Re: [PEN-TEST] Oracle USER$ password hashes

["Edwards, Steve" <sedwards () SEDWARDS COM>]

If anyone wants to "reverse-engineer" the Oracle password encryption
method, this may help.

1) The name and encrypted password are stored in the SYS.USER$ table.

2) The maximum length of the name is 30 characters.

3) The maximum length of the cleartext password is 30 characters.

4) The encrypted password is always 16 characters.

5) The encrypted password is only composed from the set "0123456789ABCDEF"

6) The encrypted password is derived from both the name and the cleartext
password. Changing any character in the name or cleartext password changes
the encrypted password.

Here are some example pairs. Only the name is changed, the password is
the same -- "ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ" (30 Z's.)

Changing the first character:

NAME                           PASSWORD
------------------------------ ------------------------------
AZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ 20D72C5D4A2827C4
BZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ AC27A3BA6EEBFF15
CZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ 1FD709F165D1F973
DZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ 705D73265326E66D
EZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ 1230F63BBBB9F612
FZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ 0B0CD93EC5A5C772
GZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ 99CA67027B6E08E3
HZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ B9D57835EE4179D8
IZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ 198C1BBC02F9793F
JZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ 94A7E2B584E848E4
KZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ 24798017846C1D0A
LZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ 2CC5268830D94940
MZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ 63D617623DFDD606
NZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ 6A3E1C23394A4464
OZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ D9FDABC651703961
PZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ B5E91C0128B6AD2A
QZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ 8A1876DCEA8465C0
RZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ 2D1CE1824716E03B
SZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ A4A2EFB6F33C700E
TZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ FB361E3FA73B0F3E
UZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ 8FCC104DCB2BD998
VZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ 0B01B277760D41B8
WZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ 6743958D90A90075
XZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ 0F04722A29ADFB81
YZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ EC3B32FBF7D7352E
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ C829CE9D9DAE5F3B

Changing the last character:

NAME                           PASSWORD
------------------------------ ------------------------------
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZA FBC419C2E64E4615
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZB 7DF16988E898D200
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZC A8F3D91A7AF3A0F2
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZD 530A894F20B72E77
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZE 790221441A2C927B
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZF 5CF2971F4579B128
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZG EFD39F34A99324E3
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZH BD38336E6FC14DA5
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZI 2B509DCEE795E20E
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZJ D0026B910C7C7435
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZK 17991AC44B61B55A
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZL 4C64B2246B284231
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZM C6FEEC3D4B7EEB5B
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZN 18C1A2D8407D64BD
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZO C4DE156B4E9E384A
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZP 88E48D256990DD8C
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZQ 59176F14685093D6
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZR 672D7592F7424D3B
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZS 9169E6C62DEF2FD3
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZT 64859EE083C40238
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZU DDD60E02DEBE4080
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZV 2A9B436765921D8D
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZW 997C055DD3884691
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZX C60B137ADB22D304
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZY A3530EB34898A129

Marching a letter through the name:

