Хэш без соли

Прогресс комнаты 0 / 4

Задание 1Введение

Цель: Почему быстрые хэши без соли не защищают пароли.

Из утёкшей базы достали хэш пароля. Хэш — MD5 без соли. Известно, что пароль есть в словаре. Флаг — CTF{пароль}.

Задание 2Теория и инструменты

Хэш — односторонняя функция, но MD5 считается миллиарды раз в секунду. Атакующий просто хэширует словарь и сравнивает.

Соль (случайная добавка к паролю) не даёт использовать заранее посчитанные таблицы, а медленные функции (bcrypt, argon2) делают перебор дорогим.

Инструменты

Python: hashlib.md5(w.encode()).hexdigest()
hashcat, John the Ripper

Больше теории — в разделе «Обучение: Криптография».

Задание 3Практика: найдите флаг

Данные задания227 символов

admin:c378985d629e99a4e86213db0cd5e70d

wordlist.txt:
sunflower
keyboard
penguin
rainbow
lighthouse
avalanche
chocolate
dolphin
firewall
galaxy
hurricane
jupiter
kangaroo
labyrinth
mercury
nebula
octopus
phoenix
quantum
volcano

Вопрос: какой флаг спрятан в данных? Войдите, чтобы ответить

Пошаговый план — открывайте по одному шагу

1
Возьмите хэш после admin:.
2
Посчитайте MD5 для каждого слова словаря.
3
Найдите совпадение и оберните слово в CTF{...}.

Подсказки — каждая до решения стоит −25 очков

Войдите, чтобы открыть подсказку 1

Войдите, чтобы открыть подсказку 2

Задание 4Как защититься

Храните пароли через argon2id/bcrypt/scrypt с солью. MD5 и SHA-1 для паролей запрещены.

Разборы участников

Разборы открываются после того, как вы решите комнату, — чтобы не спойлерить ответ.