Abo
  • Services:
Anzeige
Über einen dokumentierten Befehl lassen sich in MySQL Passwörter schnell per Brute Force auslesen.
Über einen dokumentierten Befehl lassen sich in MySQL Passwörter schnell per Brute Force auslesen. (Bild: Oracle)

MySQL: Passwörter per Schwachstelle schneller abgleichen

Über einen dokumentierten Befehl lassen sich in MySQL Passwörter schnell per Brute Force auslesen.
Über einen dokumentierten Befehl lassen sich in MySQL Passwörter schnell per Brute Force auslesen. (Bild: Oracle)

Der Hacker Kingcope hat eine weitere Schwachstelle in der Datenbank MySQL beschrieben. Mit Hilfe eines Skripts ließen sich in einem Brute-Force-Angriff bis zu 5.000 Passwörter pro Sekunde auslesen - als unprivilegierter Benutzer.

Brute-Force-Angriffe auf die Datenbank MySQL lassen sich beschleunigen und automatisieren. Das konnte der Hacker Kingcope nachweisen. Er verwendete dabei keine Exploits, sondern lediglich herkömmliche Funktionen der Datenbank. Laut Kingcope handelt es sich um einen kleinen Bug, der bereits dokumentiert ist.

Anzeige

Über den dokumentierten Befehl change_user kann ein unprivilegierter Benutzer einen Kontowechsel vornehmen. Da dieser Befehl deutlich schneller ist als das mehrfache Anmelden bei der Datenbank, nutzte Kingcope sie aus, um Passwortlisten auszuprobieren - sogenannte Brute-Force-Angriffe.

Immer das gleiche Salz in Passwörtern

Da das Salt bei der Passwortüberprüfung über change_user im Gegensatz zur herkömmlichen Anmeldung nicht geändert wird, sei es ein bequemer Weg, um schnell ganze Passwortlisten abzugleichen. Dass MySQL das Salt nicht ändere, sei die eigentliche Schwachstelle, so Kingcope.

In seinen Tests habe er bis zu 5.000 vierstellige Passwörter pro Sekunde über das Netzwerk abgleichen können. Dazu habe er zunächst eine Passwortliste mit John The Ripper erstellen lassen. Mit einem Perl-Skript fütterte er die Datenbank über change_user mit der Passwortliste. Die Ausgabe leitete er in eine Textdatei um. Für den Angriff müsse der Benutzername bekannt sein.

Weitere Schwachstellen gefunden

Erst vor wenigen Tagen hatte Kingcope mehrere Exploits veröffentlicht, mit denen sich unprivilegierte Benutzer Root-Rechte zu MySQL-Datenbanken verschaffen können. Außerdem gibt es eine Schwachstelle, über die gültige Benutzernamen für eine MySQL-Datenbank herausgefunden werden können.


eye home zur Startseite
xviper 04. Dez 2012

Bei vielen Installationen sollte eine Liste der 10000 beliebtesten Passwörter reichen...



Anzeige

Stellenmarkt
  1. Germania Finanz AG, Berlin
  2. über JobLeads GmbH, Hamburg
  3. WESTPRESS GmbH & Co. KG Werbeagentur, Hamm
  4. über JobLeads GmbH, Köln


Anzeige
Blu-ray-Angebote
  1. (u. a. Reign, Person of Interest, Gossip Girl, The Clone Wars)
  2. 23,99€ (Vorbesteller-Preisgarantie)
  3. 5,94€ FSK 18

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Wettbewerbsfaktor Analytics im Internet der Dinge.
  2. Wissens-Guide und Kaufberatung für Cloud-Sicherheit
  3. Mehr dazu im aktuellen Whitepaper von Freudenberg IT


  1. The Legend of Zelda (1986 und 1995)

    Ein Abenteuer-Fundament für die Ewigkeit

  2. Mehr Möbel als Gadget

    Eine Holzfernbedienung für das Smart Home

  3. Der Herr der Ringe

    Schatten des Krieges in Mittelerde angekündigt

  4. Konzeptfahrzeug

    Peugeot Instinct - autonom fahren oder manuell steuern

  5. Später Lesen

    Mozilla übernimmt Hersteller von Pocket

  6. Nokia 3, 5 und 6 im Hands on

    Ein guter Neuanfang ist gemacht

  7. Große Pläne

    SpaceX soll 2018 zwei Weltraumtouristen um den Mond fliegen

  8. Festnetz

    O2 will in Deutschland letzte Meile per Funk überwinden

  9. Robocar

    Roborace präsentiert Roboterboliden

  10. Code.mil

    US-Militär sucht nach Lizenz für externe Code-Beiträge



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Trappist-1: Der Zwerg und die sieben Planeten
Trappist-1
Der Zwerg und die sieben Planeten
  1. Weltraumteleskop Erosita soll Hinweise auf Dunkle Energie finden
  2. Astrophysik Ferne Galaxie schickt grelle Blitze zur Erde
  3. Astronomie Vera Rubin, die dunkle Materie und der Nobelpreis

Limux: Die tragische Geschichte eines Leuchtturm-Projekts
Limux
Die tragische Geschichte eines Leuchtturm-Projekts
  1. Limux München prüft Rückkehr zu Windows
  2. Limux-Projekt Windows könnte München mehr als sechs Millionen Euro kosten
  3. Limux Münchner Stadtrat ignoriert selbst beauftragte Studie

Wacoms Intuos Pro Paper im Test: Weg mit digital, her mit Stift und Papier!
Wacoms Intuos Pro Paper im Test
Weg mit digital, her mit Stift und Papier!
  1. Wacom Brainwave Ein Graph sagt mehr als tausend Worte
  2. Canvas Dells Stift-Tablet bedient sich bei Microsoft und Wacom
  3. Intuos Pro Wacom verbindet Zeichentablet mit echtem Papier

  1. Re: Warum nicht in einer VM?

    User_x | 09:08

  2. Nett, aber

    1st1 | 09:07

  3. Re: Eines ist absolut wichtig!

    My1 | 09:07

  4. Re: Alternativen?

    lustiger Lurch | 09:07

  5. Re: Twitch 25 Prozent

    Trusty | 09:04


  1. 09:15

  2. 08:03

  3. 07:54

  4. 07:44

  5. 07:32

  6. 07:00

  7. 00:29

  8. 18:18


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel