Kann man so Pw knacken?
Ich hab mich mal gefragt ob es möglich wäre ein Skript zu schreiben mit dem man auf irgendwelchen Webseiten alle Pw Möglichkeiten ausprobiert wenn man z.b. die email hat.
Wenn ja könnte ich das auf meiner eigenen Webseite auch ausprobieren?
7 Antworten
Das nennt man eine Brute-Force-Attacke.
Viele Webseiten sperren den Login nach einigen Fehlversuchen und geben ihn erst nach Eingabe eines Captchas oder einer bestimmten Zeit wieder frei.
Und das ist auch der Grund, warum Passwörter meist eine Vorgabe bezüglich Länge und den enthaltenen Zeichen haben.
Wenn ein Passwort 8 Zeichen, die a-z, A-Z, 0-9, sowie @#€_&-+()/*:;!? enthalten kann, dann sind das 1.235.736.291.547.681 mögliche Passwörter. Wenn dein Tool 100 Passwörter pro Sekunde ausprobieren würde, dann würdest du ungefähr 39.184.940 Jahre darauf warten, dass alle Passwörter mit 8 Zeichen ausprobiert wurden. Aber das Passwort kann ja auch 9, 10, 11, 12 oder mehr stellen haben. Und je mehr Stellen, desto mehr Möglichkeiten.
Die Sonne würde ausbrennen, bevor du alle Möglichkeiten ausprobiert hast.
Oder deutlich wahrscheinlicher: Der Website-Betreiber wird die übermäßig vielen Versuche bemerken und deine IP-Adresse blockieren.
Hi Deputy18,
na klar ist das möglich. Wenn man bestimmte Sicherheitsmechanismen der Seite bzw. vom Webhoster weg lässt. Sei aber hingewiesen das es echt viele Kombinationen sind, die man eingeben könnte. Etliche User verwenden generierte Passwörter die mehr als 12 Stellen haben. Dies könnte langwierig sein.
Ein weiteres Problem ist auch da: Wenn die Seite nicht auf deinem eigenen Webserver läuft, sondern bei einem Webhoster, machst du dich eventuell strafbar und du viele Webhoster schmeißen dich dann raus.
Das Problem dabei ist, dass das Internet viel zu langsam ist, um da sonderlich Fortschritt zu machen. Besonders, wenn die Website noch Systeme dagegen eingerichtet hat.
So etwas macht es eigentlich nur Sinn, wenn es bestimmte Ziele gibt oder schon mögliche Passwörter aus Leaks oder so bekannt sind.
Sonst wird so etwas eher durchgeführt, indem gestohlene Datenbanken mit Tools wie hashcat und einer gescheiten Wordlist angegriffen werden (wenn die Passwörter nicht in Plain-Text gespeichert sind).
Das schafft mal eben ein paar tausend megahashes (milliarden hashes) pro Sekunde über die gesamte Datenbank (im Vergleich zu den etwa 20ms, die es braucht, um einen Web-Request zu machen).
Dazu gibt es kein Script, was generell auf allen Seiten funktioniert. Wahrscheinlich würde auch eher der Endpunkt einer API direkt verwendet werden, wenn es nicht durch irgendwelche CAPTCHAs / solche Maßnahmen geschützt wird. Mit etwas Experimentieren im Netzwerk-Tab der Dev-Tools im Browser ist so etwas schnell gefunden. Dann machst du mit cURL oder einem eigenen Tool die entsprechenden Requests.
Das ist nicht nur möglich sondern auch gängige Praxis. Das nennt man "Bruteforce Angriff". Also "Angriff mit roher Gewalt".
Das gibt es schon seit Anbeginn der Zeit, schon lange vor der Erfindung von Computern. Schon die Römer haben verschlüsselte Nachrichten verschickt damit der Feind die nicht lesen kann. Und da haben die Feinde dann auch durch "wildes herumprobieren" versucht die Nachrichten dann doch lesen zu können.
Aber genau dagegen gibt es viele einfache aber wirksamem Gegenmaßnahmen.
Kann man zum Beispiel per Computer eine Million Passwörter pro Minute probieren, reicht es eine Wartezeit von 3 Minuten einzubauen wenn das Passwort 3× falsch eingegeben wurde. Dann hat man nicht mehr eine Million Versuche pro Minute sondern nur noch einen einzigen pro Minute, braucht also Milliarden oder Trilliarden Minuten um alles durch zu probieren.
Das kennt man auch von der SIM Karte des Handys. 3× falsch eingegeben, dann braucht man die PUK. Und wenn man die 10× falsch eingibt, dann "zerstört" sich die SIM Karte. Macht also maximal 13 Versuche insgesamt.
Kann man.
Aber in der Regel wird heutzutage der Account nach einigen Versuchen gesperrt, oder du musst zumindest ein captcha lösen.