MySQL: Passwörter per Schwachstelle schneller abgleichen
Über einen dokumentierten Befehl lassen sich in MySQL Passwörter schnell per Brute Force auslesen. (Bild: Oracle)

MySQL Passwörter per Schwachstelle schneller abgleichen

Der Hacker Kingcope hat eine weitere Schwachstelle in der Datenbank MySQL beschrieben. Mit Hilfe eines Skripts ließen sich in einem Brute-Force-Angriff bis zu 5.000 Passwörter pro Sekunde auslesen - als unprivilegierter Benutzer.

Anzeige

Brute-Force-Angriffe auf die Datenbank MySQL lassen sich beschleunigen und automatisieren. Das konnte der Hacker Kingcope nachweisen. Er verwendete dabei keine Exploits, sondern lediglich herkömmliche Funktionen der Datenbank. Laut Kingcope handelt es sich um einen kleinen Bug, der bereits dokumentiert ist.

Über den dokumentierten Befehl change_user kann ein unprivilegierter Benutzer einen Kontowechsel vornehmen. Da dieser Befehl deutlich schneller ist als das mehrfache Anmelden bei der Datenbank, nutzte Kingcope sie aus, um Passwortlisten auszuprobieren - sogenannte Brute-Force-Angriffe.

Immer das gleiche Salz in Passwörtern

Da das Salt bei der Passwortüberprüfung über change_user im Gegensatz zur herkömmlichen Anmeldung nicht geändert wird, sei es ein bequemer Weg, um schnell ganze Passwortlisten abzugleichen. Dass MySQL das Salt nicht ändere, sei die eigentliche Schwachstelle, so Kingcope.

In seinen Tests habe er bis zu 5.000 vierstellige Passwörter pro Sekunde über das Netzwerk abgleichen können. Dazu habe er zunächst eine Passwortliste mit John The Ripper erstellen lassen. Mit einem Perl-Skript fütterte er die Datenbank über change_user mit der Passwortliste. Die Ausgabe leitete er in eine Textdatei um. Für den Angriff müsse der Benutzername bekannt sein.

Weitere Schwachstellen gefunden

Erst vor wenigen Tagen hatte Kingcope mehrere Exploits veröffentlicht, mit denen sich unprivilegierte Benutzer Root-Rechte zu MySQL-Datenbanken verschaffen können. Außerdem gibt es eine Schwachstelle, über die gültige Benutzernamen für eine MySQL-Datenbank herausgefunden werden können.


xviper 04. Dez 2012

Bei vielen Installationen sollte eine Liste der 10000 beliebtesten Passwörter reichen...

Kommentieren



Anzeige

  1. Research Scientist (m/w) - Learning Systems
    Siemens AG, München
  2. Informaticien ou géo-informaticien (m/w)
    La Direction Générale des Collectivités Territoriales (DGCT) über Centrum für internationale Migration und Entwicklung, Mauritanie
  3. Projektkoordinatorin / Projektkoordinator
    Helmholtz-Zentrum Potsdam - Deutsches GeoForschungsZentrum (GFZ), Potsdam
  4. Junior Testmanager eCommerce (m/w)
    exali GmbH, Augsburg

 

Detailsuche


Folgen Sie uns
       


  1. EU-Datenschutzreform

    Einigung auf Öffnungsklauseln für die Verwaltung

  2. Abzocke

    Unbekannte kopieren deutsche Blogs

  3. Digitale Agenda

    Ein Papier, das alle enttäuscht

  4. WRT-Node

    Bastelplatine mit OpenWRT und WLAN

  5. Spiegelreflexkamera

    Schwarzer Punkt gegen helle Punkte der Nikon D810

  6. Cliffhanger Productions

    Shadowrun Online und die Nano-Drachen

  7. Star Citizen

    52 Millionen US-Dollar für ein Jetpack

  8. Virtualisierung

    Parallels Desktop 10 macht Tempo

  9. Zertifikate

    Google will vor SHA-1 warnen

  10. Mitfahrdienst auf neuen Wegen

    Uber will eigenen Lieferservice aufbauen



Haben wir etwas übersehen?

E-Mail an news@golem.de



Alienware Alpha ausprobiert: Fast lautlose Steam-Machine mit eigenem Windows-UI
Alienware Alpha ausprobiert
Fast lautlose Steam-Machine mit eigenem Windows-UI
  1. Crytek Ryse für PC mit 4K-Videos belegt über 120 GByte
  2. Wirtschaftssimulation Golem Labs entwickelt die Gilde 3
  3. Wargaming Seeschlachten mit World of Warships

Die Paten des Internets: Oliver Samwer - die "Execution-Sau"
Die Paten des Internets
Oliver Samwer - die "Execution-Sau"
  1. Samwer United Internet kauft großen Anteil von Rocket Internet
  2. Oliver Samwer "Sehr viele Unternehmen haben wir zu früh verkauft"
  3. Verivox Tarifvergleichsplattform Toptarif von Konkurrenten gekauft

Sofia: Der fliegende Blick durch den Staub
Sofia
Der fliegende Blick durch den Staub
  1. Audio aus Video Gefilmte Topfpflanze verrät Gespräche
  2. Nahrungsmittel Trinken statt Essen
  3. Bioelektronik Pilze sind die besten Zellschnittstellen

    •  / 
    Zum Artikel