❓ Как узнать, хранятся ли пароли в базе в открытом виде
Это один из самых тревожных и, увы, до сих пор реальных сценариев: ты нашёл базу данных и хочешь понять, насколько безответственно там обращаются с паролями. Вот как быстро это проверить.
Шаги:
1️⃣ Получи дамп базы данных Если ты на этапе баг-баунти — это может быть через SQL-инъекцию или доступ к резервным копиям. Мы не поощряем взлом — только разрешённое тестирование.
2️⃣ Найди таблицу с пользователями
Обычно: users, accounts, members, login, auth.
3️⃣ Посмотри, как выглядят пароли
📍 Если поле password содержит строки типа 123456, admin, qwerty — это plaintext.
📍 Если строки длинные, с миксом символов, возможно это хеши (например, bcrypt, MD5, SHA-1).
4️⃣ Протестируй предположения:
📍 Сравни хеши с публичными словарями через CrackStation.
📍 Или используй hashid / hash-identifier для определения типа хеша.
📍 Для брутфорса попробуй John the Ripper или Hashcat.
5️⃣ Проверь наличие соли Если у всех пользователей одинаковый пароль, но хеши разные — скорее всего, применяется соль. Это хорошо. Если хеши совпадают — соль не используется. Это плохо.
❗️ Что не стоит делать:
— Не публикуй реальные дампы или пароли — это нарушение этики и закона.
— Не используй полученные данные за пределами согласованных условий пентеста.
❓ Как узнать, хранятся ли пароли в базе в открытом виде
Это один из самых тревожных и, увы, до сих пор реальных сценариев: ты нашёл базу данных и хочешь понять, насколько безответственно там обращаются с паролями. Вот как быстро это проверить.
Шаги:
1️⃣ Получи дамп базы данных Если ты на этапе баг-баунти — это может быть через SQL-инъекцию или доступ к резервным копиям. Мы не поощряем взлом — только разрешённое тестирование.
2️⃣ Найди таблицу с пользователями
Обычно: users, accounts, members, login, auth.
3️⃣ Посмотри, как выглядят пароли
📍 Если поле password содержит строки типа 123456, admin, qwerty — это plaintext.
📍 Если строки длинные, с миксом символов, возможно это хеши (например, bcrypt, MD5, SHA-1).
4️⃣ Протестируй предположения:
📍 Сравни хеши с публичными словарями через CrackStation.
📍 Или используй hashid / hash-identifier для определения типа хеша.
📍 Для брутфорса попробуй John the Ripper или Hashcat.
5️⃣ Проверь наличие соли Если у всех пользователей одинаковый пароль, но хеши разные — скорее всего, применяется соль. Это хорошо. Если хеши совпадают — соль не используется. Это плохо.
❗️ Что не стоит делать:
— Не публикуй реальные дампы или пароли — это нарушение этики и закона.
— Не используй полученные данные за пределами согласованных условий пентеста.
To pay the bills, Mr. Durov is issuing investors $1 billion to $1.5 billion of company debt, with the promise of discounted equity if the company eventually goes public, the people briefed on the plans said. He has also announced plans to start selling ads in public Telegram channels as soon as later this year, as well as offering other premium services for businesses and users.
Importantly, that investor viewpoint is not new. It cycles in when conditions are right (and vice versa). It also brings the ineffective warnings of an overpriced market with it.Looking toward a good 2022 stock market, there is no apparent reason to expect these issues to change.
Библиотека хакера | Hacking Infosec ИБ информационная безопасность from tw
