Über einen dokumentierten Befehl lassen sich in MySQL Passwörter schnell per Brute Force auslesen.
Über einen dokumentierten Befehl lassen sich in MySQL Passwörter schnell per Brute Force auslesen. (Bild: Oracle)

MySQL Passwörter per Schwachstelle schneller abgleichen

Der Hacker Kingcope hat eine weitere Schwachstelle in der Datenbank MySQL beschrieben. Mit Hilfe eines Skripts ließen sich in einem Brute-Force-Angriff bis zu 5.000 Passwörter pro Sekunde auslesen - als unprivilegierter Benutzer.

Anzeige

Brute-Force-Angriffe auf die Datenbank MySQL lassen sich beschleunigen und automatisieren. Das konnte der Hacker Kingcope nachweisen. Er verwendete dabei keine Exploits, sondern lediglich herkömmliche Funktionen der Datenbank. Laut Kingcope handelt es sich um einen kleinen Bug, der bereits dokumentiert ist.

Über den dokumentierten Befehl change_user kann ein unprivilegierter Benutzer einen Kontowechsel vornehmen. Da dieser Befehl deutlich schneller ist als das mehrfache Anmelden bei der Datenbank, nutzte Kingcope sie aus, um Passwortlisten auszuprobieren - sogenannte Brute-Force-Angriffe.

Immer das gleiche Salz in Passwörtern

Da das Salt bei der Passwortüberprüfung über change_user im Gegensatz zur herkömmlichen Anmeldung nicht geändert wird, sei es ein bequemer Weg, um schnell ganze Passwortlisten abzugleichen. Dass MySQL das Salt nicht ändere, sei die eigentliche Schwachstelle, so Kingcope.

In seinen Tests habe er bis zu 5.000 vierstellige Passwörter pro Sekunde über das Netzwerk abgleichen können. Dazu habe er zunächst eine Passwortliste mit John The Ripper erstellen lassen. Mit einem Perl-Skript fütterte er die Datenbank über change_user mit der Passwortliste. Die Ausgabe leitete er in eine Textdatei um. Für den Angriff müsse der Benutzername bekannt sein.

Weitere Schwachstellen gefunden

Erst vor wenigen Tagen hatte Kingcope mehrere Exploits veröffentlicht, mit denen sich unprivilegierte Benutzer Root-Rechte zu MySQL-Datenbanken verschaffen können. Außerdem gibt es eine Schwachstelle, über die gültige Benutzernamen für eine MySQL-Datenbank herausgefunden werden können.


xviper 04. Dez 2012

Bei vielen Installationen sollte eine Liste der 10000 beliebtesten Passwörter reichen...

Kommentieren



Anzeige

  1. IT-Systemadministrator (m/w)
    Idiada Fahrzeugtechnik GmbH, Ingolstadt
  2. Spiele-Programmierer (m/w)
    upjers GmbH, Bamberg
  3. Solution Engineer (m/w) - Parkraumkarte, Modellierung, Virtualisierung
    Robert Bosch GmbH, Ludwigsburg
  4. Ingenieurin / Ingenieur Elektrotechnik / Informationstechnik / Informatik
    Fraunhofer-Institut für Produktionstechnik und Automatisierung IPA, Stuttgart

 

Detailsuche


Hardware-Angebote
  1. Dell 24-Zoll-Ultra-HD-Monitor
    529,90€
  2. NEU: PCGH-Professional-PC GTX970-Edition
    (Core i7-4790K + Geforce GTX 970)
  3. Medion Erazer X7835 PCGH-Notebook mit Geforce GTX 980M und Core i7-4710MQ
    1999,00€

 

Weitere Angebote


Folgen Sie uns
       


  1. Spearfishing

    Icann meldet Einbruch in seine Server

  2. Amiibos

    Zubehör für Super Smash Bros wird rar und teuer

  3. x86-64-Architektur

    Fehler im Linux-Kernel kann für Abstürze ausgenutzt werden

  4. Manhattan

    Amazon liefert per Radkurier in einer Stunde aus

  5. Entwicklerpreis Summit 2014

    Wiederspielbarkeit Reloaded

  6. Mehr Kapazität

    Erste 6-TByte-Festplatten von Toshiba

  7. Xbox One

    Patch für Assassin's Creed Unity lädt 50 GByte herunter

  8. Android 5.1

    Neue Lollipop-Version soll bereits im Februar kommen

  9. Stacked Memory

    Lecker, Stapelchips!

  10. USBdriveby

    Hackerwerkzeuge für die Halskette



Haben wir etwas übersehen?

E-Mail an news@golem.de



Games-Verfilmungen: Videospiele erobern Hollywood
Games-Verfilmungen
Videospiele erobern Hollywood
  1. Adr1ft Mit Oculus Rift und UE4 ins All
  2. The Game Awards 2014 Dragon Age ist bestes Spiel, Miyamoto zeigt neues Zelda
  3. Space Engineers Minecraft im Weltraum

Nexus 6 gegen Moto X: Das Nexus ist tot
Nexus 6 gegen Moto X
Das Nexus ist tot
  1. Teardown Nexus 6 kommt mit wenig Kleber aus
  2. Google Nexus 6 kommt doch erst viel später
  3. Google Nexus 6 erscheint nächste Woche - doch nicht

O2 Car Connection im Test: Der Spion unterm Lenkrad
O2 Car Connection im Test
Der Spion unterm Lenkrad
  1. Urban Windshield Jaguar bringt Videospiel-Feeling ins Auto
  2. Tweak Carplay ohne passendes Auto verwenden
  3. Streckenerkennung Audi-Rennwagen fährt fahrerlos auf dem Hockenheimring

    •  / 
    Zum Artikel