具有sha256和1000迭代的XVWA sha256

Question

在XVWA ()中，我提供了一个带有PBKDF2的sha256和1000次迭代，如下所示：

https://github.com/s4n7h0/xvwa/blob/master/vulnerabilities/crypto/PasswordHash.php

有办法取回密码吗？

Answer 1

您可以尝试通过强制执行哈希值来反转哈希值，即在可能的(密码)值列表上运行has函数，直到遇到相同的输出。如果该程序能够成功，则取决于两个问题：

• 我能以多快的速度计算一个密码哈希(或者换句话说:每秒可以尝试多少个密码)
• 密码有多复杂(在找到密码之前我要尝试多少个密码)

计算时间是这两个值的商数。这就是为什么一个人使用指定的密码哈希函数，这是缓慢的。

虽然PBKDF2是作为密码哈希函数设计的，但它的设计相当过时，这里选择的参数(1000次迭代)不适合现代硬件。

因此，假设密码不太复杂，您可能有一个实际的机会来逆转哈希。这种攻击的标准工具是hashcat和john。