PWDB - Neue Generation der Passwort-Massenanalyse

Ziel

Die 20 Jahre alten Methoden des Red Teams hinter sich lassen. Die Sachen funktionieren einwandfrei, und niemand macht sich die Mühe, sie über Jahrzehnte zu überprüfen/zu ersetzen.

Enthaltene Dumps

Du kannst die status.txt in diesem Repository einsehen, um den Überblick über die enthaltenen Dumps zu behalten.

Mystery-Liste von 40k Passwörtern mit hoher Entropie

Während meiner Recherche ist mir eine Handvoll Passwörter mit hoher Entropie (10 Zeichen, Groß-/Kleinschreibung und Ziffern) aufgefallen, die wiederverwendet wurden. Diese Passwörter hatten wirklich niedrige Vorkommensraten, aber es war immer noch viel mehr als ich erwartet hatte.

Einige bemerkenswerte Dinge dazu:

• Sie beginnen und enden alle mit Großbuchstaben
• Keines von ihnen scheint ein Tastaturmuster oder ein bedeutungsvolles Wort zu enthalten.
• Sie sind alle 10 Zeichen lang.
• Sie enthalten keine Sonderzeichen.
• Einige davon kamen bis zu 1 Mal pro 100 Millionen Zugangsdaten vor (d.h. ich habe derzeit etwa 10 Wiederverwendungen davon)
• Das jüngste Vorkommen: 86 davon wurden in 55.623 Zugangsdaten aus einem Leak vom Juni 2020 gefunden.

Ich habe Passwörter gefiltert, die 10 Zeichen lang sind und auf (?=.*\d)(?=.*[a-z])(?=.*[A-Z])(?=^[A-Z][A-Za-z0-9]+[A-Z]$)(?!.*[a-z]{3})(?!.*[A-Z]{3}) passen, mit einer Vorkommensrate von weniger als 1,2 pro 100 Millionen.

Ich habe diese Liste von 39576 Passwörtern in mystery-list.txt in diesem Repository veröffentlicht. Ich habe sie neu gefiltert, um 763k Passwörter zu erhalten, die diesem Muster entsprechen.

Ich habe keine Ahnung, was das aufdeckt und was es bedeutet, aber ich vermute, dass ein Passwort-Manager da draußen Passwörter mit geringer Entropie erstellt, was zu Wiederholungen bei vielen Benutzern führt. Alle Ideen dazu sind willkommen und werden geschätzt.

Neugierig auf eine Statistik?

Bitte erstelle ein Issue und erkläre, was du erfahren möchtest. Wenn es interessant ist, werde ich die Abfrage durchführen und das Ergebnis hinzufügen!

Coole Statistiken

• Von über 1.000.000.000 Zeilen aus Dumps wurden 257.669.588 entweder als beschädigte Daten (Kauderwelsch in falschem Format) oder Testkonten herausgefiltert.
• 1 Milliarde Zugangsdaten reduzieren sich auf 168.919.919 Passwörter und 393.386.953 Benutzernamen.
• Das häufigste Passwort ist 123456. Es deckt ungefähr 0.722% aller Passwörter ab. (Etwa 7 Millionen Mal pro Milliarde)
• Die häufigsten 1000 Passwörter decken 6.607% aller Passwörter ab.
• Mit den häufigsten 1 Million Passwörtern liegt die Trefferquote bei 36.28%, und mit den häufigsten 10 Millionen Passwörtern bei 54.00%.
• Die durchschnittliche Passwortlänge beträgt 9.4822 Zeichen.
• 12,04% der Passwörter enthalten Sonderzeichen.
• 28,79% der Passwörter bestehen nur aus Buchstaben.
• 26,16% der Passwörter bestehen nur aus Kleinbuchstaben.
• 13,37% der Passwörter bestehen nur aus Zahlen.
• 34,41% aller Passwörter enden mit Ziffern, aber nur 4,522% aller Passwörter beginnen mit Ziffern.

