RockYou.txt: История одного взлома, который подарил хакерам главный словарь брутфорса

В арсенале любого специалиста по кибербезопасности есть инструменты, которые стали легендами: Nmap, Wireshark, Burp. Но среди них особняком стоит обычный текстовый файл весом 133 мегабайта — rockyou.txt. Это не просто список слов. Это артефакт, рожденный из одного из самых громких провалов в истории веб-безопасности, и по сей день он остается золотым стандартом для словарных атак.

Если в CTF-задании нужно подобрать пароль, а подсказок нет, правило одно: «Сначала проверь rockyou.txt». Давайте разберемся, откуда взялся этот феномен, что случилось с компанией, которая его породила, и как применять этот мощный инструмент на практике.

Чтобы понять ценность этого словаря, нужно вернуться в 2009 год. Интернет был другим: MySpace еще был гигантом, а Facebook только набирал обороты. В этой экосистеме процветала компания RockYou. Она создавала популярные виджеты, слайд-шоу и мини-игры для социальных сетей. Миллионы пользователей регистрировались на ее платформе, чтобы украсить свои профили.

Уязвимость, которую никто не заметил

В декабре 2009 года исследователи безопасности из компании Imperva обнаружили в веб-приложениях RockYou классическую уязвимость, которой уже тогда было много лет — SQL-инъекцию. Говоря простым языком, разработчики не позаботились о проверке данных, которые пользователи вводили в формы на сайте. Это позволило злоумышленникам вставлять свои собственные SQL-команды прямо в запросы к базе данных, обходя защиту и получая прямой доступ к информации.

Фатальная ошибка: Пароли в открытом виде

Хакеры, воспользовавшись этой дырой, начали выкачивать пользовательскую базу данных. И тут вскрылся главный грех RockYou, который превратил обычный взлом в историческое событие: компания хранила все учетные данные, включая пароли 32 миллионов пользователей, в виде простого, незашифрованного текста (Plain Text).

Это означало, что не нужно было ничего расшифровывать или взламывать. Пароли лежали в таблице рядом с логинами, как на ладони. Это был худший сценарий из всех возможных.

Рождение словаря

Дамп базы данных быстро попал на хакерские форумы. Специалисты по безопасности взяли эту утечку, удалили дубликаты, отсортировали записи по популярности и опубликовали очищенный список из 14 341 564 уникальных паролей. Так появился файл rockyou.txt.

Это был не просто случайный набор слов. Это был срез человеческой психологии: 123456, password, iloveyou, princess, rockyou (да, люди использовали название сервиса в качестве пароля!), имена, даты рождения, названия футбольных команд. Словарь стал идеальным инструментом, потому что он отражал то, как на самом деле мыслят люди.

Для компании взлом стал катастрофой. Последовали массовые иски, потеря доверия пользователей и удар по репутации, от которого было почти невозможно оправиться. Но, вопреки ожиданиям, RockYou не закрылась сразу.

Компания попыталась перестроиться. Она сместила фокус с социальных виджетов на мобильную и видеорекламу, пытаясь найти новую нишу. Какое-то время ей удавалось держаться на плаву, но тень крупнейшей в истории утечки паролей (на тот момент) преследовала ее всегда. В конечном счете, RockYou была поглощена рекламной технологической компанией Sizmek в 2019 году, которая, по иронии судьбы, вскоре сама объявила о банкротстве.

Таким образом, наследием компании RockYou стал не ее бизнес, а самый известный в мире словарь для взлома паролей.

Rockyou.txt — это швейцарский нож для любых атак, основанных на переборе. Вот несколько практических примеров.

1. Взлом хешей (John the Ripper)

Классика. У вас есть файл hashes.txt с хешами паролей (например, SHA256).

2. Брутфорс веб-форм (Hydra)

Вы нашли страницу входа (/login.php) и знаете логин admin.

3. Взлом архивов (fcrackzip)

У вас есть запароленный архив confidential.zip

4. Поиск скрытых каталогов и файлов (Gobuster/ffuf)

Иногда разработчики называют директории или файлы простыми словами. RockYou может помочь найти их.

5. Брутфорс секретного ключа JWT (jwt-tool)

Веб-токены JSON (JWT) подписываются секретным ключом. Если ключ слабый (например, secret123), его можно найти в RockYou.

6. Брутфорс пароля от базы данных (например, MySQL)

Если у вас есть доступ к сети, но нет пароля от базы данных.

rockyou.txt — это не просто инструмент для атаки. Это мощный образовательный ресурс, который наглядно демонстрирует, почему важна гигиена паролей.

• Противник знает ваши мысли. Злоумышленники всегда начинают с самых очевидных и распространенных паролей.

• Credential Stuffing — современная чума. Хакеры берут утекшие пары логин/пароль и массово проверяют их на других сервисах. Если вы используете один и тот же пароль из RockYou везде, взлом одного сайта означает взлом всех ваших аккаунтов.

Как защититься от атак с использованием RockYou?

• Используйте менеджеры паролей: Они генерируют длинные, случайные пароли для каждого сайта.

• Включайте многофакторную аутентификацию (MFA): Даже если злоумышленник узнает ваш пароль, он не сможет войти без второго фактора.

• Для разработчиков: Никогда не храните пароли в открытом виде. Используйте современные, «соленые» и медленные алгоритмы хеширования.

• Проверяйте пароли по базам утечек: Современные системы не должны позволять пользователям устанавливать пароли, которые уже есть в rockyou.txt.

Вывод: история RockYou — это вечное напоминание о том, что самая слабая часть любой системы безопасности — это человек. И пока мы продолжаем выбирать предсказуемые пароли, этот словарь из 2009 года будет оставаться самым эффективным инструментом в арсенале хакера.

P.S. Скачать словарь rockyou.txt можно в нашем репозитории: https://git.bug-makers.ru/storage/rockyou.txt