Sto esaminando un'applicazione. In un file XML mi sono imbattuto in:
<ScrambledPassword>U8P3J2N1</ScrambledPassword>
L'ho eseguito attraverso uno script di identificazione hash che mi dice che è un CRC-32 o FCS-32 che sembrano entrambi improbabili.
Qualcuno ha un'idea?
Il mio primo istinto è che si tratta di un algoritmo homebrew. Potrebbe essere online da qualche parte, ma ci sono un milione di questi algoritmi homebrew. È improbabile che tu riesca a trovarlo se è qualcosa di oscuro, anche se puoi provare alcuni dei migliori hit di Google solo per vedere.
Un'altra idea è che è crittografato e memorizzato con qualche strana codifica (dal momento che vedo le lettere ma non è base64). Oppure potrebbe utilizzare qualche crittografia personalizzata.
Potrebbe essere una sfida divertente per rompere questo sistema, ma probabilmente dovremmo essere in grado di creare i nostri hash. Ad esempio se hai due utenti con la stessa password, hanno la stessa password criptata? L'algoritmo fa qualcosa di divertente quando si passa a zero byte (0x00)? Ecc.
Non sono sicuro di cosa hai bisogno, ma guarderei ai modi per aggirarlo. Se hai acquistato un sito Web e lo utilizza, basta sostituire l'algoritmo di hashing con bcrypt o qualcosa del genere. Oppure, se stai cercando un software potenzialmente acquistabile, puoi dire al venditore che sei interessato alla sicurezza del loro prodotto e chiedere dettagli sull'algoritmo di hashing. Se si rifiutano di darlo, questa è una grande bandiera rossa. Nessuno che comprenda la sicurezza elude o rifiuta le domande riguardanti il loro uso degli algoritmi.
Non sembra un hash per me, ed è etichettato come "strapazzato". Ciò mi indurrebbe a pensare che si tratti di una semplice cifratura sostitutiva. Hai il controllo di questo valore? Ad esempio, puoi provare a inserire una password più lunga per vedere qual è il risultato? Quando mi sono imbattuto in questo in passato e ho controllato il valore, ho inserito più volte la stessa lettera, cioè "aaaaaaaa", per vedere qual è l'output. Quindi, prova "bbbbbbbb" per vedere se emerge un modello;)
Leggi altre domande sui tag hash password-cracking