PWDB - Nova geração de Análise em Massa de Senhas

Objetivo

Deixando para trás as ferramentas de red team com 20 anos de idade. Elas funcionam bem, e ninguém se preocupa em verificá-las/substituí-las ao longo de décadas.

Dumps incluídos

Você pode verificar o status.txt neste repositório para acompanhar os dumps incluídos.

Lista Misteriosa de 40 mil senhas de alta entropia

Durante minha pesquisa, notei um punhado de senhas de alta entropia (10 caracteres, maiúsculas-minúsculas-dígitos) que estavam sendo reutilizadas. Essas senhas tinham taxas de ocorrência realmente baixas, mas ainda assim era muito mais do que eu esperava.

Algumas coisas notáveis sobre elas:

• Todas começam e terminam com caracteres maiúsculos
• Nenhuma delas parece ter um padrão de teclado ou palavra significativa.
• Todas têm 10 caracteres de comprimento.
• Não contêm caracteres especiais.
• Algumas delas ocorreram até 1 por 100 milhões de credenciais (ou seja, tenho cerca de 10 reutilizações delas atualmente)
• Ocorrência mais recente destas: 86 delas foram encontradas em 55623 credenciais de um vazamento de junho de 2020

Filtrei senhas com 10 caracteres de comprimento que correspondem a (?=.*\d)(?=.*[a-z])(?=.*[A-Z])(?=^[A-Z][A-Za-z0-9]+[A-Z]$)(?!.*[a-z]{3})(?!.*[A-Z]{3}) e que tinham uma taxa de ocorrência inferior a 1,2 por 100 milhões.

Disponibilizei esta lista de 39576 senhas em mystery-list.txt neste repositório. Refiltrei para obter 763 mil senhas correspondentes a esse padrão.

Não faço ideia do que isso revela e do que implica, mas suspeito que algum gerenciador de senhas por aí está criando senhas com baixa entropia, causando repetições entre muitos usuários. Todas as ideias sobre isso são bem-vindas e apreciadas.

Curioso sobre alguma estatística?

Por favor, crie uma issue e explique o que você quer saber, e se for interessante eu consulto os dados e adiciono o resultado!

Estatísticas Legais

• De 1.000.000.000+ linhas de dumps, 257.669.588 foram filtradas como dados corrompidos (besteiras em formato inadequado) ou contas de teste.
• 1 bilhão de credenciais se resumem a 168.919.919 senhas e 393.386.953 nomes de usuário.
• A senha mais comum é 123456. Ela cobre aproximadamente 0.722% de todas as senhas. (Cerca de 7 milhões de vezes por bilhão)
• As 1000 senhas mais comuns cobrem 6.607% de todas as senhas.
• Com o 1 milhão de senhas mais comuns, a taxa de acerto é de 36.28%, e com os 10 milhões de senhas mais comuns a taxa de acerto é de 54.00%.
• O comprimento médio das senhas é de 9.4822 caracteres.
• 12.04% das senhas contêm caracteres especiais.
• 28.79% das senhas contêm apenas letras.
• 26.16% das senhas contêm apenas minúsculas.
• 13.37% das senhas contêm apenas números.
• 34.41% de todas as senhas terminam com dígitos, mas apenas 4.522% de todas as senhas começam com dígitos.

Senhas Únicas

• 8.83% das senhas são únicas - foram encontradas apenas uma vez.
  • Seu comprimento médio era de 9.7965 caracteres.
  • Surpreendentemente, apenas uma fração dessas senhas não tem significado.
  • Apenas 7.082% dessas senhas contêm caracteres especiais - o restante corresponde a ^[a-zA-Z0-9]$
  • 20.02% dessas senhas contêm apenas letras, e 15.02% são apenas minúsculas.
    • O comprimento médio das senhas únicas minúsculas era de 9.3694 caracteres.

Especificidades por Idioma

Dividi meus dados dependendo dos domínios de topo dos provedores de e-mail. (filtro aqui: https://gist.github.com/FlameOfIgnis/9a1da894e8ae385a1ee58b8a734b8979)

Por enquanto, estou divulgando apenas listas curtas com as 150 senhas mais comuns. Eventualmente, divulgarei as listas completas. Tentarei evitar divulgar uma versão incompleta publicamente por enquanto.

Atualizarei essas listas a cada bilhão de credenciais processadas. Portanto, embora algumas listas de idiomas ainda não estejam completas, elas estarão em melhor forma em breve.

Tive dados suficientes para

• Ucraniano
• Alemão
• Russo
• Italiano
• Japonês
• Português
• Polonês
• Francês

contas para gerar listas de 1M de senhas.

Em contraste, tive dados insuficientes para trabalhar com

• Sérvio
• Azerbaijano
• Árabe
• Georgiano
• Romeno
• Uzbeque
• Macedônio
• Persa
• Armênio
• Albanês
• Turcomeno
• Castelhano
• Amárico
• Birmanês
• Búlgaro
• Mongol
• Catalão
• Tigrínio
• Tadjique
• Coreano contas para gerar listas confiáveis.

E tive um total de 0 contas com o idioma esloveno.

Estatísticas Legais da comparação com rockyou.txt

• O rockyou.txt contém 14.344.391 senhas.
• Após filtrar as 14.344.391 senhas mais comuns (mesmas do rockyou), 11.583.476 delas não estavam no rockyou.txt (uma proporção de %80)
• Apenas nas primeiras 1000 linhas do rockyou e destes dados, há uma diferença de 411 linhas - ou seja, 411 senhas não estavam nas 1k primeiras linhas do rockyou.txt.
  • Das 1000 senhas mais comuns, 37 delas não estavam no rockyou (em todo o rockyou). Essas senhas são:

37 senhas que faltam no rockyou e estão entre as 1000 primeiras.

Muito provavelmente, cerca de 8 delas são de contas de teste/dumps ruins que não consegui filtrar corretamente

123hfjdk147
1464688081
159753qq
2012comeer
6V21wbgad
<password>
Blink123
D1lakiss
Exigent
Groupd2013
Indya123
N0=Acc3ss
R9lw4j8khX
Status
Telechargement
aobo2010
baili123com
bhf
cme2012
demon1q2w3e
demon1q2w3e4r
demon1q2w3e4r5t
exigent
g13916055158
hg0209
lincogo1
lizottes
megaparol12345
minecraft
nks230kjs82
nonmember
nyq28Giz1Z
pk3x7w9W
rr123456rr
startfinding
youbye123
yuantuo2012

Atualização

Tentarei trabalhar em lotes de 1 bilhão de credenciais e atualizá-lo regularmente conforme os dados são processados, até que os dumps acabem.

Gostou do projeto? Ajude-me a dedicar mais recursos a ele!

bc1quxwhewutde2ehjzqcflcgdjqwg34pmcdq3chcp