Используйте локальный параметр!

Чтобы усложнить жизнь при атаке перебора следует дописать соль к паролю, а не наоборот (для людей, которые пишут слева направо, конечно).
Так как хеш-функция, как правило, вычисляется последовательно по строке (требования поточности алгоритма), то злоумышленнику при переборе «соленых» хешей, будет проще, когда подхешовое выражение начинается с соли.
Проще потому, что он (злоумышленник) может предвычислить заранее хеш(соль) и далее считать хеш(соль)+хеш(пароль) уже куда быстрее (практически с той же скоростью, что и просто хеш(пароль)). Для всех паролей, что он будет перебирать.

Для того чтобы еще усложнить жизнь атакующему, Solar Designer www.openwall.com/presentations/YaC2012-Password-Hashing-At-Scale/mgp00005.html предлагает ввести еще одну штуку, под названием локальный параметр.

Это по сути «вторая соль» дописывается ко всем (паролям+соль) конструкциям, и является одинаковой для всех хешей в базе. В чем же трюк? В том, что локального параметра в базе нет. Это константа системы, которая хранится в памяти приложения, куда она попадает из конфига (любым способом, только не из базы).

Очень простая и действенная мера, которая позволяет практически полностью исключить атаку перебора по данным только одного хранилища хешей (без знания локального параметра).

Единственный раз мы (ONsec) ломали хеши с локальным параметром, выработав при этом тактику атаки на сам локальный параметр (регистрируемся в приложении, затем ищем в базе свой хеш, соль (свой пароль мы и так знаем) и перебираем ЛП). И тщетно. На длинах 16+ байт для современных функций хеширования — это очень дорого по железу. В итоге проще оказалось скомпрометировать систему аутентификации (проставить себе role=admin в базе через UPDATE 😉 )

Защищайте свои хранилища надежно и грамотно!

Заключение

Буду реалистом — естественно, никто не станет переписывать свои проекты ради «каких-то» хешей. Но новые проекты можно писать на scrypt/bcrypt. А также — внедряйте локальный параметр даже на слабых MD5 — он правда помогает, проверено 🙂

При переходе на другой тип хеширования, помимо трудозатрат, часто встает вопрос производительности. Действительно, более стойкие алгоритмы потребляют больше ресурсов. Тестируйтесь перед внедрением для своих нагрузок по скорости аутентификации пользователей в секунду (для большинства крупных проектов переход на scrypt оказался безболезненным). Выбор конкретного идеального типа хеша в конкретной ситуации может сильно разнится. Так, например, ДБО все чаще выбирают железные решения для генерации хешей с заданной скоростью.

В заключении, привожу скорости перебора хешей (единицы измерения — мегахэши в секунду, то есть количество ), полученных на карточке AMD Radeon 7990 стоимостью менее $1000 (даже по старому курсу):

• MD5: 16000 M/s
• SHA-1: 5900 M/s
• SHA256: 2050 M/s
• SHA512: 220 M/s
• NTLM: 28400 M/s
• bcrypt: 8,5 k/s

• хеш-функции
• onsec
• хеш
• хеширование
• хэш-функция
• хэширование
• хэширование паролей
• хэш-функции
• аутентификация пользователей

Как расшифровать пароль 85231

Забыл пароль. Сменил его, загрузившись в single-mode, но интересно, какой был старый пароль. В начале хэша стоит $1$, что, как я понял, означает шифрование md5. Вопрос: чем расшифровать этот хэш?

question4 ★★★★★
14.10.08 02:54:05 MSD

Re: Как расшифровать пароль из /etc/shadow?

Гипотеза: Для криптостойкого алгоритма хеширования существует бесконечное количество комбинаций символов, которым может быть сопоставлено любое заданное значение хеша.

anonymous
( 14.10.08 03:09:52 MSD )

Re: Как расшифровать пароль из /etc/shadow?

> Забыл пароль. Сменил его, загрузившись в single-mode, но интересно, какой был старый пароль. В начале хэша стоит $1$, что, как я понял, означает шифрование md5. Вопрос: чем расшифровать этот хэш?

