欢迎来到天天文库
浏览记录
ID:15069038
大小:92.00 KB
页数:6页
时间:2018-08-01
《csdn及人人网的用户密码分析》由会员上传分享,免费在线阅读,更多相关内容在行业资料-天天文库。
1、CSDN及人人网的用户密码分析本周,互联网上的一大新闻就是:多个知名网站被脱库,上千万用户资料侧漏。对俺这种长期在安全圈混的人,自然最关心泄漏出来的用户口令啦。这可是活生生的第一手材料啊。今天正好周末,俺就抽空分析了一下CSDN和RenRen的用户密码。毕竟这两个网站名气大,CSDN可以代表技术人员的圈子,人人网的用户据说高校学生居多。考虑到俺博客的读者不少,或许有些人热衷于网络安全,没准也对密码分析感兴趣,干脆就把分析结果分享到博客上。 对于CSDN被泄露的600多万用户数据,俺多罗嗦几句: 据CSDN官
2、方的说法,这仅仅是2009年的数据。不过,据圈内的小道消息,其实黑客拿到了所有用户数据,这次只是公布了其中一部分。俺查了一下公布的数据,里面没有俺的帐号——可是俺program_think这个帐号在2009年1月份就在CSDN注册了。另外,里面也没有刘未鹏同学的帐号(pongba)——他更加是CSDN的老用户了。而有些网友是2010年注册的帐号,却出现在公布的数据中。所以,CSDN官方的说法很可疑。★样本的说明 CSDN的样本,总共是3列数据,分别是用户名、口令、邮箱。格式比较严谨,所有数据都可用。数据量大约
3、是642万8千。 RenRen的样本,总共2列,分别是用户名(同时也是邮箱)和口令。此样本的格式不太严谨。俺去掉了大约3万无效数据(比如用户名不是合法的邮箱地址),还剩大约473万5千。★密码长度分布长度范围CSDN(%)RenRen(%)[1,6]1.9231.89[7,12]90.8065.86[13,18]7.171.70[19,]0.210.55长度CSDN(%)RenRen(%)50.513.1061.2925.2870.2618.11836.3820.17924.1412.011014.487.3
4、4119.786.79点评: (从平均水平看)CSDN用户的密码长度显然大于人人网用户。★密码类型分布类型CSDN(%)RenRen(%)纯数字45.0152.97纯小写字母11.6419.96点评: 纯数字的口令,比例太高,不是好现象。 对于同样长度的口令,纯小写字母相比纯数字,其组合的可能性更多,更难暴力破解。★使用手机作密码CSDN(%)RenRen(%)手机号2.18(约14万)2.91(约13万8)点评: 作为口令的手机号,多半就是本人的手机号。 手机的稳定性远高于电子邮箱。因此,这个信息的
5、价值还是挺大滴。如果有人想搜罗手机号的话,这下可有福了。★使用生日作密码日期格式CSDN(%)RenRen(%)YYMMDD0.143.59YYYYMMDD5.92(38万)2.67MMDDYYYY0.060.11YYYY-MM-DD小于0.01小于0.01YYYY.MM.DD小于0.01小于0.01YYYY/MM/DD小于0.010点评: 用生日做口令,表面上看,位数还挺多(少的有6位,多的有8位,加分隔符的话甚至有10位)。 但其实这种口令很弱。因为可能的生日个数是很有限的——生日通常分布在1940年以
6、来——大约是365×70=25550。即便算上不同的格式,也就十多万种。如果是程序来穷举,用不了一柱香的功夫。★密码和用户名相关类型CSDN(%)RenRen(%)直接拿用户名做密码4.55(约29万2)0.04密码包含用户名0.25小于0.01密码是用户名的一部分2.04(约13万1)1.57点评: 很奇怪,CSDN居然有这么多人拿用户名作口令,比例远远高于人人网用户。这有点不合逻辑啊。★用英文单词作密码俺拿四级词汇作为字典,测试了一番。比例如下:CSDN(%)RenRen(%)0.110.19点评: 两
7、个网站的比例都不算高,表扬一下。 顺便说一下,在作密码的单词里,排名第一的是password。这个习惯跟老外是一致的。★用数字作密码 前面给出的按类型统计中,纯数字的比例是很高的。纯数字密码,常见的组合有如下。类型CSDN(%)RenRen(%)1234567893.91(约25万1)0.72(约3万4)123456783.31(约21万2)0.25(约1万2)1234567小于0.010.11(约5千)1234560.03(约2千)3.73(约17万7)12345小于0.010.31(约1万5)全是00.
8、65(约4万2)0.61(约2万9)全是11.41(约9万1)0.91(约4万3)全是20.040.05全是30.030.04全是40.010.02全是50.030.05全是60.09(约6千)0.11(约5千)全是70.030.05全是80.25(约1万6)0.13(约6千)全是90.060.05点评: 上述这些组合,都属于弱爆了的口令——极易被入侵者攻破。 使用这些组合的用户比
此文档下载收益归作者所有