#ВbIDEРЖКИ_N_ЦNТAТbI_О_B0ЙNЕ
Начало: http://vk.com/dapunk?w=wall305974769_60%2Fall
"Ты умна, а я идиот,
И неважно, кто из нас раздает,
Даже если мне повезет,
И в моей руке будет туз, в твоей будет джокер"
гр. "Крематорий"
Украденная база в основном содержала мусор: те же новости "новороссии", тексты статей и аккаунты пользователей на форуме с почтой и паролями в виде "непосоленных" md5-хэшей. Про хэши Федя понял, пробежавшись глазами по колонкам LOGIN и PAROL в таблице AKAUNTI. Найдя пользователя с логином "1" (он там, конечно, был - кто бы, блять, сомневался?), Федя посмотрел на хэш пароля этого пользователя. Там стояло знакомое c4ca4238a0b923820dcc509a6f75849b - md5 от строки "1", безо всякой "соли". Пользователь с логином и паролем "один-один", верный друг и товарищ любого хакера.
Там же был и аккаунт admin, который - Федя был уверен на 99% - принадлежал администратору. Хэш пароля был 4017041cbea2569825c4283d8e9e8e47. Дальше можно было действовать по-разному. Можно было использовать SQL инъекцию, что бы поменять администратору пароль на "1". Но это было очень палевно - админ заметит взлом, как только попытается войти под своим аккаунтом.
Или можно было попробовать написать простенький скрипт на Python и сбрутфорсить пароль админа - Федя проверил админку, там не было никакой защиты от перебора - ни CAPTCHA, ни таймаута после нескольких попыток подбора, ничего. К тому же наличие в базе пользователя с логином-паролем "один-один" говорило, что пользователи при регистрации спокойно могут выбирать короткие и слабые пароли - никакими политиками безопасности по этому поводу на сайте и не пахнет. Но брутфорс тоже могли заметить - если на сайте было включено логирование, то администратору достаточно было взглянуть на сильно распухшие логи web-сервера.
На крайний случай можно было вставить в текст любой из последних новостей js код и спереть у админа куки, как только он со своей админки откроет эту новость. Т.е. атаковать с помощью stored XSS. Но опять-таки, это могли заметить.
В общем все перечисленные способы были палевными, в той или иной степени, а палиться Федя не хотел. Поэтому он открыл новую вкладку в Tor Browser и через Web интерфейс зашел в почтовый ящик на Yahoo, которым пользовался в случае если нужно было связаться с друзьями-хакка по поводу... ну скажем так, не совсем законному. Новых входящих не было. Федя открыл Sublime Text, накидал письмо хорошему знакомому по прозвищу diZe1 и зашифровал его (письмо, а не знакомого, конечно) с помощью PGP. Потом создал новое письмо, скопировал зашифрованный текст в форму отправки и кликнул "Отослать".
diZe1 жил где-то в Харькове и владел крупным Android-ботнетом. Кроме разбодяживания web траффика для аудита и накрутки установок в GooglePlay, diZe1 сдавал ботнет в аренду для распределенных вычислений. В частности, для взлома хэшей. В своем письме Федя как раз и попросил diZe1 найти коллизию к 4017041cbea2569825c4283d8e9e8e47.
Ожидая ответа от diZe1, Федя полез смотреть украденную базу дальше. Как уже было сказано, там была в основном всякая мура, кроме одной таблицы, которой Федя заинтересовался. Таблица называлась MESSAGES - на нормальном английском, и это было как-то нетипично, учитывая что остальные таблицы назывались транслитом: NOVOSTI, STATYI и тому подобное. В таблице MESSAGES было две колонки: primary key и, собственно, колонка MESSAGE - вероятно, с сообщениями. "Вероятно" - потому что все данные в колонке MESSAGE были в base64. К тому же, судя по "-----BEGIN PGP MESSAGE-----" в начале и "-----END PGP MESSAGE-----" в конце, данные были зашифрованы с помощью PGP.
Похоже кто-то использовал неприметный сепарский сайт для негласного обмена зашифрованными сообщениями. Факт сам по себе примечательный, но мало что дающий в практическом плане. Нет, в теории конечно разработано множество атак на RSA - алгоритм шифрования с открытым ключом, который использовался в PGP, - начиная от слабого генератора случайных чисел и заканчивая всякой математической экзотикой типа гладких простых чисел. Но на практике взлом PGP возможен только если вы владеете десятком суперкомпьютеров, да и то не всегда. Ну или вы - герой голливудского фильма про хакеров, которому с одной стороны приставили пистолет к голове, а с другого - активно отсасывает блондинка. Тогда да, любой шифр ломается за минуту.
Суперкомпьютеров у Феди не было, склонной к минетам блондинки в поле зрения тоже не наблюдалось. И то и другое расстраивало Федю безмерно, потому что по сути это был тупик. Федя добрался до тех сообщений, что упоминались в почтовой переписке контрабандиста, но толку с этого было ноль. Федя уже собрался было закрыть браузер и пойти выспаться как следует, но тут пришло сообщение от diZe1, ясное дело зашифрованное с помощью того же PGP Фединым публичным ключом. В сообщении говорилось следующее:
"тебе сказочно повезло, за 10 минут по словарю нашлась охуезная коллизия: nov0ross1a
это неебическая удача я бы сказал, потому что это скорее всего не коллизия а сам пароль
опять лугандон ломаешь? :)
зы с тебя $100"
/продолжение следует/