книги хакеры / журнал хакер / 194_compressed

ИСКАТЬ XOR ВЫЧИСЛЯТЬ

Популярные алгоритмы хеширования работают настолько быстро, что к настоящему моменту удалось составить пары хеш — пароль почти для всех возможных вариантов функций

скоротким дайджестом. Параллельно у функций с длиной хеша от 128 бит находят недостатки в самом алгоритме или его конкретных реализациях, что сильно упрощает взлом.

Вдевяностых годах крайне популярным стал алгоритм MD5, написанный Рональдом Ривестом. Он стал широко применяться при авторизации пользователей на сайтах и при подключении к серверам клиентских приложений. Однако его дальнейшее изучение показало, что алгоритм недостаточно надежен. В частности, он уязвим к атакам по типу псевдослучайной коллизии. Иными словами, возможно преднамеренное создание другой последовательности данных, хеш которой будет в точности соответствовать известному.

Поскольку дайджесты сообщений широко применяются в криптографии, на практике использование алгоритма MD5 сегодня приводит к серьезным проблемам. Например, с помощью такой атаки можно подделать цифровой сертификат x.509. В том числе возможна подделка сертификата SSL, позволяющая злоумышленнику выдавать свой фейк за доверенный корневой сертификат (CA). Более того, в большинстве наборов доверенных сертификатов легко найти те, которые по-прежнему используют алгоритм MD5 для подписи. Поэтому существует уязвимость всей инфраструктуры открытых ключей (PKI) для таких атак.

Изнурительную атаку перебором устраивать придется только в случае действительно сложных паролей (состоящих из большого набора случайных символов) и для хеш-функций

сдайджестами большой длины (от 160 бит), у которых пока не нашли серьезных недостатков. Огромная масса коротких и словарных паролей сегодня вскрывается за пару секунд

спомощью онлайновых сервисов.

БОЙЦЫ ОБЛАЧНОГО ФРОНТА

1.Проект «Убийца хешей» (hashkiller.co.uk) существует уже почти восемь лет. Он помогает вскрыть дайджесты MD5, SHA-160 и NTLM. Текущее количество известных пар составляет 43,7 миллиона. На сайт можно загружать сразу несколько хешей для параллельного анализа. Пароли, содержащие кириллицу и символы других алфавитов, кроме английского, иногда находятся, но отображаются в неверной кодировке. Еще здесь проводится постоянный конкурс взлома паролей по их хешам и доступны утилиты для облегчения этой задачи — например, программы для объединения списков паролей, их переформатирования и устранения

повторов.

2. «Крэк-станция» (crackstation.net) поддерживает работу с хешами практически всех реально используемых типов. LM, NTLM, MySQL 4.1+, MD2/4/5 + MD5-half, SHA160/224/256/384/512, ripeMD160 и Whirlpool. За один раз можно загрузить для анализа до десяти хешей. Поиск проводится по индексированной базе. Для MD5 ее объем составляет 15 миллионов пар (около 190 Гб) и еще примерно по 1,5 миллиона для каждой другой хеш-функции. По уверениям создателей, в базу включены все слова из англоязычной версии Википедии и большинство популярных паролей, собранных из общедоступных списков. Среди них есть и хитрые варианты со сменой регистра, литспиком, повтором символов, зеркалированием и прочими трюками. Однако случайные пароли даже из пяти символов становятся проблемой — в моем тесте половина из них не была найдена даже по LM-хешам.

3.CloudCracker.net — бесплатный сервис мгновенного поиска паролей по хешам MD5 и SHA-1. Тип дайджеста определяется автоматически по его длине. Пока CloudCracker находит соответствия только хешам некоторых английских слов и распространенных паролей, вроде admin123. Даже короткие пароли из случайных наборов символов типа D358 он не восстанавливает по дайджесту MD5.