NAME                           PASSWORD
------------------------------ ------------------------------
ZAZZZZZZZZZZZZZZZZZZZZZZZZZZZZ B871CEF207C3C66D
ZZAZZZZZZZZZZZZZZZZZZZZZZZZZZZ A397AE7266CE20E6
ZZZAZZZZZZZZZZZZZZZZZZZZZZZZZZ 5B3976CED0856844
ZZZZAZZZZZZZZZZZZZZZZZZZZZZZZZ F4767F96867BD1FA
ZZZZZAZZZZZZZZZZZZZZZZZZZZZZZZ A9B9B3850D3B03CB
ZZZZZZAZZZZZZZZZZZZZZZZZZZZZZZ 7FDD7809ACD0B7AF
ZZZZZZZAZZZZZZZZZZZZZZZZZZZZZZ 361BCA81B7E840C5
ZZZZZZZZAZZZZZZZZZZZZZZZZZZZZZ 4B5CC885EC40901D
ZZZZZZZZZAZZZZZZZZZZZZZZZZZZZZ 3277F55BEAF71BAD
ZZZZZZZZZZAZZZZZZZZZZZZZZZZZZZ 58A4B00FF41EE9AB
ZZZZZZZZZZZAZZZZZZZZZZZZZZZZZZ 101232AD30D64DE1
ZZZZZZZZZZZZAZZZZZZZZZZZZZZZZZ 2924893DF66FA192
ZZZZZZZZZZZZZAZZZZZZZZZZZZZZZZ 6315A2E7B6188CAB
ZZZZZZZZZZZZZZAZZZZZZZZZZZZZZZ 18349AB5D54C157F
ZZZZZZZZZZZZZZZAZZZZZZZZZZZZZZ 0AAA4F757D4DB66F
ZZZZZZZZZZZZZZZZAZZZZZZZZZZZZZ C89AF2737AB67B0A
ZZZZZZZZZZZZZZZZZAZZZZZZZZZZZZ 22CA458692265807
ZZZZZZZZZZZZZZZZZZAZZZZZZZZZZZ F242409404733B1D
ZZZZZZZZZZZZZZZZZZZAZZZZZZZZZZ F033F0AEE4D4C41F
ZZZZZZZZZZZZZZZZZZZZAZZZZZZZZZ 8091BA7DF360EF71
ZZZZZZZZZZZZZZZZZZZZZAZZZZZZZZ 23462622533275F9
ZZZZZZZZZZZZZZZZZZZZZZAZZZZZZZ B3A0A172F553842A
ZZZZZZZZZZZZZZZZZZZZZZZAZZZZZZ 5FC2F500CBE3F054
ZZZZZZZZZZZZZZZZZZZZZZZZAZZZZZ C0EA05863ACA1566
ZZZZZZZZZZZZZZZZZZZZZZZZZAZZZZ 356FE43CC66D551E
ZZZZZZZZZZZZZZZZZZZZZZZZZZAZZZ 7817637FAFB4BDF3
ZZZZZZZZZZZZZZZZZZZZZZZZZZZAZZ AC5A57D1441ADD2F
ZZZZZZZZZZZZZZZZZZZZZZZZZZZZAZ 6717B4E27298A2BF

On Thu, 9 Nov 2000, Stefan Aeschbacher wrote:

> Hi
> to find out what cipher is used, some more information would help.
> Unfortunately I have no access to an Oracle System. (and I'm not
> really a criptanalyst, but we could give it a try anyway ;)
> So the following would be needed:
>
> - is there really a salt (just install two users with the same PW)
> - some more plain-text/ciphertext pairs. maybe some special
>   sequences (e.g. aaaaaaaa, a) would also help.
>
> With this data some more research could be done.
> The other method would be the disassembling of the cryptocode in the
> Oracle program (which I'm not really eager to do).
>
> Stefan
>
>
> Olle Segerdahl wrote:
> > On Thu, Nov 09, 2000 at 03:33:03PM +0100, Nicolas Gregoire wrote:
> >
> > > > Since the hashes are always the same for the same password, it most
> > > > definately isn't salted....
> > > > ...
> > > > change_on_install       = D4C5016086B2DC6A
> > > > manager                 = D4DF7931AB130E37
> > >
> > > Are the first 2 characters always "D4" ?
> > >
> > > It could the fixed salt, ie. $crypted  = unkown-crypt("D4", $clear);
> >
> > Hmm.. I think you might be right, actually...
> >
> > The two passwords above are default on install, so the salt (and hash) is
> > probably the same for all installations, just checked another db and the
> > regular users passwords DO appear to be salted.... My mistake...
> >
> > Ok, so ammendments to first post statements:
> >
> > Passwords are NOT case sensitive and there is probably one byte salt.
> > Passwords are not limited to 7 or 8 chars, either....
> >
> > Anyone have a clue as to what it might be?
> >
> > /olle

Thanks in advance,
------------------------------------------------------------------------
Steve Edwards      sedwards () sedwards com      Voice: +1-760-723-2727 PST
Newline            Pager: +1-888-478-5085           Fax: +1-760-731-3000