Hallo Zusammen,
Ich möchte gerne aus diesem Video die 3. Möglichkeit (03:27m) nachbauen, könnt ihr mir sagen wie das geht?
Das Programm nimmt ja von der Website den vorgeschriebenen Hashcode. Wie kann jetzt das Programm herausfinden, ob das PW stimmt?! Mit vergleichen der HashCodes?
Wenn ja, wie stelle ich das an, wie kann ich per VB einen Hash-Code erzeugen lassen?

MFG und danke im Voraus! :thumbsup:

Hash-Code decrypten & über einen HTTPWebRequest checken lassen evtl.?

Alle Möglichkeiten sind unsicher, auch die Dritte ist innerhalb von ein paar geknackt.

Wie denn?
Würde mich interessieren.

@Gather
Du kannst ganz einfach die Anfrage umleiten auf eine eigene Datei, in der du deinen Hash drinstehen hast.

Ja, das wäre mir bewusst, ich verstehe nur nicht, wie es einem Cracker möglich ist, dass zu bewerkstelligen.
Wie kann er meinen Code umschreiben?

Das angucken, verstehen und freuen.

@VisualBasicNoob: einen Hash kann man nicht decrypten. Ein Hash kann nur einmalig erzeugt werden, weil das "hashing" eine Ein-Weg-Funktion ist.
@Gonger96: nicht unbedingt. Wenn der Login in einem Programm von einer Session-ID abhängig ist und diese Session-ID permanent geändert wird und mit der Zeit verfällt ist es wiederum sicher. Hierbei muss die Funktion des Programmes aber permanent von einer Online-Lösung abhängig sein, damit dies sicher ist. Dafür musst du dann den Web-Service knacken - was u.U. schwer werden kann.
@Gather: ilspy.net/ mit nem ILEditor. (Vorzugsweise ReflexIL)

@Gather
Er braucht garnicht den Code umschreiben. Es reicht wenn er die Zieladresse hat und diese in seiner Hosts-Datei einträgt. Das hat genau genommen nicht mal was mit Hacken zu tun, das könnte sogar ich hinbekommen.

Ich sagte ja im Video... Ein bisschen besser. Und ich hab auch deutlich gesagt, dass es auch hier keine 100% Sicherheit gibt...

Der vornehmliche Grund, warum Lösung 3 ein bisschen besser ist ist, dass Sie 0815 ScriptKiddies abhält, da hier etwas mehr Wissen von Nöten ist. Natürlich hält die 3. Möglichkeit erfahrene Angreifer nicht ab. Ich denke nicht, dass dies wieder einer Grundsatzdiskussion werden soll.

Das Video war dazu gedacht, um jedem vor Augen zu führen, wie schnell der QuellCode offentgelegt ist. Das Video war NICHT dazu da, um sichere Programmiertechniken zu demonstrieren. Ich hoffe, das ist klar, bevor hier wieder eine Diskussion vom Zaun bricht.

Es zeigt einfach nur warum man niehiehiehiemals Passwörter in den Quellcode schreiben sollte, wie der Titel schon sagt.

AliveDevil schrieb:

Das angucken, verstehen und freuen.

@VisualBasicNoob: einen Hash kann man nicht decrypten. Ein Hash kann nur einmalig erzeugt werden, weil das "hashing" eine Ein-Weg-Funktion ist.
@Gonger96: nicht unbedingt. Wenn der Login in einem Programm von einer Session-ID abhängig ist und diese Session-ID permanent geändert wird und mit der Zeit verfällt ist es wiederum sicher. Hierbei muss die Funktion des Programmes aber permanent von einer Online-Lösung abhängig sein, damit dies sicher ist. Dafür musst du dann den Web-Service knacken - was u.U. schwer werden kann.
@Gather: ilspy.net/ mit nem ILEditor. (Vorzugsweise ReflexIL)

Nichts ist unmöglich Gib mir dein PW als MD5Hash ich encrypt es dir

9042b70066a7e28b5e9109dccb8a67a4

Das lass' ich mir jetzt nicht nehmen.

MD5 ist, auch wenn unsicher, nicht direkt zurückführbar. Du kannst gerne nach dem Hash googeln und hoffen, dass es ihn bereits in einem Rainbowtable gibt. Aber auch deine Grafikkarte wird keine Kollision auf diesen Hash hinbekommen ;)

@VisualBasicNoob
Sofern es kein Wort aus einer bekannten Liste ist wird das einige Jahre dauern.

@VisualBasicNoob
Ein Hash Algorythmus ist nicht entschlüsselbar ! Das einzeige was möglich ist, ist das Vergleichen von bekannten Hashes. Das dauert nur lange und ist keine Entschlüsselung !

@Gonger96
Wunderbar, dass du schon tausendmal gesagtes ausgrabst.
Ich glaube das ist ihm bewusst und er will es auf die Methode machen, die Artentus angesprochen hat.

@Gonger96
Für einen normalen Menschen ja. MD5 kann aber aufgrund zu geringer Länge mit viel Zeitaufwand zurückgerechnet werden (hier nachlesbar). Wenn du sicher sein willst solltest du SHA512 verwenden.

Das ist aber kein entschlüsseln bzw. "decryption". Ich werds wohl erneut erwähnen müssen wenns noch unklar ist. Das ist nur OffTopic deswegen denk ich jetzt ists auch gut
@Artentus
Gut, da hatte ich wohl unrecht

Hi
wenn du es bewiesen haben willst, schau' dir mal das Taubenschlag-Prinzip (pigeonhole principle) an.
Der MD5-Hash hat eine festgelegte Anzahl c an Ausgangs-Bytes, die Eingabe ist variabel. Das heißt die Eingabe besitzt insgesamt nur 256^c mögliche Besetzungen! Somit muss es spätestens ab 256^c+1 voneinander verschiedenen Eingaben bereits zwei geben, die ein gleiches Ergebnis haben.
Beim SHA512 ist es das gleiche, aber die Anzahl der Ausgans-Bytes ist größer.

Gruß
~blaze~

Gonger96 schrieb:

@VisualBasicNoob
Ein Hash Algorythmus ist nicht entschlüsselbar ! Das einzeige was möglich ist, ist das Vergleichen von bekannten Hashes. Das dauert nur lange und ist keine Entschlüsselung !

Das habe ich auch nicht behauptet, nur das man normale MD5 Hash's entschlüsseln kann

Theoretisch kann man alle Hashes "entschlüsseln" (--> Bruteforce). Nur dauert das entsprechend lang und genau das ist auch das Ziel. MD5 ist halt durch die Kollisionen anfällig und kann deswegen offenbar schnell geknackt werden.
Außerdem erhältst du nicht einen einzigen Ursprungswert, sondern unendlich viele.

Gruß
~blaze~