$ apt-cache show john
Package: john
Priority: optional
Section: admin
Installed-Size: 476
Maintainer: John Packaging Team
Architecture: amd64
Version: 1.7.2-3
Depends: libc6 (>= 2.7-1), libssl0.9.8 (>= 0.9.8f-5), john-data (= 1.7.2-3)
Suggests: wenglish | wordlist
Filename: pool/main/j/john/john_1.7.2-3_amd64.deb
Size: 178528
MD5sum: 265abe3c846885527e24cd2a70e87723
SHA1: 8720141ed351b39d82f8e4fbf33123ae008b0b56
SHA256: 2c90da82adbde7fe5291b377389bcf9f730df1068d0285e9655c34386447542a
Description: active password cracking tool
john, mostly known as John the Ripper, is a tool designed to help systems
administrators to find weak (easy to guess or crack through brute force)
passwords, and even automatically mail users warning them about it, if it
is desired.
.
It can also be used with different cyphertext formats, including Unix’s
DES and MD5, Kerberos AFS passwords, Windows’ LM hashes, BSDI’s extended DES,
and OpenBSD’s Blowfish.

gaa ★★
( 14.10.08 03:17:40 MSD )
Ответ на: Re: Как расшифровать пароль из /etc/shadow? от gaa 14.10.08 03:17:40 MSD

Re: Как расшифровать пароль из /etc/shadow?

Рейтинг команд по количеству денег в кассе

• TimBat а модератор в чат не нужен? я перестану материться.

• TimBat WorstFriend: чтобы клубы передать — надо тему поднимать!

• WorstFriend TimBat: 07:12:52 09:21:20

• TimBat Ridik: значит ТимБат дело говорит?

• WorstFriend Португалец: чисто чтобы клуб по уму построить

• WorstFriend Португалец: надо ему за 1 ед. предложить завести акк на онлифанс

• Португалец WorstFriend: с серегой бы стримы заходили тока так

• Португалец (сообщение скрыто модератором)

• WorstFriend (сообщение скрыто модератором)

• Португалец WorstFriend: люблю классическую литературу

• WorstFriend Португалец: ты очень плохой. читалось между строк

• Португалец Tyrion: Offworld: гондурасец че то интересное рассказывал?

• WorstFriend Португалец: Сережа хороший, все плохие

• Португалец блин все веселье пропустил

• WorstFriend Che Guevara: красава, что не зассал и без супера сыграл

• Offworld переобув очка

• Ridik TimBat: Ну вот, накаркал ты про приват. Ща бы скорректировал

• Offworld (сообщение скрыто модератором)

• Offworld а кто тут сибирский алкаш?

• VSOL Tyrion: я уж думал он меня подзабыл

• Tyrion (сообщение скрыто модератором)

• Ridik Блин! Приват не нажал

• Tyrion (сообщение скрыто модератором)

• Ridik (сообщение скрыто модератором)

• Tyrion (сообщение скрыто модератором)

• Che Guevara (сообщение скрыто модератором)

• Offworld (сообщение скрыто модератором)

• VSOL (сообщение скрыто модератором)

• Che Guevara WorstFriend: ещё даже два супера есть и форма)

• WorstFriend Che Guevara: Вайперс зашибись, так держать

• Ridik (сообщение скрыто модератором)

• Tyrion Offworld: доброе ъуъ

• Tyrion Ridik: и чего сразу «незнакомого»? вот ты когда фильм смотришь, переживаешь за главного героя? вот и мы уже смотри один сериальчик не первый год)

• Offworld Tyrion: ъуъ /b/рат

• Offworld мирная дюна получается

• Tyrion (сообщение скрыто модератором)

• Che Guevara (сообщение скрыто модератором)

• Tyrion Che Guevara: опять не понятно как из игнора вылезли)))

• Che Guevara Tyrion: все ж в игноре

• Tyrion (сообщение скрыто модератором)

• Ridik (сообщение скрыто модератором)

• Che Guevara (сообщение скрыто модератором)

• Ridik (сообщение скрыто модератором)

• Португалец (сообщение скрыто модератором)

• Che Guevara (сообщение скрыто модератором)

• Tyrion (сообщение скрыто модератором)

• Tyrion (сообщение скрыто модератором)

• Che Guevara Tyrion: от гопников?

