|
毫无疑问，说这话的Gosney，已经用这台25GPU交火的怪兽机搞过更长的密码，他在去年10月透露了这台名叫「镭池」机器：
因为GPU的并行运算能力是随着运算单元的增加而线性增长，这让Gosney很好地利用这些资源，让他能在每秒获得350亿次的运算速度，去挑战微软的NTLM加密算法。 第二阶段，Gosney继续采取差不多的战术。在这个阶段结束的时候，他总共斩获 12,935个密码明文，也就是完成了78.6％的破解工作，总共耗时5小时28分钟。 很多黑客都知道有一个有趣的现象，就是在同一个网站下，用户的密码会非常相似...尽管这些用户互天南海北，互相都不认识。通过已经得到大部分的密码，黑客 开始分析这个未知网站的密码特征，来模仿这个网站用户的行为，去破解余下的密码。通过Markov Chains（一种统计学模型），黑客用HashCat生成了一份新的密码词典，Gosney认为，这本字典是高度优化和智能的，大大缩减了所需的字符组 合数量。 初级的暴力穷举词典包含像「aaa」,「abb」这样的组合。但经过Markov Chains调教过的字典，通过分析已有密码明文，列举出了最有可能的密码组合。「Markov破解法」，可以把7位字符组合难度从 957降低到657,大概可以节省7个小时。一般来说，字符组合有「首字母大写，中间小写，数字在尾部」等显著特点，Markov破解法的命中率，几乎可 以和暴力穷举的命中率一样高。 「这让你的破解方法更具针对性，因为你对于具体的网站，有了具体的目标」，Gosney说道，当你获得了这些组合特征，你就能顺藤摸瓜直捣黄龙。 Gosney花了14小时59分钟，完成了第三阶段的破解工作，得到了1699个密码。有趣的是，在这个阶段，前962个密码花费了大概3个小时，但后面的737个密码却花费了12个小时。 黑客radix手里有2009年，线游戏服务商RockYou的被SQL注入攻击后，暴出的数据库，内含140万个密码明文,另外还有一份货真价实的更大的密码词典，但魔术师不会轻易透露机关，PK中radix也没有拿出这份字典。 猎杀哈希 光用RockYou的暴库数据，radix就能取得和新手Anderson差不多的战绩，获得4900个密码明文，大概占总量的30%。接着，他用这份数 据，切掉后四位，加上四位随机数字，HashCat预估需要2个小时才能跑完，这要比radix预计的长，但他跑了20分钟以后，也得到了2,136个密 码明文。接着他又尝试了1～3位数字的组合，再次得到259个结果。 「分析，直觉，加一点点魔法」，radix说道，「提取模式，测试组合，把结果放入字典继续尝试，等等」，如果你知道你手里的密文的来源网站，你就能猜到和那个网站有关的领域里的词汇，然后你就能搞到你想要的结果。 于是radix从已经得到的7,295个密码分析，发现了一些明显的特征，比如三分之一的密码由8个字符组成，19%的是9个字符，16%有6个字符，69%由「字母＋数字」组成，他还发现62%的密码全是小写字母和数字组成。 这些信息给了他继续破解的阶梯。后面，他采用「掩码破解法」，这和之前的「混合破解法」颇为相似，但要比暴力穷举节约大量时间，尝试「全小写字母＋数字」的 1～6位密码组合，得到341个密码。但8位「全小写＋数字」的组合所需时间，还是超出radix的期望，虽然复杂程度从528减到了268,就 radix手头的机器来说，这就是6小时和1个小时的区别，但他还是跳过了这一步。 于是radix改变了策略，使用HashCat内置的5,120种特殊规则，例如把「e」替换成「3」，删掉每一个单词的第一个字母，或者每隔一个字母加一个数字……在38秒之内，又破了1,940个密码。 「这就是黑客的乐趣所在」他说，「就像打猎，但你找的不是动物，而是哈希密文」。但他也承认密码破解技术的阴暗面，游走在道德的边境，如果多走一步，后果严重。 当另一位黑客Steube发现了一个密码组合：「momof3g8kids」的时候，忍不住说道：「这就是用户的密码逻辑，但我们并不知道这种逻辑，这给了我一些灵感，这就是我们为什么要盯着屏幕看结果」。 「momof3g8kids」被破解的原因是，Steube采用了「词典联合破解法」，他用多本词典的种的条目组合，发现了这个密码，其中，「momof3g」在一本1110万的大词典中收录，而「8kids」在另外一本较小的词典中。 「这太酷了！」他引用了本文开头，xkcd的那副著名的漫画说道：「告诉“对马电池订书钉”，这不灵」。 PK 过程中，最让人惊异的就是某些破获的密码明文，包括：「k1araj0hns0n」,「Sh1a-labe0uf」,「Apr!1221973」, 「Qbesancon321」，「DG091101%」……甚至包括了像「all of the light」这样包含空格的密码。Steube还在结果中看到了「Philippians4:6-7」和「qeadzcwrsfxv1331」，他表示： 「如果不是用暴力穷举，是不可能猜到这些密码的」。 GPU通用计算出现以后，很少有黑客在攻击中采用「彩虹表」（rainbow tables），这种过时的方，需要容量巨大的表文件。 当Reputation.com看到从自己网站被攻击后泄露的用户信息后表示，虽然看上去用户的密码加密信息不可能被破解，但我们还是立即通知用户更改自己的密码。 |
