|
Título: Crackear password cifrado dos veces con sha256 con john Publicado por: Ethicalsk en 3 Agosto 2016, 09:50 am que tal comunidad? estaba haciendo pentesting con la web de un amigo que resultó vulnerable a SQLi, pero los passwords estaban bien cifrados, me dijo que los paso dos veces por sha256... supongo que uso algo como ésto en su código:
Código: sha256(sha256($pass)) Por ejemplo, usemos el password: juan87 Si lo ciframos una vez por sha256 queda: 9a9b826753261a7f06364c25ba3f09c0b7f8fc926d6dc494aa9e2e614a64050d Y si a éste último hash lo volvemos a cifrar con sha256 quedaría: a5dbc50c08e468b83c5c9bf2f191091e2e3d3858bc6146ed611597a1d8893d71 Probé usar el JTR con los siguientes parámetros: Código: john hash.txt --wordlist=passwords.txt --format=Raw-SHA256 --salts=2 siendo hash.txt un archivo que contiene el útlimo hash (a5dbc50c08e468b83c5c9bf2f191091e2e3d3858bc6146ed611597a1d8893d71) y el wordlist.txt un archivo con varios passwords, entre ellos juan87 pero no funcionó... Después intente usar éste comando: Código: john hash.txt --wordlist=passwords.txt --format=Raw-SHA256 (sin el --salt=2), y dentro del wordlist dejé el primero de los hashes (9a9b826753261a7f06364c25ba3f09c0b7f8fc926d6dc494aa9e2e614a64050d) y tampoco lo identificó como la clave... Ésto último me pareció muy raro, ya que al primer hash solo bastaba pasarlo una vez por sha256 para que coincida con el segundo hash, y aun asi tampoco lo identificó... Gracias por la colaboración!!!! |