«Сложный пароль» в расшифровке не нуждается

Проскочил тут топик про «сложные» пароли. К сожалению, смотрю, многие серьезно восприняли этот «метод»…

Использование карточек шифрования не является надежным методом! Как правильно заметили в комментариях там — «это в войну наши деды использовали»… Но использовали более совершенные методы.

Приведенный в той статье метод использовать НЕЛЬЗЯ ни в коем случае(!), пароли по этому методу полностью расшифровываемые, Вы просто отдадите их злоумышленникам на блюдечке! И сейчас я это докажу…

Сложность и параметры

Всего существовать по такому методу может 36 таблиц, что по сложности равно паролю из одной буквы или цифры. Отличия таблиц только в одном параметре: смещение влево на [0-35] — число столбцов, равное промежутку «a-z0-9».

Можете проверить: таблица один — это z = (i+j -1 ) % 36 , вторая — это z=(i+j +9 ) % 36 , где i и j принимают значения: «a»=0, «b»=1, «c»=2,… Проверьте для любых остальных значений — отличие только в одной константе, даже несмотря на то, что по строке вторая таблица начинается с «s» (что вообще с т.з. математики не имело смысла).

первая: a + b + -1 = a (0 + 1 + -1 = 0) a + c + -1 = b (0 + 2 + -1 = 1) b + a + -1 = a (1 + 0 + -1 = 0) вторая:

a + j + 9 = s (0 + 9 + 9 = 18) a + k + 9 = t (0 + 10 + 9 = 19) b + i + 9 = s (1 + 8 + 9 = 18) 0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 a b c d e f g h i j k l m n o p q r 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 s t u v w x y z 0 1 2 3 4 5 6 7 8 9

Следовательно, зная зашифрованный пароль и название ресурса — у нас остается всего 36 исходных паролей.

Финальный пример из оригинального текста (про него и ниже):

Кстати, вот сразу и минус виден — пользоваться табличками людям сложно, ошибки — неизбежны. Это зашифрованный автором той статьи пароль. В нем ошибка — «a-a» на второй позиции — это «9» по первой табличке, а не «b».

Расшифровываем (правильно) зашифрованный пароль…
вот часть из 36 паролей (соответствующие 36 разным смещениям таблицы и названию — «habrahabr»):
+5 j4mmqil7j
+4 k5nnrjm8k
+3 l6ooskn9l
+2 m7pptloam
+1 n8qqumpbn
+0 o9rrvnqco
-1 passwordp
-2 qbttxpseq
-3 rcuuyqtfr
-4 sdvvzrugs
-5 teww0svht
-1 — это и есть искомая константа смещения таблицы.

Да, это реальная «расшифровка», да, программу написал… на конце «p» потому что повтор пароля начинается.

Заметьте, что нам нужна только одна буква из пароля и та же одна — из названия сайта для получения одной переменной (смещения).

Маленькие буквы в «зашифрованном» пароле сдадут какие буквы будут являться гласными в названии сайта (снижение криптостойкости).

Так вот из вышесказанного, если мы не знаем названия сайта, но знаем где там гласная (а она будет там, где в зашифрованном пароле маленькие буквы), то у нас получается (по одной любой букве) = 36 (табличек) * 6 (гласных = a,e,i,o,u,y) — 216 паролей (не зная названия сайта!). Совсем немного, но в реальности см. ниже («В реальности«) — будет скорее всего только один.

Большие буквы вообще ничего не меняют, кроме того что их обратно маленькими надо сделать (не добавляют сложности).

