在河豚加密哈希中查找盐答案

【问题标题】：Find salt in the blowfish encrypted hash在河豚加密哈希中查找盐
【发布时间】：2011-08-25 07:03:39
【问题描述】：

这是一个非常基本的问题。我已经为此寻求帮助，但找不到任何具体的答案。所以特地在这里问。

用例是，我想找到引用可用哈希列表的弱密码。为此，我必须将每个已知/常用词的哈希值与可用哈希值进行比较。所有这些都是在 C++ for Unix 中使用 openssl/blowfish.h 完成的

但是，要创建这个猜测词的哈希，需要使用与密码哈希相同的盐来生成。

我的问题是如何从密码哈希中提取盐。假设，以下是我的哈希：

$2a$10$FTx8T5QrEbxYVe.NJ6iOhuei.V9qgl60xF8/8s7iZRDIlOl.ibDEW

这里面的盐是什么？或者我怎样才能实现目标？任何指针都会很棒！

提前致谢。

【问题讨论】：

【解决方案1】：

只需将密码哈希作为盐传递——它足够聪明，可以自行提取。这是crypt()的约定

参见现代 Unix 和“BSD 风格”散列下的How Passwords Work in Unix, Mac OS, and Windows。

注意：crypt() 的 salt 参数不是盐。它是$algorithm$salt$MORESALTsomething，所以你永远不应该自己提取盐。 -- 出于历史（DES 时代）的原因，它被称为 salt。

【讨论】：

【解决方案2】：

密码哈希函数的“salt”与密码连接，然后对生成的字符串进行哈希处理。要取回盐，这意味着您需要取回经过哈希处理的字符串。显然，这有两个主要问题：

【讨论】：

【解决方案3】：

这不是盐的重点吗？你不知道它是什么？所以没人能来做你现在想做的事吗？

我对盐的理解是这样的：

你有一个字符串，我们称之为password。
你有一个算法，它接受一个字符串并从中产生一个哈希值。我们就叫它blowfish
- 这是否正确？河豚是散列算法吗？我不这么认为！！！！
- 我们将算法称为md5。
md5 将为password 生成一个哈希，但它总是会生成相同的
你有一个坏人。我们就叫他Mrun吧。
Mrun 尝试通过使用字典中的一组已知密码测试 md5 来找出 password
不只是使用password，而是使用password + salt，会产生不同的哈希值并阻止Mrun。

如果您需要找到盐，您必须至少有一个已知的密码和哈希组合。然后你可以尝试使用蛮力来找出盐分。祝你好运。哦，我希望你在这里不是邪恶的。哦，我希望其余的邪恶生物也毫无头绪......

【讨论】：