جستجو پیشرفته محصولات
0
سبد خرید خالی است.
ورود | ثبت نام
با ورود و یا ثبت نام در زیرزمین سایبری شما شرایط و قوانین استفاده از سرویس‌های سایت را می‌پذیرید.

آموزش کرک پسورد هش

تصویر مقاله کرک فایل هش
تصویر مقاله کرک فایل هش

آموزش کرک کردن پسورد هش به سبک هکرها

سلام و درود به تمامی علاقه مندان به دنیای هک وامنیت و سایبری. در این مقاله قصد دارم شمارو با انواع Obfuscation های پسورد و آموزش کرک کردن پسورد هش ها آشنا کنم اگر نمیدونید آبفیوسکیشن چی هست باید بگم که نوعی مبهم سازی هستش که بر روی محتوای شما صورت میگیرد برای افزایش امنیت جهت لو رفتن محتوای اصلی. دقیق تر بخوام توضیح بدم فرض کنید اگر در شبکه شما شخصی در حال انجام حمله MITM باشد و ترافیک شبکه شمارو تحت نظر داشته باشه و ببینه که کی داره چیکار میکنه:

در زمانی که شما برای مثال یک رمز عبور رو بخواید ارسال کنید,اگر پسورد شما Obfuscate نشده باشه به سادگی قابل رویت توسط محاجم هستش ;یا برای مثال زمانی که سایت شما هک بشه و به دیتابیس شما دست پیدا کنند اگر پسورد های کاربرانتون به صورت ClearText یا به اصطلاح خام باشد به راحتی مهاجمان میتوانند به اکانت های مدیران و کاربران دسترسی داشته باشند. حالا ما برای افزایش امنیت و جلوگیری از این اتفاق میایم و ۲ کار میکنیم یا پسورد هارو به صورت Password hash قرار میدیم در دیتابیس یا به صورت Encrypted password چه تفاوتی با همدیگه دارند؟

نوع دیتا بیس ClearText
دیتابیس ه//ک شده که پسورد ها به صورت clearText هستند.

همونطور که در تصویر بالا میبینید این وبسایت 👆🏽 اصلا امنیت خوبی رو برای کاربرانش ایجاد نکرده و شخصی که به دیتابیس دسترسی پیدا کنه به اکانت تمامی کاربران دسترسی خواهد داشت. و برای همین میایم از Password Hash یا Encrypted Password ها استفاده میکنیم تا از این اتفاق جلو گیری کنیم حالا بیاین بریم سروقت اینکه چطوری باید اینکارو انجام بدیم.

در ابتدا به سایت, Browserling مراجعه میکنیم جهت تبدیل یک متن به الگوریتم های هش مختلفت نظیر,sha1,sha512,md5,md4,NTLM و … جالبه بدونید که الگوریتم استفاده شده برای بیتکوین هم هش SHA-256 هست که طولش ۲۵۶ بیت هست یعنی 64 کاراکتر داره و اصلا هم فرقی نمیکنه متنی که بهش میدی ۳۲  رقمی باشه یا ۵ رقمی در نهایت خروجی ای که بهت میده ۶۴ کاراکتر داره.

بیاید یک رمزعبور مانند password@1234رو به این سایت بدیم تا برای ما به هش های مختلف تبدیلش کنه :


تصویر تمامی الگوریتم های هش

آموزش کرک hash password به صورت آنلاین

همینطور که میبینید رمزعبور ما از حالت ClearText به حالت Hash شده تغییر پیدا کرد و من یکی از این هش هارو برای شما انتخاب میکنم تا یکسری توضیحاتی رو خدمت شما اراعه بدم:
password@1234 => cce2f81bb110bd8e7bab9779491caf09
الگوریتمی که من انتخاب کردم جهت هش کردن این پسورد MD5 هستش که از ۱۲۸ بیت تشکیل شده یا ۳۲ کاراکتر که یکی از محبوب ترین ها هستش در میان الگوریتم های هش گذاری که حتی در لینوکس هم ازش استفاه میشود. پسورد هش ها به صورت یکطرفه هستند یعنی زمانی که شما یک پسورد رو هش میکنید دیگه نمیتونید به حالت اولیه خودش برشگردونید مگر اینکه Collision رخ بده. حالا منظور از Collision رخ بده چی هستش !؟

بیاید برگردیم سر دیتابیسمون توی سایت, زمانی که یک دیتابیس رو دامپ میکنیم متوجه میشیم که رمزعبور های این پایگاه داده به صورت MD5 هش شدند که برای شناسایی اینکه بفهمیم از چه نوع الگوریتمی برای هش کردن استفاه شده میتونیم از وبسایتی مثل Hash Analayzer استفاده کنیم. بعد از اینکه فهمیدیم الگوریتم MD5 هست طبیعتا میخوایم این هش هارو به صورت cleartext ببینیم یا به اصطلاح هش هارو کرک کنیم  تا بتونیم  درون وبسایت به عنوان یکی از کاربران ورود کنیم چون سایت هش MD5 رو هنگام ورود نمیشناسه و قبول نداره فقط ClearText از شما قبول میکنه.

