Uønsket besøk på Diskusjon.no

[Zethyr]

Vet jo ikke mitt eget passord en gang, så da blir det vanskelig å skifte...

7203406[/snapback]

Du kan få et nytt et på mail.

 

 

Er det ikke sånn at man får tilgang til flere funksjoner i furumet når man har en bruker og at uønskede gjester dermed får en "foothold" på forumet? Dvs at de kan lete etter flere funksjoner/moduler som er vulnerable (hva heter det egentlig på norsk?)...

7203631[/snapback]

Det beste er å lete i kilden, noe den personen som lagde exploiten har gjort. En bruker kan man få gratis hvor som helst, og IPB tilbyr vel "demo" av boardet hvor man kan leke seg som admin ++ uansett (jeg har ikke testet, vet ikke hva de tilbyr)?

 

Btw, vulnerable = sårbar(e), vulnerability = sårbarhet.

 

Nok et bevis på at åpen kildekode er skummelt, må det gå liv tapt før de stenger denne livsfarlige kildekoden, jeg bare lurer?

7204074[/snapback]

Det er det dummeste jeg har lest på lenge.

7204250[/snapback]

[efikkan]

Oppsettet har ihvertfall blitt endret hos meg.

 

Angående passord så bruker noen hackere å ha databaser med alle mulige kombinasjoner opp til og med 12 bokstaver har jeg hørt, så flere bokstaver vil nok være en fordel. Uvanlige tegn kan også være et forslag, for eksempel tegn som det kreves ALT + XXX for å få frem. Da skal ivertfall mange "vanlige" bruteforce-verktøy utelukkes.

[Zethyr]

Hvor lang tid tar det å bruteForce (md5) password med 8 tegn både tall, bokstav, og andre tegn?

 

Tror ikke jeg behøver å beskymere meg, men nå vet jeg ikke hvilke snarveier man har med md5.

 

Værre om man bruker et ord i fra ordbok, værste fall engelsk ord.

 

Jeg er mer redd for min email. Bruker adresse som er betalt for og vil ikke ha noe dritt innpå der.

 

Er også email hashet? Eller ligger dem plain i databasen?

7204348[/snapback]

Email ligger vel plain vil jeg tro, hvertfall ikke hashet (det ville vært ulogisk mtp "send mail til"-funksjonen.

 

md5-passord på 8 tall, bokstaver og tegn er fullt mulig å bruteforce, men det tar en del tid. Bruker du ordbok-ord e.l. derimot kan det gå veldig fort å slå opp passordet etter en tabell.

[Zethyr]

Oppsettet har ihvertfall blitt endret hos meg.

7204374[/snapback]

Hos meg også, men dette var i ettertid. Hadde diskusjon.no-skinet, plutselig nå i løpet av dagen fikk jeg hw.no-skinet. Nå har jeg imidlertid testet hw.no-dynamisk ettersom dette er bedre (synes jeg) bare man blir vant med det.

[ShadowMaster]

IPB bruker så vidt jeg husker md5 med salt, som i utgangspunktet gjør at slike forhåndslagede lister blir ganske ubrukelig. Faren øker selvfølgelig jo kortere og lettere passord du har.

 

Men uansett, sannsynligheten for at listene ble lastet ned (noe loggen forøvrig burde avklare?) er veldig liten.

[Gjest Slettet+56132]

Veldig bra jobbet Tech-Warriors! Dere jobbet utrolig fort og klarte samtidig å gjøre alt bra på en kveld (tror jeg). Det står det respekt av!

[Vindstille]

IPB benytter noe ala md5($salt . md5($username)) om jeg husker helt rett.

...

7203808[/snapback]

Hva er det $salt variabelen er til?

Passord?

Hashet passord?

 

*se for seg*

Det er en stille onsdagskveld, Ueland koser seg med litt Vikingboard-kode.

 

17:53

Drift-o-fonen piper som om den var besatt av tyve servermonkeys, panikken brer seg i ansiktet til Ueland idet han leser meldingen.

Ueland: We have a code 51, code 51! I repeat; code 51! All units to the Batmobile!

Alle admins får på seg ninjadraktene umiddelbart, og bevæpner seg med insektsspray og TP-kabler. To minutter senere er Batmobilen på vei mot serverparken.

Osv..

7203809[/snapback]

Kjempe PT!

Jeg vil ha mer

 

 

Vet man noe om hvem som er idiot nok til å cracke diskusjon.no?

7203873[/snapback]

Kanskje det er ukjent_bruker som er syndern!

Endret 2. november 2006 av JonT

[FuzzFuet]

Så dette forklarer at "Mine innlegg" og forumet generelt var litt rart i går

 

Håper dere finner ut hvem det var, selv om det kan være litt vanskelig

[Onyx]

Fin oversikt over hva som skjedde i går!

 

Her hos meg er alt det samme igjen. I ''Mine Innlegg'' så er de samme postene der - de jeg har svart på og som jeg titter på daglig.

 

Gratulasjon og applaus til tech-gutta!

[Zethyr]

Hva er det $salt variabelen er til?

Passord?

Hashet passord?

7204467[/snapback]

Wikipedia har en fin artikkel om det.