Добивка несколько усложняет задачу, но не в приведенном примере. Поскольку название ресурса длиннее, чем пароль, то получается расшифровав короткий пароль (зная зашифрованный пароль и название ресурса), который пойдет дальше по циклу — мы восстановим легко и добивку (мы будем знать верхнюю строку и нижнюю строку — среднюю мы восстановим по той же таблице… тут, кроме пары «символов» на позициях 4,8,16 (решетки, собачки), о ней — ниже).

В худшем (но не реальном) случае злоумышленнику нужно будет без спешки перебрать 36 паролей на другой сайт, чтобы войти.

В реальности: Из 36 паролей наверняка только один будет выглядеть как слово(!), которое вы запоминали, так что в реальности даже перебора не потребуется. Так что пароль будет известен точно.

Замена на символы

Отступление про «символы». Автор предложил заменять буквы полученного пароля на позициях 4,8,16 — на символы по табличке.

Знаки препинания добавляли бы сложности, если бы не еще одна уязвимость метода — цикличность повторения пароля. Автор сдвинул знаки препинания относительно латиницы. Ну что ж — это плюс, да, это еще один параметр сложности, но учитывая что мы точно знаем что меняются 4,8 и 16 символы — то мы можем (по длине названия сайта «habrahabr») расшифровать слово «pas*wor*p» в первой табличке (что под «*» мы не знаем пока что).

Теперь хитрость в том, что на (4+8) = 12 позиции та же буква, что и на «4» (пароль-то по кругу идет — это обе буквы «s» в слове «pass(4)wordpass(12)word»), но на 12 месте пунктуация не использовалась!

Следовательно мы можем расшифровать 12 букву и тут же узнаем 4ую букву.

Зная 4 зашифрованную букву и соответвующую ей пунктуацию — мы линейно получили смещение пунктуации. Из этого смещения тут же узнаем 8ую букву и как бонус — 16ую (которая та же). FAIL!

Правда если бы автор зашифровал 12ую букву, а пароль был бы 7-значным — мы бы все равно ее расшифровали (повторение буквы было бы на 4+7=13ом месте).

Если будет «добивка» — это будет портить картину, но не сильно, опять же — большая часть добивки будет расшифрована (мы уже будем знать полностью или почти полностью верхнюю строку и полностью — нижнюю — из нее восстановится средняя, кроме возможно(!) 1-2 букв закрытых пунктуацией, но тут уже перебор спасет — еще *36 вариантов — немного (и это редкий будет случай, чтобы удачно пунктуация закрыла буквы, что их не восстановить из повторяющегося пароля).

Вариант еще хуже

Зная зашифрованные пароли на двух сайтах (+названия этих двух сайтов) — исходный пароль полностью восстановим и табличка тоже.

Грубо говоря как система уравнений

x + Y1 + t = Z1,
x + Y2 + t = Z2,

где x = исходный пароль,
Y1,Y2 = название ресурсов (известно),
t — смещение таблицы,
Z1,Z2 = зашифрованный пароль(известно).

Два уравнения, две неизвестных — система линейна и имеет одно решение относительно x и t.

На самом деле достаточно одной буквы из обоих паролей и той же буквы названий сайтов. (Неизвестная-то величина только одна — смещение таблицы влево)

Здесь даже перебирать ничего не надо — пароль будет известен точно.

Вывод

Приведенный в оригинальной статье алгоритм шифрования аналогичен буквенно-цифровому паролю из 1(одного!) символа (log₃₆36 = 1).

В случае если известны шифрованные пароли от двух сайтов — не является шифрованием вообще.

Можно ли усложнить

Даже если Вы усилите алгоритм тем, что будете использовать русские буквы и символы (которые смещаются независимо), даже если Вы добавите сдвиг таблицы не только по горизонтали, но и по вертикали, и даже отражения по горизонтали и вертикали, то получите: 36*36*36*36*36*2*2 = 240 млн таблиц… Выглядит страшно?

На самом деле это аналогично простому буквенно-цифровому паролю примерно из 5 букв. Что едва ли можно считать «надежным» или «сложным» (27 бит шифрования).