4.Сервис MD5Decode.com содержит базу паролей, для которых известны значения MD5. Он также показывает все остальные хеши, соответствующие найденному паролю: MD2, MD4, SHA (160–512), RIPEMD (128–320), Whirlpool-128, Tiger (128–192 в 3–4 прохода), Snefru-256, GOST, Adler-32,

УНИВЕРСАЛЬНЫЙ ПОДХОД

Среди десятка хеш-функций наиболее популярны MD5

не обязательно будет таким же, как у реального владельца компьютера, но для Windows разницы между ними не будет вовсе. Как пела группа Bad Religion, «Cause to you I’m just a number and a clever screen name».

Аналогичная проблема существует и в других системах авторизации. Например, в протоколах WPA/WPA2, широко используемых при создании защищенного подключения по Wi-Fi. При соединении между беспроводным устройством и точкой доступа происходит стандартный обмен начальными данными, включающими в себя handshake. Во время «рукопожатия» пароль в открытом виде не передается, но в эфир отправляется ключ, основанный на хеш-функции. Нужные пакеты можно перехватить, переключив с помощью модифицированного драйвера адаптер Wi-Fi в режим мониторинга. Более того, в ряде случаев можно не ждать момента следующего подключения, а инициализировать эту процедуру принудительно, отправив широковещательный запрос deauth всем подключенным клиентам. Уже в следующую секунду они попытаются восстановить связь и начнут серию «рукопожатий».

Сохранив файл или файлы с хендшейком, можно выделить из них хеш пароля и либо узнать сам пароль, либо найти какойто другой, который точка доступа примет точно так же. Многие онлайновые сервисы предлагают провести анализ не только чистого хеша, но и файла с записанным хендшейком. Обычно требуется указать файл pcap и SSID выбранной точки доступа, так как ее идентификатор используется при формировании ключа PSK.

Проверенный ресурс CloudCracker.com, о котором в последние годы писали все кому не лень, по-прежнему хочет за это денег. Gpuhash.me принимает биткоины. Впрочем,

«Крэк-станция» находит многие словарные пароли даже по хешам NTLM

«Крэк-станция» с трудом вскрывает случайные пароли длиной от пяти символов даже по LM-хешам

MD5Decrypt находит составные словарные пароли, но хеши на анализ принимает только по одному

есть и бесплатные сайты с подобной функцией. Например, DarkIRCop (bit.ly/1yYrRD1).

Пока с помощью онлайновых сервисов и радужных таблиц находятся далеко не все пары хеш — пароль. Однако функции с коротким дайджестом уже побеждены, а короткие и словарные пароли легко обнаружить даже по хешам SHA-160. Особенно впечатляет мгновенный поиск паролей по их дайджестам с помощью Гугла. Это самый простой, быстрый и совершенно бесплатный вариант.

Олег Парамонов paramonov@sheep.ru

Графический интерфейс не убил командную строку. Наоборот, в последнее время она переживает ренессанс. GitHub ломится от программ, перекла-

дывающих на нее задачи, которые привычнее решать при помощи обыкновенных приложений. В этом есть своя логика: как правило, такие утилиты сочиняют для себя, а отказ от GUI значительно ускоряет решение задачи.

ПРОСТЫЕ ГРАФИКИ

Большинство средств для построения графиков чересчур серьезны для казуального использования: достаточно сказать, что в кратком списке команд gnuplot целых четырнадцать страниц, полная же инструкция занимает 254 страницы. Когда нужен единственный график, и быстро, gnuplot со всеми его тонкостями — это перебор. Для такого случая лучше подойдет сервис datafart, к которому можно обратиться из командной строки. Он не обладает даже малой долей возможностей gnuplot и умеет лишь одно: строить простейшие линейные графики временных серий.

