壓縮檔密碼恢復好工具 – 公用字典檔

在 破解 ZIP 密碼 – John the Ripper 這篇文章裡,我們介紹了如何利用 John the Ripper 來恢復 ZIP 檔的密碼。一般的 ZIP 密碼 (ZipCrypto) 在恢復上速度還蠻快的,一秒可達 1300萬個,但若是用 AES 加密的話會變成極慢的  8000 個…天荒地老可能都難以破解。

字典檔破解法

文章裡提到的方法是用暴力法去試密碼,也稱窮舉法。這好處當然是你人生夠長,密碼一定破的出來。但與其漫無目標的等待,不如先花點時間試一下用一些 “常見” 的密碼試試看呢?

這就是所謂的字典檔攻擊法。在破解密碼時,照著事先下載檔案裡的密碼列表一個一個試試看,看看能不能解不解的出來。我一開始也對這種方法抱著不屑的心態,想說密碼檔怎麼會跟我的一樣…想不到試了一二個自己有在用的密碼,還真的被破解了。

字典檔下載

「要是知道可能的密碼就直接試就好了?要字典檔幹麻」這是剛開始的想法。原來,已經有人搜集了很大量的密碼字典檔,放在網路上可以下載。Openwall 網站上,就有個字典檔下載區可以下載,甚至他也有在賣字典檔,還不便宜…要28鎂。

下載區也有提供免費的,其中一個最大的密碼檔有 15GB – 15億個密碼 (GZIP 壓縮後 4.2G)。如果你不曉得要試哪個,建議就找這個就好了。

超多字密碼字典檔

根據網站上的說法,裡面收集了字典裡所有的字,還有一些系統 / 網站流出來的密碼。所以也算是有些價值,不是隨便產生的。

字典檔使用

要使用密碼檔也很簡單,在命令後面指定檔案就行了。

word.lst 就是字典檔,hash.lst 是要比較的  HASH 值。不清楚如何使用 John 的,請先看一下之前的文章

字典檔使用時機

什麼時候用字典檔比較好呢?最好是都先用字典檔跑跑看,不行再用暴力法

ZipCrypto 跑完15億個字典密碼,不會超過5分鐘。

AES 一天則可以跑 7 億個,要2天多才可以全部檢查過一次。雖然聽起來有點久,但總是比暴力法機會大。六碼的 「大小寫+數字」組合就多達 568 億種,就要跑個80天才能找到密碼,先花個2天試一下字典檔也沒關係吧。七碼更高達 35216 億,要13年才能跑完所有組合,所以花2天如果就能找到,真的是超值了 ~~

結語

加密與破解,就像矛與盾。但總的而言,破解的難度還是相當的高。密碼會被破解,往往還是出在「人」的問題上。選的密碼太弱,愛用字典的字,密碼太短之類的…當然,人畢竟是肉做的,又複雜又長的密碼也沒人記得住,我想這也是沒辦法的事。

我想若有一天電腦能快速的破解任意組合的12字密碼,那用人key密碼的時代可能就過了,因為再長可能就都記不住了,要改用實體鑰匙之類(如自然人憑証)的。

Leave a Reply