Сильное шифрование — это 128 бит, что примерно в 1400000000000000000000000000000 раз должно иметь больше вариантов, чем «усложненные» 240 млн. (103 миллиарда паролей в секунду может один компьютер перебирать — так что, например, «password»+«habr» за 10 дней расшифровать можно и на домашнем компе)

Лучше — делать раунды шифрования, проще говоря — возьмите site+key и зашифруйте его 6000 раз прямо вот md5(md5(md5(… так 6000 раз. md5(‘site+key’). ). Это не остановит атакующего, но серьезно замедлит, настолько чтобы атака стала непрактичной. Почитайте (на английском) что KeePass про раунды пишет — очень объяснит почему я так говорю.

# Псевдокод: k = key + site for 0..6000 < k = md5(k) >print k

А это уже расшифровывать 150 лет, против 10 дней для обычного md5(site+key). Но даже один раз — это довольно хороший метод.

Завершение

Вот так даже очень впечатляюще выглядящие алгоритмы оказываются совсем нестойкими.

Будьте бдительны, придумывание и реализация алгоритмов шифрования — одна из немногих областей, в которых можно доверять только людям, специализирующимся именно на шифровании (годами) и только алгоритмам, которые были проверены и одобрены другими специалистами в этой отрасли.

А лучший способ хранения паролей — это, все же — менеджер паролей, например KeePass и подобные.

Рейтинг команд по количеству денег в кассе

• TimBat а модератор в чат не нужен? я перестану материться.

• TimBat WorstFriend: чтобы клубы передать — надо тему поднимать!

• WorstFriend TimBat: 07:12:52 09:21:20

• TimBat Ridik: значит ТимБат дело говорит?

• WorstFriend Португалец: чисто чтобы клуб по уму построить

• WorstFriend Португалец: надо ему за 1 ед. предложить завести акк на онлифанс

• Португалец WorstFriend: с серегой бы стримы заходили тока так

• Португалец (сообщение скрыто модератором)

• WorstFriend (сообщение скрыто модератором)

• Португалец WorstFriend: люблю классическую литературу

• WorstFriend Португалец: ты очень плохой. читалось между строк

• Португалец Tyrion: Offworld: гондурасец че то интересное рассказывал?

• WorstFriend Португалец: Сережа хороший, все плохие

• Португалец блин все веселье пропустил

• WorstFriend Che Guevara: красава, что не зассал и без супера сыграл

• Offworld переобув очка

• Ridik TimBat: Ну вот, накаркал ты про приват. Ща бы скорректировал

• Offworld (сообщение скрыто модератором)

• Offworld а кто тут сибирский алкаш?

• VSOL Tyrion: я уж думал он меня подзабыл

• Tyrion (сообщение скрыто модератором)

• Ridik Блин! Приват не нажал

• Tyrion (сообщение скрыто модератором)

• Ridik (сообщение скрыто модератором)

• Tyrion (сообщение скрыто модератором)

• Che Guevara (сообщение скрыто модератором)

• Offworld (сообщение скрыто модератором)

• VSOL (сообщение скрыто модератором)

• Che Guevara WorstFriend: ещё даже два супера есть и форма)

• WorstFriend Che Guevara: Вайперс зашибись, так держать

• Ridik (сообщение скрыто модератором)

• Tyrion Offworld: доброе ъуъ

• Tyrion Ridik: и чего сразу «незнакомого»? вот ты когда фильм смотришь, переживаешь за главного героя? вот и мы уже смотри один сериальчик не первый год)

• Offworld Tyrion: ъуъ /b/рат

• Offworld мирная дюна получается

• Tyrion (сообщение скрыто модератором)

• Che Guevara (сообщение скрыто модератором)

• Tyrion Che Guevara: опять не понятно как из игнора вылезли)))

• Che Guevara Tyrion: все ж в игноре

• Tyrion (сообщение скрыто модератором)

• Ridik (сообщение скрыто модератором)

• Che Guevara (сообщение скрыто модератором)

• Ridik (сообщение скрыто модератором)

• Португалец (сообщение скрыто модератором)

• Che Guevara (сообщение скрыто модератором)

• Tyrion (сообщение скрыто модератором)

• Tyrion (сообщение скрыто модератором)

• Che Guevara Tyrion: от гопников?

