¿Puedes averiguar el esquema de hashing de contraseña?

Question

Tengo dos contraseñas y dos hashes resultantes. No puedo entender cómo se deriva el hash de la contraseña. No sé si se usa salazón. No sé si la contraseña está codificada como un valor entero o como una cadena (posiblemente Unicode).

Contraseña: 6770 Hash: c12114b91a3841c143bbeb121693e80b

Contraseña: 9591 Hash: 25238d578b6a61c2c54bfe55742984c1 longitud

El hash MD5 parece sugerir. ¿Alguien tiene alguna idea de lo que podría probar?

Nota: Esto no es para piratear. Intento acceder a un servicio a través de una API en lugar de su cliente de escritorio, y no puedo encontrar la forma de calcular el hash de la contraseña. Actualmente, en lugar de usar mi contraseña real, envío directamente el hash.

Answer 1

googlear esos valores hash (!) Revela que 25238d578b6a61c2c54bfe55742984c1 es el md2sum de "9591" (source), y que tiene otra página web que confirma el mismo para 6770 y su primer valor hash (source2).

(Edit: ya que he buscado en Google un poco de código fuente MD2 y cotejados los hashes.)

(Editado de nuevo para comentar: Usted es muy afortunado de que esta API utiliza un esquema de dispersión tan terrible sin ningún salazón o prefijos! :-))

Answer 2

La documentación de la API no dice? Extraño.

En principio, este es un problema imposible: cualquier número de algoritmos hash diferentes puede dar los mismos resultados en un número dado de casos particulares, y luego dar un resultado diferente la primera vez que se basa en uno.

En la práctica, sin embargo, probablemente solo puedas probar algunos algoritmos de hash de cifrado comunes y ver lo que te dan. Si uno coincide en algunos casos elegidos al azar, probablemente sea correcto. Una persona malintencionada podría, por ejemplo, reasignar algunos caracteres (cambiar '2' por '3' o lo que sea, no lo detectaría con sus contraseñas de ejemplo) antes de aplicar el algoritmo hash principal, pero es poco probable en aplicaciones reales.

BTW - una contraseña de cuatro dígitos numéricos es casi tan segura como no tener contraseña.