مطلب پیشنهادی:   چگونه هک و امنیت را شروع کنیم

فرض کنید هشی که بدست آوردیم cce2f81bb110bd8e7bab9779491caf09 این هش هستش که رمز عبور مدیر سایت هست که درون دیتابیس یا پایگاه داده قرار گرفته بود و ما بهش دست پیدا کردیم. برای ورود نیاز به متن اصلی ای داریم که میشه password@1234 خوب حالا از کجا بفهمیم که این هش ! متن اصلیش چی بوده ؟

همونطور که گفتم هش پسورد ها الگوریتم یکطرفه دارن یعنی شما نمیتونید زمانی که یک متن رو هش کردید به حال اولیه برگردونید مگر اینکه Collision رخ بده. بریم سراغ شکستن این هش. مرحله اول میتونی به سایت هایی مثل CrackStaion(محبوب خودم), hashes و …. مراجعه کنیم و هش خودمون رو به این سایت ها بدیم و منتظر بمونیم که آیا شکسته میشه یا نه! هرچند که نمیشه گفت ما عملا داریم عملیات کرک رو انجام میدیم ولی خوب حق مطلب رو ادا میکنه !

خوب این سایت ها درون خودشون یکسری دیتا بیس دارن و دائما در حال بروز رسانی هستند درون این دیتابیس ها میلیارد ها هش قرار گرفته و زمانی که شما هش خودتون رو به این سایت ها میدید این سایت ها هش شمارو با دیتابیس خودشون مقایسه میکنند و اگر برخوردی یا Collision  (یک بار دیگه میگم Collision یعنی برخورد زمانی که هش شما با یک هش مشابه دیگه برخورد کنه میگیم کالیژن رخ داده)  رخ بدهد به شما جواب مثبت میدن که نتیجه شد password@1234.

 

گاهی هم ممکن هست اشتباه جواب رو به شما بدن و اگر این اتفاق بیفته پیغامی متفاوت رو شما دریافت خواهید کرد. برای انجام اینکار بهتر هستش که شما سایت های متفاوتی رو امتحان کنید و تنها به یک سایت اتکا نکنید چرا؟ چون دیتابیس های سایت ها با هم متفاوت هستش زمان بروزرسانیشون باهم متفاوت هستش ممکنه یک سایت هر هفته بروزرسانی انجام بده ممکنه یک سایت ماهیانه بروزرسانی انجام بده! و نسبت به دیتابیسی که درون خودشون دارن مدت زمانی که به شما پاسخ میدهند هم افزایش میابد بعضی از سایت ها هستند که تا ۷ الی ۸ روز هم ممکن هست زمان ببرد تا نتیجه رو به شما اطلاع بدهند و برخی از این سایت ها هم برای اعلام نتیجه از شما هزینه میگیرند.

طریقه کرک password hash به صورت آفلاین

راه های دیگه ای هم برای دیکریپت کردن hash های مختلف وجود داره.همونطور که آموزش کرک پسورد هش رو به صورت آنلاین گفتیم به صورت آفلاین هم میگیم; در جریان باشید که حتی شما میتوانید کرکر شخصی خودتون رو بنویسید با زبان برنامه نویسی ای مثل پایتون که خوب البته ابتدا نیاز به یک پسورد لیست خیلی بزرگ نیاز دارید که مرتبا باید آپدیت بشه و اونارو تبدیل به هش کنید و توی دیتابیستون قرارش بدید و بعد hash password ایی رو که بدست میارید بیارید و توی دیتابیستون سرچش بزنید. (من خودم برای بالا رفتن درصد موفقیت دیتا بیس شخصی خودم رو دارم از سایت هایی که پسورد های کاربرانشون رو به صورت clear text قرار میدن و من بدستشون میارم.)