2 простых способа, как увидеть пароль, скрытый точками или звездочками

Все браузеры при наборе пароля скрывают введенные символы звездочками или точками. Формат в данном случае зависит от настройки, как программы, так и сайта. Существует несколько простых способов увидеть пароль, скрытый за точками или звездочками. Но, в большинстве случаев, необходим прямой доступ к браузеру, через который вводилась данная комбинация.

В каких случаях нужно узнать пароль

При заполнении соответствующих полей браузеры предлагают сохранить набранные символы. И пользователи часто это делают. Такой подход в будущем упрощает вход на различные сайты и помогает не запоминать пароли. Однако со временем может случиться так, что пользователю приходится переустанавливать браузер или операционную систему либо заходить в личный кабинет (страницу в социальной сети) на стороннем компьютере. В подобных ситуациях придется заново вводить заданный набор букв и цифр. Потребность узнать пароль возникает в тех случаях, когда пользователь забыл нужную комбинацию. Обычно сайты предоставляют возможность восстановить эти данные. Но в некоторых ситуациях данная операция занимает много времени. А если речь идет о доступе в личный кабинет на сайте банка, то процедура может потребовать дополнительных манипуляций типа предоставления паспортных данных и иной информации. В подобных случаях проще попытаться узнать, чем восстанавливать пароль.

Также за этой информацией нередко охотятся злоумышленники. Но нужно помнить о том, что использование личных данных против воли человека карается по закону.

Если доступ к компьютеру имеют другие пользователи, то сохранять пароли в браузере не рекомендуется. Получить такую информацию можно, воспользовавшись стандартными функциями программы.

Как это сделать при помощи браузера

Получить пароли можно при условии, если такая информация сохранена в браузере. В ином случае открыть эти данные невозможно.

Через код страницы

Чтобы узнать пароль через браузер, нужно: Перейти на страницу, на которой пользователь ранее сохранил эти данные. Ввести в соответствующее поле любой набор букв и/или цифр. Навести курсор на данное поле, нажать правой кнопкой мыши и в выпавшем окне выбрать «Посмотреть код». В открывшемся окне найти «type» с прописанным значением «password». Обычно это поле подсвечивается синим. Выделить слово «password» и удалить либо изменить значение на «text». Причина, почему браузер после выполнения описанных манипуляций раскрывает пароль, объясняется тем, что слово «password» выступает в качестве команды, которая автоматически шифрует введенные символы звездочками или точками. А «text» приказывает раскрыть ранее сохраненные буквы и цифры. Описанный алгоритм можно применять в браузерах Google Chrome, Mozilla Firefox и Opera. Разница заключается только во фразе, при нажатии на которую раскрывается код страницы. Но в Microsoft Edge применяется другой алгоритм. После открытия в этом браузере требуемой страницы нужно нажать F12, открыв «Средства разработчика», затем — «Выбор элемента» (либо сочетанием клавиш Ctrl+B), после чего — удалить «password».

Через сохраненные данные в браузере

Порядок выполнения рассматриваемой операции зависит от типа установленной программы. Чтобы узнать пароль через Google Chrome, потребуется: Перейти в «Настройки», нажав на три точки, расположенные сверху. Открыть одноименный раздел с паролями. Найти название сайта с сохраненным паролем и нажать на значок глаза. Если компьютер не запаролен, то искомая информация откроется сразу. В ином случае придется ввести PIN-код или криптографический ключ (в зависимости от того, что применяет владелец компьютера). В Mozilla Firefox применяется другой алгоритм. Для раскрытия искомой информации необходимо через меню «Инструменты» перейти в раздел «Настройки». В открывшемся окне нужно нажать на «Защита и приватность». Далее появится вкладка «Формы и пароли», в которой следует кликнуть на «Сохраненные логины. ». В конце достаточно нажать на «Отобразить пароли». Сходным образом можно найти данную информацию в Яндекс.Браузере. В этом случае нужно открыть несколько разделов в следующем порядке:

1. «Настройки».
2. «Показать дополнительные настройки».
3. «Пароли и формы».
4. «Управление паролями» (располагается рядом с пунктом «Предлагать сохранять пароли для сайтов»).

