第二天,我把数据取出来了,分别拖出20w用户名和20w密码,而且每列取出来的数据是按字母和数字顺序正序排列好的,账号和密码完全无法匹配。
第二步 匹配数据
换个思路试试,上网页上看看,说不定会有新发现。工具不靠谱,只能靠我聪明的小脑瓜。先注册个账号:123456/123456,在网页上进行手工注入,用户名曝密码
union selectCustomer_Password from customer whereCustomer_UserName = "123456"--
有数据返回!这样的话写个脚本遍历一下用户名就可以匹配到相应的密码,我真是太聪明了。
我的密码是123456,然而加密后变成7c1b80fe3ef17dc0,虽然是16位,但并不是常见的MD5加密,可见管理员心思很别致,竟然用自定义加密方法,试了多个,依然无法识别
第三步 解密数据
得到20w无法解密的数据,对网站的实际作用为零。再换个思路想一想,我的密码是123456,那是因为我比较懒,但是我肯定不是最懒的,鉴于人们的惰性思维,弱密码肯定很多,用密码来找用户好了,先试一试万能的123456,密文是7c1b80fe3ef17dc0
union select Customer_UserName fromcustomer where Customer_Password = "7c1b80fe3ef17dc0"--
一股洪荒之力喷涌而出,即使是我读书多,见识广,也着实受到了惊吓,粗统计一下,共有2855个用户使用“123456”作为密码!
再试试我大天朝人民最喜欢的 888888 和 666666 ,得到的用户名分别有13372个和80个,看来由于文化差异造成对数字的喜好差别还是很大的。上网搜索一下网站当地人民最喜欢的幸运数字,果然是8。记得2015年公布过最弱密码排行榜,现在取前15名进行对比(此网站要求密码6-18位,不在此范围的密码不参与评比)
由此看来,受世界欢迎的弱密码并不适用于中国国情,更不适用于地域民俗文化差异巨大的各省人民。
就该网站为试验点,调查当地人民弱密码缺省普遍性,以下给出前十名:
世界排名第二的password并没有受到国人的追捧,在网站测试中发现只有9个人使用password作为密码,国人最爱的弱密码还是连号数字以及幸运数字的叠加。
通过这种方法,我利用常见弱密码猜解到了将近一半用户的密码,随便登录试试就可以看到大量的车票、机票、酒店订单。网站内包含的信息量远远大于20w,个人信息泄露情况非常严重。
弱口令案例梳理
这个案例让我想起了2015年春运前夕震惊全国的12306数据泄露事件,传闻称黑客利用“撞库”手段获取131653条用户数据。通过对网络公开的泄露数据进行分析发现,弱密码无论在任何泄密事件中都具有举足轻重的地位,以下是安全爱好者对12306泄露密码的统计结果:
其中,密码中包含有 123 数字的,出现 11213 次 ;密码中包含有 520 数字的,出现 4549 次 ;密码中包含有 123456 数字的,出现 3236 次 ;密码中包含有 1314 数字的,出现 3113 次 ;密码中包含有 aini 的,出现 877 次
如果说某公司使用弱口令做密码祸不及他人,那么管理者使用弱口令做密码造成的群体性危害又将由谁买单?
千里目安全实验室成立以来,发现多起群体性危害事件都是由弱口令导致。12月份,千里目安全实验室检测到某省大量政府网站使用动易建站系统,该系统后台登录使用弱口令Admin/admin888作为管理员默认账户,经过确认,共有28家政府网站管理员未更改原始账号密码,并且将近一半网站已被入侵,管理员头像遭篡改,以管理员身份发表测试文章。
今年1月份,某省省级管理网站,因某管理者使用123456弱口令作为密码,不仅造成该管理人员所在组织内部人员信息全部泄露,如果结合网站其他漏洞进行利用,可导致全网站72w组织成员身份证号,联系方式,家庭住址等信息全部泄露。
搜索wooyun漏洞公开平台,由弱口令引发的信息泄露事件每天都在上演,您的信息在不经意间已被多次倒卖。经常收到垃圾短信或者推销电话就是强有力的证明。不论是个人还是管理者,使用弱口令做密码都是及其不负责任的表现。
安全建议
1、针对管理人员,应强制其账号密码强度必须达到一定的级别;
2、建议密码长度不少于8位,且密码中至少包含数字、字母和符号;
3、不同网站应使用不同的密码,以免遭受“撞库攻击”;
4、避免使用生日,姓名等信息做密码,远离社工危害。
本次研究结果仅供参考,存在漏洞的网站已经及时上报相关单位进行修复。对于使用弱密码的用户,我只想说,赶快改密码吧,你们的秘密已经被我发现了。
那么什么才是强密码呢,像我这样,密码长度不少于8位,且密码中至少包含数字、字母和符号,S4ngF0r@Qiqi#(sangfor@qiqi#),多么完美的密码!
看完以上内容,您有什么想说的?
千里目安全实验室美女研发跟您约谈:您对弱密码的看法,同时欢迎分享您遇到的弱密码被破解的案例!