对Cisco IOS类型口令加密的改进

enc_pw [i] = dec_pw [i-1] ^ xsalt [seed++] ; } return (0) ; } void usage () { fprintf (stdout, " 参数只能有 1 位,要加密的明文不能大
于 25 个字符 \n") ; } int main (int argc, char *argv []) {
fprintf (stderr, " Error.\n") ; exit (1) ; } printf (" %s%d" ," encrypted password:" ,passwd [0]) ; for (j = 1 ; j <= strlen (argv [1]) ; j++) { if (passwd [j] < 10) printf (" %d%d" ,0,passwd [j]) ; else if ( passwd [ j] < 16) printf ( " % d% x" ,0,passwd [j]) ; else printf (" %x" , passwd [j]) ;
int passwd [65] ,j; memset (passwd, 0, sizeof (passwd)) ; if ( argc ! = 2 || strlen (argv [1]) > 25 )
{ usage () ; exit (1) ;
} if (cdecrypt (argv [1] , passwd)) {
- 92 -
COMPUTING SECURITY TECHNIQUES
计算机安全技术
3915504B545C 的口令明文都是 cisco。只所以出现这种情况是 因为 cisco 设计的类型 7 加密算法是通过从一个 salt 常量抽取
值，对明文进行运算加密，然后生成密文字符串的。而从 salt 常量抽取值的取值点又是通过一个随机函数生成的，上面说 的密文头部两位数，实际上就是 salt 常量抽取值的取值点。在 上例中首两位数为 14，说明就是从 salt 常量的第 15 位开始抽 取值，这个 salt 常量的抽取点可以是从 0 到 51 的数字。但实 际情况是，cisco 的 IOS 在生成类型 7 密文时，随机函数生成 的随机值基本全都在 0 到 15 之间，也就是生成类型 7 密文 时，是从 salt 常量的 0 到 15 位之间抽取值。写破解软件的人 认为既然 cisco 的 IOS 随机值基本从 0-15 之间取，只要程序 能对 0-15 或稍微大于 15 的抽取值进行破解，就可以满足破
解的需要了，这就是为什么网上流行的破解软件最大只能破 解 salt 常量抽取位小于 25 的原因。
前面笔者介绍过，salt 常量的抽取点可以在 0-51 之间， 如果我们能够生成抽取点大于 25 的类型 7 密文，破解工具就 不能将它破解了。基于此，笔者编写了一个叫 ciscoenc 的小程 序，利用此程序，可以生成抽取值大于 25 的类型 7 口令密文 字符串。程序如下所示： CISCOENC.C #include <stdio.h> #include <ctype.h> #include <stdlib.h> char xsalt [] = {
0x64,0x73,0x66,0x64,0x3b,0x6b,0x66,0x6f, 0x41,0x2c,0x2e,0x69,0x79,0x65,0x77,0x72, 0x6b,0x6c,0x64,0x4a,0x4b,0x44,0x48,0x53, 0x55,0x42,0x73,0x67,0x76,0x63,0x61,0x36,
} printf (" \n") ; return 0; }
将程序编译成可执行文件 ciscoenc.exe 后，在命令行下输 入 ciscoenc cisco，就可以得到明文口令 cisco 的类型 7 加密结 果，如图 1 所示。加密结果为 381b1f4a5b58。
图1
得到加密结果后，登录进 cisco 设备，再配置模式，直接 输入
0x39,0x38,0x33,0x34,0x6e,0x63,0x78,0x76, 0x39,0x38,0x37,0x33,0x32,0x35,0x34,0x6b, 0x3b,0x66,0x67,0x38,0x37 }; int cdecrypt (char *dec_pw, int *enc_pw) { unsigned int seed, i; randomize () ; do { seed = random (45) ; if (seed < 25) seed += 25; } while ((seed+strlen (dec_pw)) > 53 ) ; enc_pw [0] =seed; for (i = 1 ; i <= strlen (dec_pw) ; i++) {
在 Cisco 的路由、交换设备中，IOS 口令按类型分有三种： （1） 类型 0 口令，service password-encryption 的状态是 no，设 置非特权口令时输入的是明文，或设置特权口令时用 enable password 后加明文口令生成特权密码，这时保存在配置文件中 的非特权或特权口令的密码就以明文方式保存。 （2） 类型 7 口令，当 service password-encryption 功能打开后，所有类型 0 口令就会被加密变成类型 7 口令，也就是通过加密算法对存 储在配置文件中的类型 0 口令字符串进行了加密，使其从明 文字符串变成密文字符串，密文口令字符串以 7 开始后加多 位数字组成，类型 7 口令是用可逆算法加密的。此外，使用 enable password 7 后加类型 7 密文字符串，或 password 7 后加 类型 7 密文字符串，也可以将类型 7 口令直接输入，这种方 式输入的口令，不论 service password-encryption 功能是否打 开，都以类型 7 口令进入系统。 （3） 类型 5 口令，采用 MD5 哈希算法加密，是不可逆的加密，只对特权口令有效。不论 service password-encryption 的状态是否是 no，使用 enable se－ cret 命令输入的特权口令，经 MD5 加密，可以生成以 5 开头 后加 30 位的 MD5 密文字符串。