Линуксоиды и маководы могут добавить в .bashrc (на Маке —

.bash_profile) строку «alias datafart="curl --data-binary @- datafart. com"». Она позволит отправлять данные в сервис по команде datafart. На входе команда принимает списки чисел, разделенных пробелом. Каждое число в строке определяет вертикальную координату соответствующей кривой, строки означают их позицию по горизонтальной оси. В простейшем случае можно указать по од-

Datafart гораздо проще, чем gnuplot, но часто большего и не требуется

Смысл в другом: данные в таком формате очень просто генерировать автоматически. Например, следующая строка строит при помощи datafart график колебания курса доллара в течение года; информация извлекается с сайта РБК:

python -c 'import urllib2; print "\n".join(i.split

("\t")[5] for i in urllib2.urlopen("http://

export.rbc.ru/free/cb.0/free.fcgi?period=DAILY

&tickers=USD&lastdays=365&separator=TAB&data_format

=BROWSER&header=0").readlines()])' | datafart

В ответ datafart выдаст короткий адрес в интернете, по которому расположен готовый график. Это удобно — ссылку можно тут же показать другим. Бояться за сохранность данных нет смысла: через десять минут график будет автоматически удален.

Похожего результата можно добиться и с помощью утилиты hist (установка: pip install bashplotlib, требуется Python). Она строит гистограммы прямо в текстовом режиме. Формат данных, используемых утилитой, похож на формат datafart. Есть, впрочем, небольшое отличие: гистограмма будет лишь одна, поэтому передавать hist более одного числа в строке не стоит.

letswork github.com stackoverflow.com

developer.apple.com

Чтобы разблокировать закрытые сайты, предусмотрена команда letsplay. Она тоже позволяет перечислить домены-исключения, но смысл исключения другой: после ввода команды они окажутся заблокированы.

И блокировать, и разблокировать сайты при помощи workmode или letswork/letsplay можно вручную, но проще переложить эту задачу на автозапуск по расписанию, чтобы блокировка включалась в начале рабочего дня и снималась в конце. В Windows для этого есть команда schtasks, а в OS X и Linux — cron.

Letswork и letsplay прекрасно работают и обладают только одним недостатком: блокировку слишком просто снять. Требуется огромная сила воли, чтобы не сделать этого при первой же возможности.

Скрипт pom атакует прокрастинацию с другого угла. Он представляет собой консольную реализацию помидорного метода управления временем. Суть метода сводится к разделению рабочего дня на получасовые отрезки. Предполагается, что уж 25 минут даже самые безвольные субъекты могут перетерпеть, не отвлекаясь от дела. Затем следует пятиминутный перерыв, после чего таймер заводят еще на полчаса.

Обычно получасовые отрезки отмеряют при помощи кухонного таймера в виде помидора (отсюда и название). Pom помогает обойтись без тикающего овоща из пластмассы. Чтобы запустить таймер, нужно ввести коман-

ду pom сообщение. Pom запишет сообщение в файл ~/ pom.log и начнет отсчет времени. Когда 25 минут истекут, он сообщит об этом страшным электронным голосом и посоветует немного отдохнуть. Затем эта последовательность действий повторяется — и так до победного конца. Установить pom можно командой npm install -g pom, для чего опять же потребуется Node.js.

СПИСКИ ЗАДАЧ

Главный герой фильма «Помни» страдал редкой формой амнезии: он разучился формировать новые воспоминания. Чтобы не забыть, что происходит, он записывал самые важные факты в виде татуировок на своей коже. Если бы он был программистом, то мог бы заменить свои записки утилитой doing (установка: gem install doing, требуется Ruby). Она понадобится тем, кто боится потерять нить мысли из-за информационной перегрузки.

По сути дела, doing — это список задач наоборот. Он нужен не для того, чтобы записывать свои планы (хотя и это возможно), а для того, чтобы не забыть, чем ты занят прямо сейчас. К примеру, я бы мог сообщить doing, что пишу статью, при помощи команды «doing now пишу статью». По команде doing last утилита напомнит мне об этом, а команда doing finish уведомит утилиту

отом, что задача выполнена (до этого, увы, еще далеко). Наконец, добавить задачу на будущее можно при помощи doing later

описание плана.

Обзор более традиционных списков задач для командной строки следует начать с Todo.txt. Эта почтенная утилита развивается с 2006 года и за без малого десятилетний срок обросла фантастическим количеством возможностей и аддонов. Чтобы установить ее, нужно скачать с сайта todotxt.com шелл-скрипт todo.sh и сделать его исполняемым файлом. Кроме того, авторы утилиты рекомендуют прописать для todo.sh алиас попроще — например, t. Предположим, что мы сделали это.

