🔐 Делаем разбор, вчерашней, простенькой задачки Разработчики телеграмма, подсуетились и немного внесли суеты к нам в опрос, но от этого наш опрос стал еще интереснее😂 Правильный ответ: ✅ Хранить пароли в виде хешей. Почему именно так? Представьте, что злоумышленник получил доступ к базе данных пользователей. Если пароли хранятся в открытом виде, он сразу увидит:

ivan123
qwerty
Password123

И сможет использовать их для входа в систему. Если же в базе хранятся хеши, злоумышленник увидит только результат работы алгоритма хеширования, например:

e10adc3949ba59abbe56e057f20f883e

Сам по себе такой хеш не раскрывает исходный пароль. Да, при слабых паролях злоумышленник может попытаться подобрать их с помощью словарей или brute force, но это уже значительно сложнее, чем просто прочитать пароль из базы. 🧠 Поэтому большинство современных приложений не хранят пароли, а хранят их хеши.

🔐 Что такое Hash? Когда начинают изучать инфраструктурный пентест, очень часто слышат: 🤔"получили NTLM-хеш" 🤔 "Pass-the-Hash" 🤔"слили хеши пользователей" Но что вообще такое хеш?

📌 Hash (хеш) — это результат работы специального алгоритма, который преобразует любые данные в строку фиксированной длины.

Например:

Пароль:
qwerty123

После вычисления хеша получится что-то вроде:

7c6a180b36896a0a8c02787eeafb0e4c

🧠 Главное свойство хеша: 👉 из одного и того же пароля всегда получится один и тот же хеш. Но выполнить обратное преобразование:

Хеш → Пароль

невозможно. Поэтому в большинстве систем хранятся не сами пароли, а их хеши. 💡 Когда пользователь вводит пароль: 1️⃣ Система вычисляет его хеш. 2️⃣ Сравнивает его с тем, который хранится в базе. 3️⃣ Если они совпадают — пользователь успешно проходит аутентификацию. 💀 Почему это интересно пентестеру? Потому что злоумышленнику далеко не всегда нужен сам пароль. Во многих случаях достаточно получить: 👉 NTLM-хеш. А дальше уже становятся возможны такие атаки, как: — Pass-the-Hash — NTLM Relay — Offline Cracking 📌 Поэтому во время инфраструктурного пентеста очень часто охотятся именно за хешами, а не за паролями. Именно вокруг них построено множество современных атак на Active Directory. #infra #ad #hash #authentication