مطلب پیشنهادی:   گوگل هکینگ (Google Dorking ) چیست !؟


حالا این وسط یکسری برنامه هایی هستند که اصن واسه اینکار نوشته شدن و خیلی تکمیل و خفنن یچیزی میگم یچیزی میشنوید شاید قبلا هم به گوشتون رسیده باشه اسم این برنامه ها :john the ripper, hashcat, hydra ….  اینها محبوب ترین ابزار های کرک password hash ها با الگوریتم های مختلف هستند که میتونید ازشون استفاده کنید. این ابزارها به صورت پیشفرض بر روی کالی لینوکس نصب هستند.

 

یک نکته ای رو بگم اگر سیستم قوی ای ندارید از دیتابیس های سنگین استفاده نکنید برای کرک و از VPS های قدرتمند برای اینکار استفاده کنید کاری به اختصاصی و غیرش ندارم ولی اگر سیستمتون به اندازه کافی قدرتمند نباشه از یجایی به بعد به ارور میخورید توی کرک کردن.

شاید بپرسید این سایت ها از کجا دیتابیسشون رو آپدیت میکنند؟!

همین سایتی که در بالا معرفی کردم یا برای مثال سایت های HashGenerator زمانی که شما یک clerText به این سایت ها میدید تا برای شما این پسورد رو هش کنند هم متن و هم هش رو درون دیتابیس خودشون ذخیره میکنند و سایت هایی مثل CrackStation این دیتابیس هارو خریداری میکنند و دیتابیس خودشون رو آپدیت میکنند.

 

خود سایت ها هم هنگام بررسی اینکه پسورد شما با دیتابسی مطابقت داره یا نه پسورد رو هش میکنن با هش توی دیتابیس چک میکنن و بعد به شما اجازه ورود میدن اگر یکی نباشه به شما خطا میده .

 

بهترین سایت های کرک هش به صورت آنلاین و رایگان

اولین وبسایتی که بهتون معرفی میکنم و در بالا هم در موردش توضیح دادم وبسایت https://crackstation.net هستش که میتونید ازش استفاده کنید وبسایت دوم که میتونید ازش استفاده کنید وبسایت https://hashes.com هستش که باید با فیلتر شکن واردش بشید در حال حاضر و وبسایت آخر که بهتون پیشهاد میکنم یه سر بهش بزنید وبسایت https://hashkiller.io هستش و خوب فقط حرف منو قبول نکید 🙂 برید خودتون توی گوگل سرچ بزنید crack password hashh online و بازم سایت پیدا کنید چیزه خوبی میشناسی به منم بگو توی کامنت ها.

 

حالا رمزنگاری به چه صورت هستش?!

رمز نگاری خودش یک مقاله جدا و کاملی هستش که بعدا در موردش توضیحاتی رو اراعه خواهم داد ولی فعلا بدونید که اگر یک متن رو رمزنگاری کنید قابلیت بازگشتش به حالت اول وجود داره یعنی چی ؟! یعنی اینکه در زمان رمزنگاری شما با یک کلید یک متن رو Encrypt میکنید و در زمان بازگشت اون متن به حالت اول هم با استفاده از اون کلید میتونید اینکار رو انجام بدید و رمزنگاری به اصطلاح ۲ طرفه هستش. و خود این رمزنگاری حالت های متفاوتی رو داره متقارن و نامتقارن و…. حتما سعی میکنم در مورد رمزنگاری هم مطالب ارزشمندی رو به شما عزیزان اراعه بدهم.

اگر از این مقاله باعنوان آموزش کرک پسورد هش  لذت بردی خوشحال میشم توی کامنت ها حتما نظرتو  باهامون به اشتراک بزاری.

کوروش سنایی

درباره نویسنده



کورش سنایی
کورش سنایی
بنده کوروش سنایی هستم مدیر وبسایت زیرزمین سایبری با بیش از 4 سال سابقه فعالیت در زمینه تست نفوذ و امنیت وب اپلیکیشن ها , Client و برنامه نویسی .

مطالب مرتبط



نظرات کاربران



دیدگاهتان را بنویسید

1,499,000
77%
349,000 تومان
100%
رضایت
23
دانشجو
دوره های هک و امنیت
دوره آموزشی Junior Hacker
3,485,000
88%
420,000 تومان
100%
رضایت
109
دانشجو
دوره های هک و امنیت
دوره آموزشی Shodan(رایگان)
800,000 تومان
100%
رضایت
604
دانشجو
1,400,000
50%
700,000 تومان
100%
رضایت
101
دانشجو
رایــگان
100%
رضایت
10000847
دانشجو
دوره های هک و امنیت
آموزش ویروس نویسی با پایتون
220,000 تومان
100%
رضایت
143
دانشجو