Einzigartige Passwörter

• 8.83% der Passwörter sind einzigartig - sie wurden nur einmal gefunden.
  • Ihre durchschnittliche Länge betrug 9.7965 Zeichen.
  • Überraschenderweise ist nur ein Bruchteil dieser Passwörter bedeutungslos.
  • Nur 7.082% dieser Passwörter enthalten Sonderzeichen - der Rest entspricht ^[a-zA-Z0-9]$
  • 20.02% dieser Passwörter bestehen nur aus Buchstaben, und 15.02% sind nur Kleinbuchstaben.
    • Die durchschnittliche Länge für einzigartige Kleinbuchstaben-Passwörter betrug 9.3694 Zeichen.

Sprachspezifische Details

Ich habe meine Daten nach den Top-Level-Domains der E-Mail-Anbieter aufgeteilt. (Filter hier: https://gist.github.com/FlameOfIgnis/9a1da894e8ae385a1ee58b8a734b8979)

Ich veröffentliche vorerst nur kurze Listen der Top-150-Passwörter. Irgendwann werde ich die vollständigen Listen veröffentlichen. Ich werde mich vorerst bemühen, keine unvollständige Version öffentlich freizugeben.

Ich werde diese Listen pro Milliarde verarbeiteter Zugangsdaten aktualisieren. Auch wenn einige der Sprachlisten noch nicht vollständig sind, werden sie bald in besserer Form vorliegen.

Ich hatte genügend Daten von Konten für

• Ukrainisch
• Deutsch
• Russisch
• Italienisch
• Japanisch
• Portugiesisch
• Polnisch
• Französisch

um Listen mit 1 Million Passwörtern zu erstellen.

Im Gegensatz dazu hatte ich zu wenig Daten von Konten für

• Serbisch
• Aserbaidschanisch
• Arabisch
• Georgisch
• Rumänisch
• Usbekisch
• Mazedonisch
• Persisch
• Armenisch
• Albanisch
• Turkmenisch
• Kastilisch
• Amharisch
• Birmanisch
• Bulgarisch
• Mongolisch
• Katalanisch
• Tigrinya
• Tadschikisch
• Koreanisch

um zuverlässige Listen zu erstellen.

Und ich hatte insgesamt 0 Konten mit slowenischer Sprache.

Coole Statistiken im Vergleich mit rockyou.txt

• Rockyou.txt enthält 14.344.391 Passwörter.
• Nach dem Herausfiltern der häufigsten 14.344.391 Passwörter (dieselbe Anzahl wie rockyou) waren 11.583.476 davon nicht in der rockyou.txt enthalten (ein Verhältnis von 80%)
• Allein in den ersten 1000 Zeilen von rockyou und diesen Daten gibt es eine Differenz von 411 Zeilen - d.h. 411 Passwörter waren nicht in den Top-1000-Zeilen von rockyou.txt.
  • Von den häufigsten 1000 Passwörtern waren 37 nicht in rockyou (im gesamten rockyou-Datensatz). Diese Passwörter sind:

37 Passwörter, die rockyou fehlen und unter den Top 1000 liegen.

Sehr wahrscheinlich stammen etwa 8 davon von Testkonten/schlechten Dumps, die ich nicht korrekt herausgefiltert habe

123hfjdk147
1464688081
159753qq
2012comeer
6V21wbgad
<password>
Blink123
D1lakiss
Exigent
Groupd2013
Indya123
N0=Acc3ss
R9lw4j8khX
Status
Telechargement
aobo2010
baili123com
bhf
cme2012
demon1q2w3e
demon1q2w3e4r
demon1q2w3e4r5t
exigent
g13916055158
hg0209
lincogo1
lizottes
megaparol12345
minecraft
nks230kjs82
nonmember
nyq28Giz1Z
pk3x7w9W
rr123456rr
startfinding
youbye123
yuantuo2012

Aktualisierung

Ich werde versuchen, in Blöcken von 1 Milliarde Zugangsdaten zu arbeiten und sie regelmäßig zu aktualisieren, während die Daten verarbeitet werden, bis mir die Dumps ausgehen.

Gefällt dir das Projekt? Hilf mir, noch mehr Ressourcen darauf zu werfen!

bc1quxwhewutde2ehjzqcflcgdjqwg34pmcdq3chcp