[bluet]

md5-passord på 8 tall, bokstaver og tegn er fullt mulig å bruteforce, men det tar en del tid. Bruker du ordbok-ord e.l. derimot kan det gå veldig fort å slå opp passordet etter en tabell.

7204375[/snapback]

Med de riktige verktøyene kan det gå rimelig kjapt.

[siDDis]

Oppsettet har ihvertfall blitt endret hos meg.

 

Angående passord så bruker noen hackere å ha databaser med alle mulige kombinasjoner opp til og med 12 bokstaver har jeg hørt, så flere bokstaver vil nok være en fordel. Uvanlige tegn kan også være et forslag, for eksempel tegn som det kreves ALT + XXX for å få frem. Da skal ivertfall mange "vanlige" bruteforce-verktøy utelukkes.

7204374[/snapback]

 

Det er normalt å begynne å leite etter passord med å bruke ein ordbok. Passord som bruker meir kryptiske teikn tar mykje lengre tid å finne og.

 

Brute forcing hjelper sjeldent mot direkte mot applikasjoner då det ofte er bengresa antall forsøk du får gjort i sekundet. Men eit hash med distribuert brute forcing kan gå ganske fort. Er skremmandes og kor mange personer bruker det same passordet overalt. Eg er faktisk ein av dei, blir for stress å hugse for mange kryptiske passord

[jorgis]

Nok et bevis på at åpen kildekode er skummelt, må det gå liv tapt før de stenger denne livsfarlige kildekoden, jeg bare lurer?

7204074[/snapback]

 

Invision Power Board er ikke åpen kildekode. Du motbeviste nettopp din egen påstand.

[Gjest Slettet+56132]

*snip*

7204374[/snapback]

 

Det er normalt å begynne å leite etter passord med å bruke ein ordbok. Passord som bruker meir kryptiske teikn tar mykje lengre tid å finne og.

 

Brute forcing hjelper sjeldent mot direkte mot applikasjoner då det ofte er bengresa antall forsøk du får gjort i sekundet. Men eit hash med distribuert brute forcing kan gå ganske fort. Er skremmandes og kor mange personer bruker det same passordet overalt. Eg er faktisk ein av dei, blir for stress å hugse for mange kryptiske passord

7204558[/snapback]

Så lenge det er vanskelig for andre å huske første gang du sier det og at det er langt nok og godt nok holder nok det

[Pc Lynet]

Vet man noe om hvem som er idiot nok til å cracke diskusjon.no?

7203873[/snapback]

Kanskje det er ukjent_bruker som er syndern!

7204467[/snapback]

Signaturen hans er suspekt

Min femte linje er dedikert til sikkerheten. Sikkerheten om at ingen moderator kan røre meg.

 

Eller bra jobb Drift

Endret 2. november 2006 av Pc Lynet

[Zethyr]

md5-passord på 8 tall, bokstaver og tegn er fullt mulig å bruteforce, men det tar en del tid. Bruker du ordbok-ord e.l. derimot kan det gå veldig fort å slå opp passordet etter en tabell.

7204375[/snapback]

Med de riktige verktøyene kan det gå rimelig kjapt.

7204549[/snapback]

Nå spørs det da vel på hvor heftige spesialtegn man bruker..

 

F.eks. $H1tTy-6 går fortere enn ‹·♠♥ï↑▒¼ , for å ta et ekstremt (og lite realistisk) eksempel.

[simalarion]

Et skikkelig passord er navnet på morra di, og husk å skriv det på en post-it lapp som du klistrer på monitoren din slik at du ikke glemmer det

 

[JohndoeMAKT]

Med de riktige verktøyene kan det gå rimelig kjapt.

 

"Rimelig" er vel nøkkelordet her. For å sette litt mer nøyaktige tall på saken, dog merk at spesialtegn ikke er med her:

 

(om MD5)

Når jeg kalkulerer litt på Terrasque sitt eksempel med 8 tegn (store og små bokstaver + tall) så vil rainbowtables til 99.03 % ta meg 18.2 år å lage, de vil ta 600.51 GB og det vil ta meg 1.7 dager å søke gjennom hele.

 

Tisvarende :

85% = 7.5 år

50% = 2.7 år

 

 

Med forbehold om feil og ikke optimale rainbow settings, dual Xeon 3200MHz, to parallelle tråder.4136565[/snapback]

[Zethyr]

(om MD5)

Når jeg kalkulerer litt på Terrasque sitt eksempel med 8 tegn (store og små bokstaver + tall) så vil rainbowtables til 99.03 % ta meg 18.2 år å lage, de vil ta 600.51 GB og det vil ta meg 1.7 dager å søke gjennom hele.

 

Tisvarende :

85% = 7.5 år

50% = 2.7 år

 

Med forbehold om feil og ikke optimale rainbow settings, dual Xeon 3200MHz, to parallelle tråder.4136565[/snapback]

Interessant. Hvordan har du gått frem for å kalkulere dette?

[JohndoeMAKT]

En enkel og relativt usikker måte: Startet kalkuleringen og lot den kjøre i 15-20 minutter og noterte den teoretiske tiden i programmet.