Любой список задач должен уметь три вещи: добавлять новые планы, показывать запланированное и отмечать выполненные. Для добавления планов в Todo.txt служит команда t add "описание задачи", а список выводит t list. Каждый пункт списка снабжен порядковым номером. Это нужно для того, чтобы оперировать отдельными задачами. Например, команда «t do 1» сообщает утилите

овыполнении первой задачи, а «t pri 3 a» поднимает приоритет третьей задачи до уровня а. Повторный ввод t list позволяет оценить эффект, который произвели эти операции.

Следующий уровень сложности — проекты. Чтобы отнести одну из задач в Todo.txt к определенному проекту, достаточно добавить в ее описание название проекта, предваренное знаком +. Например, добавить задачу «протестировать Taskwarrior» в проект «Статья» можно так:

t add "протестировать Taskwarrior" +статья

Эта задача будет выводиться и в общем списке, и в списке задач, относящихся к проекту «Статья», который можно увидеть по команде t list +статья.

Taskwarrior — еще одно мощное средство ведения списка задач для командной строки. Это, в отличие от Todo.txt, уже не просто шелл-скрипт. В большинстве дистрибутивов Linux программу можно установить командой sudo apt-get install task; под OS X поможет brew install task, для Windows сборка Taskwarrior есть в репозитории Cygwin (как и в Linux, она называется просто task). Командный интерфейс Taskwarrior имеет несколько тонких отли-

чий от Todo.txt: например, при добавлении задачи не требуются кавычки. Мелочь, а приятно:

task add название задачи

поддерживает фильтрацию по проектам, приоритету и прочим параметрам.

Интересное начинается, если обратить внимание на богатые настройки отображения списка, а также на статистическую функциональность Taskwarrior. Команда task stat расскажет о списке задач больше, чем хотелось бы знать, а task burndown представит ту же информацию в виде псевдографической гистограммы, где по горизонтали отложены дни, а по вертикали — суммарное число добавленных и завершенных задач. Под графиком Taskwarrior выводит собственную оценку сроков выполнения всех планов, подсчитанную на основании накопленной им статистики использования программы.

Taskwarrior прогнозирует вероятность выполнения списка задач

в срок. Прогноз, как правило, пессимистичен

ЗАМЕТКИ НА ПАМЯТЬ

Утилиты для ведения заметок, отдаленно напоминающие Evernote, встречаются на GitHub не реже, чем списки задач. И понятно почему: они решают еще одну проблему, с которой хорошо знакомы их потенциальные авторы. Принцип использования этих утилит, как правило, похож, но сфера применения немного различается.

Начнем с простого. Утилита под названием boom предназначена для хранения коротеньких однострочных записей-сниппетов — например, ссылок, телефонов и другой подобной информации. Ее можно установить при помощи команды gem install boom, для чего требуется Ruby. После установки нужно первым делом завести список сниппетов (списков может быть несколько, но для начала хватит и одного). Это делается при помощи команды boom название списка. Чтобы добавить сниппет в список, служит команда boom

список название_сниппета текст. Извлечь введенный текст можно при помощи команды boom название_сниппета.

$ boom gifs

$ boom gifs wtf http://i.imgur.com/xjFLxXf.gif

$ boom wtf

Boom! Just copied http://i.imgur.com/xjFLxXf.gif

to your clipboard.

Программу jrnl хочется сравнить не с Evernote, а, скорее, с Day One — популярным приложением для ведения днев-

ника. После установки (pip install jrnl, требуется Python) создать новую дневниковую запись можно, введя строку jrnl today: текст записи. Вместо today можно написать yesterday или любую другую дату; в этом случае запись будет датирована задним числом. Первое предложение записи становится заголовком, а слова, начинающиеся с символа @, считаются тегами. Введенная информация будет зашифрована алгоритмом AES-256. Если же ввести jrnl без параметров, программа откроет текстовый редактор, и созданный в нем текст станет новой записью.

