Free-Hack Hack Dezember 2010

Es gibt nur noch den Blog seit dem Hack von 2010.

Es ist jetzt schon rund 3 1/2 Jahre her aber da ich die alten SQL Dumps die damals durch die Weiten des
Internet's flogen gerade wieder gefunden habe gibt es dazu noch einen kleinen Beitrag.

Ich habe mir mal die Arbeit gemacht die Passworte zu entschlüsseln. Dies war bei den meisten nicht sonderlich schwer da viele Benutzer sehr einfache Passworte und diese dann wahrscheinlich auch noch sehr oft auf anderen Webseiten nutzen. Dabei hab ich schon rund 73% der Passworte durch abgleichen mit meinen Wortlisten finden können. Das sollte schon einmal zeigen wie sicher diese gewählt waren.
Insgesamt habe ich es geschafft 77% der Passworte zu entschlüsseln, das sind 2109 von 2745 Passworten. Also ein ganz ansehnliches Ergebnis. Im Übrigen die Summer der genutzten Passwortlisten betrug rund 6,5GB. Also ist auch hier wieder zu sehen das man auf Qualität anstatt auf Quantität setzen sollte.

Aber darum soll es nur am Rande gehen. Mich interessierte mehr was die häufigsten Passworte waren und aus welchen Kombinationen diese bestehen. Dazu nahm ich eine Auswertung der Passworte mit Pipal vor das mir folgende Ergebnisse lieferte.

Total entries = 2109
Total unique entries = 1901

Das sind also die 2109 Passworte der 2745 Nutzer von 2010.

Top 10 passwords
123456 = 39 (1.85%)
123456789 = 13 (0.62%)
hallo123 = 10 (0.47%)
12345 = 7 (0.33%)
abc123 = 6 (0.28%)
123123 = 6 (0.28%)
lol123 = 6 (0.28%)
cc00000 = 5 (0.24%)
111111 = 5 (0.24%)
dhilshan = 5 (0.24%)

Platz 10 ergibt für mich keinen Sinn. Waren vielleicht Doppel Accounts?

Die Weitere Statistik Auswertung dann auf der nächsten Seite für alle Interessierten.

Top 10 base words
hallo = 18 (0.85%)
killer = 9 (0.43%)
asdf = 5 (0.24%)
dhilshan = 5 (0.24%)
passwort = 5 (0.24%)
lolipop = 5 (0.24%)
ficken = 5 (0.24%)
master = 5 (0.24%)
huso = 4 (0.19%)
asdasd = 4 (0.19%)

Interessant zu sehen das "hallo" das Top base word war obwohl es nur einmal in die top 10 Passworten vorkommt. Aber 2109 Passworte geben eine schlechte Auskunft darüber ob das Allgemein verbindlich so ist.

Password length (count ordered)
8 = 560 (26.55%)
6 = 510 (24.18%)
7 = 314 (14.89%)
9 = 304 (14.41%)
10 = 152 (7.21%)
11 = 73 (3.46%)
5 = 60 (2.84%)
12 = 51 (2.42%)
4 = 33 (1.56%)
13 = 25 (1.19%)
14 = 9 (0.43%)
3 = 6 (0.28%)
15 = 5 (0.24%)
2 = 3 (0.14%)
1 = 2 (0.09%)
17 = 1 (0.05%)
16 = 1 (0.05%)

Über die Passwortlänge eine Aussage zu treffen ist natürlich auch schwer da die restlichen nicht genackten Passworte vermutlich länger sind als 8 Zeichen aber wohl kaum alle über 16  Zeichen sein werden. 

One to six characters = 614 (29.11%)
One to eight characters = 1488 (70.55%)
More than eight characters = 621 (29.45%)

Gut zu sehen die Mehrheit der geknackten Passwörter ist also 1 bis 8 Zeichen lang.

Years (Top 10)
1994 = 8 (0.38%)
1995 = 7 (0.33%)
1993 = 7 (0.33%)
1996 = 5 (0.24%)
2000 = 5 (0.24%)
2010 = 5 (0.24%)
1989 = 5 (0.24%)
1990 = 5 (0.24%)
1992 = 5 (0.24%)
1988 = 4 (0.19%)

Die Mehrheit der Free-Hack Member scheint also 1994 geboren zu sein oder die Nutzer mit diesem Alter haben das zumindest in ihr Passwort eingeschlossen. 

Last digit
3 = 236 (11.19%)
1 = 178 (8.44%)
6 = 112 (5.31%)
2 = 110 (5.22%)
0 = 94 (4.46%)
9 = 85 (4.03%)
4 = 79 (3.75%)
8 = 72 (3.41%)
5 = 70 (3.32%)
7 = 65 (3.08%)

 Last 3 digits (Top 10)123 = 142 (6.73%)
456 = 52 (2.47%)
789 = 18 (0.85%)
000 = 17 (0.81%)
234 = 16 (0.76%)
111 = 15 (0.71%)
321 = 14 (0.66%)
345 = 13 (0.62%)
007 = 8 (0.38%)
994 = 7 (0.33%)

Character sets
loweralphanum: 819 (38.83%)
loweralpha: 739 (35.04%)
numeric: 331 (15.69%)
mixedalphanum: 84 (3.98%)
mixedalpha: 76 (3.6%)
loweralphaspecial: 19 (0.9%)
upperalpha: 9 (0.43%)
upperalphanum: 8 (0.38%)
loweralphaspecialnum: 8 (0.38%)
mixedalphaspecialnum: 7 (0.33%)
specialnum: 3 (0.14%)
upperalphaspecialnum: 1 (0.05%)
special: 1 (0.05%)
upperalphaspecial: 1 (0.05%)

Auch nur bedingt aussagekräftig da ich ja mehr oder weniger indirekt "ausgesucht" habe was für Passworte gefunden werden. Allerdings denke ich das Kleinschreibung + Zahlen trotz allem am häufigsten sein wird. Mit einem Bruteforce Angriff mit Kleinbuchstaben + Zahlen bis 8 Zeichen hätte man also gut 50% der Passworte finden können. Wer weiß wie viele genau drin gewesen wären.

Hashcat masks (Top 10)
?l?l?l?l?l?l: 204 (9.67%)
?l?l?l?l?l?l?l?l: 166 (7.87%)
?d?d?d?d?d?d: 156 (7.4%)
?l?l?l?l?l?l?l: 137 (6.5%)
?l?l?l?l?l?l?d?d: 78 (3.7%)
?d?d?d?d?d?d?d?d: 78 (3.7%)
?l?l?l?l?l?l?l?l?l: 74 (3.51%)
?l?l?l?l?l?l?l?l?l?l: 50 (2.37%)
?l?l?l?l?d?d?d?d: 50 (2.37%)
?l?l?l?l?l?d?d?d: 46 (2.18%)

Und zum Abschluss noch die besten Hashcat Masken. Dies dürfte meiner Erfahrung nach auch relativ allgemein gültig sein bei der Konstruktion von Passworten.

Wenn jetzt noch genaueres zum alten Free-Hack Forum interessieren sollte kann sich gern hier melden. Durch die Größe des Dumps werde ich diesen hier nicht veröffentlichen. Allerdings gehe ich davon aus das die Daten keine große Relevanz mehr haben dürften. Aber es ist doch sehr interessant zu lesen was Teilweise so an PM's gesendet bzw. geschrieben wurde.

Vielleicht gibt es dazu irgend wann man noch ein "best of". Aber später mehr dazu.