gawker - källkod och databas (användarnamn och lösenord)

Helt obegripligt hur så stora sidor kan ha så otroligt dålig säkerhet, speciellt sidor som riktar in sig på IT/Teknik, riktigt pinsamt...

Här går det se om man är drabbad för övrigt: http://www.google.com/fusiontables/D...?dsrcid=350662

Jävlar, nu börjar det hända saker!

TPB länknen är död, någon som vet vart det finns en mirror?

edit hitta en!: http://www.btloft.com/download/Gawkm...rows_..torrent

Hur lyckades du med det? Har testat att logga in på ett flertal hotmails och yahoo konton men inga fungerade. Även ftp adresserna.

Märkligt att torrenten är borta från piratebay. Stoltserar inte dem med att de aldrig tar bort något?
Här är en magnetlänk som fungerar:
magnet:?xt=urn:btih:LM5IOEUCAID4XQICJFTVIAGPLUCDFP HB (ta bort eventuella mellanslag som FB stoppar in)

Där finns 188k knäckta lösen, hela dumpen är på 1,2mill rader men jag tror bara det är ca 500k med en hash / epost. Det jag lurar på är hur hashen har skapats. Det sägs att det bara är DES men som jag förstår det skijler sig hashar som skall vara samma lösen, så vad för salt har använts?

Vem vet, deras säkerhet kanske var riktigt bra men det var någon/några som lyckades klura ut ett sätt att ta sig runt ändå. Ingenting är omöjligt, som Gunde Svan sa!

Var snabb nog på hotmail adresserna Fick mig en liten "egen" lista.

Folk är ju dumma nog att ha samma lösen på diverse saker..

Torrent-filen heter Gawkmedia source code + database release (1,300,000 rows).

Dessa filer i torrenten ska innehålla lösenord i klarspråk:

02. database/parsed_db.txt [9MB]
03. database/dumb_passwords.txt [133KB]

Det här tror jag är readme-filen:

http://pastebay.com/111830

Mer information:

http://www.reddit.com/r/programming/...uses/?sort=new

The hashes are generated by Unix's crypt(3). Brute forcing it is just a matter of massaging the data into the right format and running it through John the Ripper:
$ gawk -F":::" '$2 !~ /NULL/ { print $1 ":" $2 ":::" $NF }' full_db.log | sed -e 's/ //g' > hashes.txt
$ john hashes.txt

...
Dom använder DES för hash. Nån som pallar bruteforca och se hur långt ni kommer? Kanske själv försöker mig på detta sen. Ska bara ta reda på lite mer info...
Tar tid att sortera listorna rätt.

editz:
http://seclists.org/nmap-dev/2010/q4/674

Jag undrar det också, länken funkar inte längre, någon som har lite info?

Kort sagt har Gawker skrivit illa om 4chan i flera artiklar, bl.a. i samband med att 4chan hängde ut och trakasserade en ung flicka. Man kan läsa er om det här.

Den här hackningen har dock inte med "anon" eller 4chan att göra. Det förklarar gruppen bakom hacket, Gnosis, i den här intervjun:
Personligen vet jag inte vilken grupp jag ogillar mest - de 15-åriga tjockisarna på 4chan eller Gawkers dryga, kvinnomisshandlande hipster-"journalister"

Gawkers hantering av det här är ju så pinsam. Inte nog med att de har krypterat lösenorden så illa, och därmed satt sina användares säkerhet på spel, i hacket finns också IM-konversationer mellan Gawker-anställda som öppet konstaterar att de skiter i om några konton har hamnat på drift. De har skickat ut ett mejl till samtliga användare med en varning nu, men detta var först efter några dagar, och efter att en annan grupp (hint.io) på eget bevåg mejlade alla vars lösenord läckt ut och varnade.

Jag har kollat igenom torrenten nu, och det finns gott om både .gov-adresser och svenska användare, både i parsed_db.txt, som innehåller lösenord i klartext, och i full_db.log, som innehåller samtliga lösenord, men hashade.

En diskussion om hacket pågår också på XKCD:s forum, och enligt dessa ska inte hela lösenord ha läckt ut om ens lösenord var längre än åtta bokstäver:
Jag är analfabet när det gäller datorsäkerhet, hashar, MD5 och allt vad det heter, men vad säger ni som är lite mer kunniga? Stämmer det personen ovan hävdar? Och hur skulle man cracka de hashar som kommit ut, med brute force eller?

Även om man inte kan få ut mer än lösenordets åtta första bokstäver är det ändå ganska integritetskränkande, man kan ju t.ex. via e-postadresserna, som lagrats i klartext, enkelt koppla samman en person med ett Gawker-konto. Byt bara ut username i länken här mot användarnamnet från torrenten . . .

http://gawker.com/people/username/

. . . så får man se alla kommentarer kopplade till en viss e-postadress. Det har redan gett en del intressanta resultat för mig - folk på stora skivbolag, reklambyråer, myndigheter och så vidare som skamlöst, och under alias, har pluggat sina egna verksamheter.