В конце, как и в первом случае, нужно выбрать определенный сайт и нажать на звездочки.

В Opera данная информация хранится в разделе «Безопасность». Перейдя на эту вкладку, необходимо нажать на кнопку «Показать все пароли».

Применение специальных программ

Узнать данную информацию можно с помощью специальных расширений, которые устанавливаются непосредственно в браузер. Для Google Chrome это ShowPassword. Данное приложение автоматически раскрывает звездочки или точки при наведении курсора или двойном щелчке.

Для Firefox создано расширение Show/Hide passwords, отличающееся сходным функционалом. После установки этого приложения в браузере под соответствующим полем всегда появляется кнопка «Show», при нажатии на которую раскрываются звездочки или точки. А для Opera создано аналогичное расширение Show my Password.

Для раскрытия данной информации можно использовать сторонние программы. В этом случае помогает SterJo Browser Password. Программа раскрывает все сохраненные в установленных браузерах пароли.

При использовании подобных продуктов нужно учитывать два нюанса:

1. Некоторые программы распространяют вредоносный код, «заражающий» компьютер.
2. Подобные программы не всегда работают под определенной операционной системой. В частности, проблемы возникают при установке Asterisk Key, Password Cracker, Asterisk Password Spy и BulletsPassView на Windows

Есть также программы, которые позволяют узнать все пароли, сохраненные на компьютере, а не только в браузере.

Стоит ли хранить пароли средствами программ и браузеров

Сохранение подобной информации на компьютере упрощает работу. Пользователям не нужно запоминать различные циферно-буквенные комбинации, которые открывают доступ к сайтам и программам. Но сохранять такие сведения разрешается в том случае, когда компьютером пользуется только владелец. В иных ситуациях злоумышленники могут завладеть этой информацией.

Во избежание подобных последствий внесенные данные рекомендуется запоминать либо записывать в блокнот. Также нужно учитывать, что операционная система или программы могут потребовать переустановки, из-за чего данная информация будет утрачена навсегда.

Online сервисы по перебору паролей

Существует много причин использования таких сервисов, чаще всего или элементарная забывчивость или хакинг.

В свое время мне понадобилось перебрать пару хешей, поискал в интернете и на форумах, нашел кучу сервисов для этого, которыми хочу поделится.

Мгновенная расшифровка

Последний — это сайт программы переборщика паролей PasswordsPro, достаточно большая база, легкое использование.

НЕ мгновенная расшифровка

Платные сервисы

Очень хороший сервис, большие базы, после регистрации поиск производится по всем имеющимся. Так же существует и платная услуга перебора, оплата с помощью смс.

По моему личному мнению это самый лучший и заслуживает особого внимания.
Помимо того, что он ищет по базе пароли (мгновенная расшифровка), не найденные он добавляет в специальную очередь паролей. Бруттер, установленный на сервере двигается по той очереди с верху вниз.
(Всего 12 таблиц. CharSet=a-z,0-9 длины паролей:1-8 символов. Вероятность попадания: 97.80%. Максимальное время поиска пароля для одного хеша: 12 минут)
Если хотите, чтобы пароль перебирался как можно скорее, то можно указать цену за него. Очередь сортируется по цене. Баланс можно пополнить, написав администрации и переведя деньги, например по средствам WebMoney.

Но есть одна интересная особенность. Помимо основного бруттера в переборе могут участвовать все пользователи сервиса, для этого есть специальная страница, где выведены все хеши, отсортированные по цене. Если же бруттер не смог подобрать пароль, а у одного из пользователей это получилось, то сумма за найденный пароль переходит этому пользователю.

Поддерживает MD5, MySQL, MySQL5, SHA-1

P.S. Как написано на всех сервисах: «Взламывать чужие пароли — плохо» 😉