MySql 5.x Hashcode entschlüsseln

[user_deleted_9]

Moin...
Ich habe einen Metin2 Pserver offen. Nun hat jmd sein PW vergessen und will es wieder wissen. Ich bin dann mit NaviCat in die Database rein und hab das PW rausgesucht, aber die sind alle als Hashcodes gespeichert. Da ich weis, dass es sich um einen Mysql 5.x Hashcode handelt, möchte ich wissen wie man diesen entschlüsselt.

Das ist der Hashcode den ich entschlüsseln will:
E0B32A9D5C9427F921C4937F8EAA8C5127E9421B

Ich hab im Internet nur ein Generator gefunden um solche Hashcodes zu erstellen, aber nicht um sie zu entschlüsseln.

Kann mir jemand helfen?

Gruß

 

[claW.]

einen hash kannst du nicht entschlüsseln, denn es wurde gehasht und nicht verschlüsselt (details erfährst du in wikipedia). setz ein neues passwort und lass es vom user selbst aus ändern. anders geht es nicht, außer er kommt vllt. doch noch auf das passwort.

edit: rein vom draufgucken sieht es wie ein md5-hash aus. falls dich das interessiert, kannst du danach ja auch mal bei wikipedia suchen.

 

[xbrtll]

Für md5 ist das zu lang. Könnte RIPEMD-160 sein.

Es ist ja gerade Sinn der Sache, dass man die Passwörter nicht im Klartext speichert und nach Möglichkeit aus dem Hash kein passendes Passwort konstruieren kann.

 

[mildmr]

Ja, ein 40 stelliger Hash ist entweder RIPEMD-160 oder SHA-1. MD5 hat 32 Stellen.
Das ist dann nicht mehr Zeitnah mit den herkömmlichen Mitteln zu berechnen.

 

[AndrewPoison]

Das ist dann nicht mehr Zeitnah mit den herkömmlichen Mitteln zu berechnen.

Es ist gar nicht zu berechnen Man kann höchstens mittels Bruteforce solange verschiedene Strings hashen, bis zufällig der selbe rauskommt. Dass muss dann aber nicht das gleiche Passwort sein wie der User angegeben hat, es kann auch ein anderer String sein der zufällig den gleichen Hashwert hat.

 

[enteon]

aber genau das ist bei md5 und vor allem aufwärts sehr unwahrscheinlich

ich plädiere auch für neues passwort setzen, so wird das normalerweise auch gemacht und sollte schon wegen dem vertrauensverlust, wenn plötzlich der provider das passwort weiß, bevorzugt werden.

 

[xbrtll]

aber genau das ist bei md5 und vor allem aufwärts sehr unwahrscheinlich

Sobald man auch Passwörter in Betracht zieht, die länger als 160 Bit sind (bzw. die Länge des jeweiligen Hashwertes), ist es sogar (fast) sicher, dass mehrere passenden Passwörter existieren.

 

[enteon]

natürlich und trotzdem gibt es weniger wahrscheinlich kollisionen, um die es hier ja geht. ein auto ist ein auto ist ein auto. ein auto ist ein grünes auto ist kein blaues auto. mehr beschreibende information -> weniger kollision.

 

[Apple ][]

Du kannst mit recht dubiosen Tool, meist aus dem .ru Raum, Dein MySQL Passwort "Knacken" lassen. Meine Empfehlung - laß' die Finger davon!

Du kannst hingegen Dein Passwort, auch das root Passwort, zurücksetzen. Siehe <hier>
oder <hier> wie man neue Passwörter vergibt.

 

[Gobble-G]

Hallo,

mit einer SHA-1 Rainbow Table ergibt sich für obigen Hash das Wort "headshot". Mit der MySQL-PASSWORD()-Funktion erhält man aus "headshot" wieder obigen Hash.

MfG

 

[Christoph212]

Hallo,
ich bin zufällig über Google auf diesen Beitrag gestoßen...
Ich habe genau das gleiche Problem und wollte nun Fragen, wo man solche Rainbow tables herbekommt. Muss man die download, wenn ja wo? oder gibts die auch online, wenn ja wo?

Ich hoffe ihr könnt mir helfen, vor allem Gobble-G


Christoph

 

[claW.]

Muss man die download, wenn ja wo? oder gibts die auch online, wenn ja wo?

google ist hier ebenso dein freund. http://passcracking.com/index.php ist z.b. eine adresse, wo bei dem hash vom te auch headshot heraus kommt. ansonsten scheint http://www.freerainbowtables.com/ auch eine gute seite zu sein. aber sei nicht all zu optimistisch, solche rainbow tables können auch gut und gerne mal mehrere gb groß sein.