电脑编程技巧与维护
对 Cisco IOS 类型7 口令加密的改进
赵晓峰，李育泽
（安徽财经Байду номын сангаас学，蚌埠 233041）
摘 要： 本文针对 Cisco IOS 类型 7 加密口令的破解工具，分析了他的缺陷，在其原有算法的基础上进行了改进， 利用文中程序生成的类型 7 加密字符串，不会被流行的破解工具破解。 关键词： Cisco IOS；类型 7 口令；加密
- 93 -
To Cisco IOS type 7 passwords encryptions improvement
ZHAO Xiaofeng, LI Yuze
(AnHui University of Finance & Economics, Bengbu 233041)
Abstract：At present in the network has very aims at CISCO the IOS type 7 encryptions passwords to explain the tool, these tools may easily CISCO the IOS automatic production encryption string of character reduction definite orders password. This article has analyzed the type 7 passwords encryptions flaw, has made the improvement in its original algorithm foundation, in the use article the procedure production type 7 encryptions string of character, cannot popular explain the tool to explain. Key words：Cisco IOS；type 7 passwords；encryptions
enable password 7 381B1F4A5B58 或 line vty 0 4 password 7 381B1F4A5B58 (注意：十六进制的字母要大写) 就可以将抽取值为 38 的类型 7 口令密文输入到当前正在运行 的配置文件中了。 作者简介 赵晓峰，男 （1970-），安徽蚌埠人，学士，主要研究方向为 网络管理、网络安全。 李育泽，男 （1978-），安徽蚌埠人，学士，主要研究方向为 教育信息化 \ 网络管理。
例 1： no service password-encryption enable secret 5 $1$jNql$3zjXyK5ErF.mZaIUN3syJ1 enable password cisco line vty 0 4 password cisco 例 2： service password-encryption enable secret 5 $1$jNql$3zjXyK5ErF.mZaIUN3syJ1 enable password 7 14141B180F0B
本文收稿日期：2008 年 11 月 18 日
line vty 0 4 password 7 02050D480809 在例 1 中因为 service password-encryption 功能没有打开， 当在配置模式下使用 enable password 命令输入特权口令后， 特权口令就会以明文方式保存在配置文件中。同样在 line vty 中用 password 命令输入的非特权口令，也是以明文方式保存 的。在例 1 中，我们可以看到特权和非特权的类型 0 口令都 是 cisco (红字部分就是口令字符串)。在例 2 中，因为 service password-encryption 功能被打开，例 1 中所有类型 0 口令就会 被加密变成类型 7 口令 (例 2 红字部分就是加密后的类型 7 口 令密文字符串，虽然不相同，但明文都还是 cisco)。在例 1 和 例 2 中使用 enable secret 命令输入的特权口令会以 MD5 方式 加密 (蓝字部分为 MD5 加密字符串)，不受 service passwordencryption 功能开关的影响。 从上面的介绍可以看到，因为类型 7 口令采用的是可逆 算法加密，如果管理员在设置口令时，特权与非特权口令都 以类型 7 方式加密，那是非常危险的，只要有人看到这些类 型 7 口令密文字符串，或通过某些非正常途径得到交换机或 路由器的配置文件，就能通过解密工具将特权与非特权的口 令明文给破解出来，这对于网络设备的安全将是极大的威胁。 因为类型 7 密码加密强度低，因此，网络上有很多的密码破 解工具都可以对其进行破解。 笔者针对网络上流行的这些破解工具进行研究，发现这 些破解工具最多只能破解头部两位数字小于 25 的类型 7 密 文，例如：如果类型 7 密文为 7 14141B180F0B，因为密文首 位数为 14 (带下划线的数字)，小于 25，这种密文可以被这些 工具破解，但如果密文是 7 3915504B545C，首位数为 39 大于 25， 不 会 被 这 些 工 具 破 解 ， 实 际 上 7 14141B180F0B 与 7