Утилита ajour (установка: npm install -g ajour, требуется Node.js) похожа на jrnl, но в отличие от него датирует записи автоматически. Это упрощает дело: новая запись добавляется командой ajour текст и не требует англоязычных добавок, обозначающих дату. Чтобы не создавать новую запись, а дописать пару строк к последней, служит ключ -t, который нужно приписать после текста. Дневник сохраняется в файле ajour.md.

Вершина консольного эвернотостроения — программа Stash, которая хранит заметки в собственном

Reddit command line app — это утилита для прокрастинации

облачном сервисе (trystash.com). Ее интерфейс не особенно отличается от интерфейса соперников. Строка stash название текст создает новую запись с указанным названием; теги можно перечислить в конце текста после ключа -t. Команда stash all выдает полный список записей, а stash tags список тегов позволяет отыскать запись по ее тегам. Наконец, для того, чтобы извлечь и просмотреть запись по названию, служит команда stash название.

ПОИСК ИНФОРМАЦИИ

Сбор информации — еще одно популярное направление, привлекающее создателей таких программ. В сущности, речь идет о консольном аналоге виджетов-информеров, которые встречаются в современных операционных системах и мобильных платформах.

Вот насущный пример: шелл-скрипт currency-convert.sh, который можно скачать по адресу goo.gl/QF4cXX. Он предназначен для того, чтобы конвертировать денежные суммы из одной валюты

вдругую. Свежие курсы программа извлекает из Google Finance. Требуются ли объяснения, для чего это нужно? Открой ~/.bashrc

втекстовом редакторе и добавь туда строку

alias zenrus="./currency-convert.sh RUB USD 1"

Теперь тебе не нужно покидать командную строку, чтобы следить за тем, как рост курса доллара обесценивает твою зарплату.

Есть и более эскапистские развлечения: например, биткоин. Его прыжки и падения можно отслеживать при помощи приложения btc (установка: npm install btc -g от рута; требуется Node.js). После запуска она отображает курсы биткоина в нескольких популярных сервисах.

Другая волнующая тема — это, разумеется, погода. Существует множество утилит, позволяющих узнавать ее из командной строки. Различия чаще всего сводятся к используемым источникам информации. Программа weather-cli (установка: pip install weathercli, требуется Python) добывает сведения о погоде с сервиса openweathermap.org. Способ применения прост: weather название города --units celsius. Его, впрочем, можно упростить еще сильнее, если задать переменные окружения WEATHER и WEATHER_UNITS. Первая должна содержать название интересующего города, а вторая — нужную единицу измерения (в нашем случае — celsius, то есть градусы Цельсия). После этого для того, чтобы узнать погоду, хватит команды weather без всяких аргументов.

Утилита howdoi помогает программистам быстро находить образцы кода (установка: pip install howdoi, требуется Python). Запрос на английском языке вводится прямо после команды, после чего она без лишних предисловий выдает код из самого подходящего ответа с сайта Stack Overflow. Ключ -а позволяет увидеть не только код, но и весь ответ целиком. Как и с любым поисковиком, случаются промахи. Порой приходится уточнять формулировку запроса, но чаще howdoi находит именно то, что нужно.

Программа Reddit command line app (dendory. net/?src=hn&d=53e56eeb) придумана для тех, кто не только не боится прокрастинации, а наоборот, стремится к ней. При запуске это приложение выводит заголовки десяти последних постов на сайте Reddit. Ключ -r позволяет отфильтровать посты, относящиеся к определенному субреддиту (разделу): например, команда reddit -r hearthstone покажет десять постов про игру Hearthstone. Прочитать интересующий пост можно при помощи команды reddit номер поста, а чтобы открыть ссылку в браузере, надо добавить в конце строки -url. Да, это не самый простой способ читать Reddit, но, однажды начав пользоваться командной строкой для всего, уже сложно остановиться.

Артём Костенко

Izbranniy@mail.ru

КОМПЬЮТЕРРоман Алешкин, директор по разработке продуктов Acronis

ВОБЛАКЕ

ХАКЕР 03 /194/ 2015

СПЕЦПРОЕКТ С КОМПАНИЕЙ ACRONIS