 

[Christoph212]

Das sie oft sehr Groß sind weis ich...
Ich schau mir die zwei links jetzt mal an und hoffe, dass kein Virus oda so drin ist...

Übrigens, wie macht mein Pserver das eigendlich? Der muss das Passwort doch auch irgendwie zurück hashen, da man sich ja nicht mit dem Hash einloggt, sondern mit dem Passwort.


Christoph


Edit: Der erste link entschlüsselt Wörter oder zahlen, aber nicht beides zusammen, beim 2ten blick ich momentan noch nicht durch...

 

[enteon]

Übrigens, wie macht mein Pserver das eigendlich? Der muss das Passwort doch auch irgendwie zurück hashen, da man sich ja nicht mit dem Hash einloggt, sondern mit dem Passwort.

user gibt passwort -> hash -> vergleich mit gespeichertem hash -> nicht der selbe:"ey, du kommst hier net rein!!"

aber wie schon gesagt ist es deutlich einfacher schlicht und einfach den gespeicherten hash zu ersetzen statt das passwort in ewiglicher arbeit rauszuprügeln

 

[Christoph212]

Genauso hab ichs mir grad vorgestellt...

Bis jetzt hab ich auch immer ein neues Passwort reingemacht, aber wenn es jetzt ganz leicht gegangen wäre ...xD

Christoph

 

[mildmr]

Es ist gar nicht zu berechnen Man kann höchstens mittels Bruteforce solange verschiedene Strings hashen, bis zufällig der selbe rauskommt. Dass muss dann aber nicht das gleiche Passwort sein wie der User angegeben hat, es kann auch ein anderer String sein der zufällig den gleichen Hashwert hat.

Ich wollte nicht mit Latain wie Kollisionen, Bruteforce oder Wordlists um mich werfen, Diese Algoryhtmen sind mittlerweile aber unsicher. Und daher angreifbar. Das meinte ich mit berechnen.

 

[FloW3184]

das schnellste passwortcrackprogramm überhaupt findest du in meiner signatur.
(schneller als der sch..ß von elcomsoft ^^ ... ivan golubev hat 10 jahre für elcomsoft gearbeitet und ist vor einem jahr ausgetreten. jetzt versucht er anscheinend elcomsoft mit seiner kostenlosen software kaputtzumachen, da sie 1. schneller und halt eben 2. kostenlos ist )

habs dir mal eben geknackt ^^
"headshot" ist das passwort zu dem hash.
hat 6 minuten 38 sekunden gedauert.
(hab mir grad ne kippe angemacht und es war fertig, bevor ich sie zuende hatte xD)

zur info: radeon karten sind dabei extrem viel schneller als jede nvidia-karte (incl. fermi).


meine 5770 dürfte etwa so schnell sein wie die gtx480.

 

[claW.]

geht ja gut ab das programm. 78 °C hats geschafft. werd gleich mal furmark gegentesten, dann weiß ich welchen "benchmark" ich demnächst nutze.

Found 1 CAL device(s)
Starting brute-force attack, Charset Len = 26, Min passlen = 4, Max passlen = 10

Charset (unicode -> 0) [abcdefghijklmnopqrstuvwxyz]
Charset in HEX: 61 62 63 64 65 66 67 68 69 6a 6b 6c 6d 6e 6f 70 71 72 73 74 75 7
6 77 78 79 7a
Starting from [aaaa]
Hash type: MYSQL5, Hash: e0b32a9d5c9427f921c4937f8eaa8c5127e9421b
Device #0: [RV870] 850.00 Mhz 1600 SP
Hardware monitoring enabled, threshold temperature is 90°C.
CURPWD: ktsmsioh DONE: 70.49% ETA: 1m 31s AVRSPD: 675.3M
Found password: [headshot], HEX: 68 65 61 64 73 68 6f 74
Processed 155 575 123 968 passwords in 3m 51s.
Thus, 675 473 792 password(s) per second in average.

aber wo hast du denn die x64 her bzw. wie bindest du die cpu mit ein?

 

[FloW3184]

die x64 ist ausm blog.
cpu zusätzlich nutzen funktioniert nur bei md5 momentan.
http://www.golubev.com/blog/?p=70
lies dir den blogeintrag mal durch, dann weißt dus

 

[M-X]

Meine HD5770 packt 1,8 Milliarden Passwörter beim MD5-Bruten... was schafft deine Nvidia? xD

ATI Fanboy?
ne im ernst is echt nice das ding