Verborgen FTP geplaats door duitse hackers.

[Verwijderd]

Een kennis van mij heeft een aparte pc voor z'n vakantie website draaien. Opeens kreeg die wel erg veel inkomend verkeer. Toen ben ik er eens naar gaan kijken. Na lang zoeken bleek er een verborgen ftp server te draaien. Hidden als proces taskmanger.exe sloot je deze af dan sloot je alleen windows taskmanager af. Er was een php backdoor geïnstalleerd en een verborgen ftp directory in system volume information, hier kon je met geen mogelijkheid in komen.

Met een speciaal programma taskexplorer kon ik het proces afsluiten en daarna de zooi uit het register halen. Na verder zoeken bleek dat zn security lek op een Duitse website stond samen met nog een hele waslijst aan bedrijven en universiteiten. Het lek bleek in de apatch webserver te zitten, en was gewoon publiekelijk gepost.

Via dat lek hadden ze dus een blackhat backdoor geupload en vervolgens weer een ftp geïnstalleerd.
In de hidden dir bleek dit te staan:


In totaal hadden ze 100Gb aan troep geupload, maar volgens de netlimiter logs nog amper wat gedownload Ik was er dus nog op tijd bij.

Vervolgens heb ik de hele boel maar geformatteerd omdat ik de trojan er niet uit kon krijgen(blackhat). Image terug gezet en daarna apache eens goed ingesteld en php voor de zekerheid maar uit gezet.

In de lijst stonden ook nog andere bedrijven die ook gehacked zijn en warempel eentje is zelfs een webhosting bedrijf.

http://XXX.XXX.207.21/xampp/index.php
http://134.XXX.XXX.21/deadhat.php


Met deze trojan konden ze vervolgens weer dingen uploaden en runnen.
Ik heb apache er maar een mailtje over gestuurd.

Iemand die nog een goed (gratis) alternatief weet om een website te draaien ? behalve onder linux dan ?

[ Voor 4% gewijzigd door moto-moi op 14-10-2005 00:23 ]

[Nvidiot]

Apache doet het prima onder windows hoor

[Initial G]

misschien ben ik een n00b op dit gebied, maar waarom heeft ie zo veel opslagcapaciteit in zijn server?

verder interessant verhaaltje!

[Lordsauron]

Initial G schreef op dinsdag 11 oktober 2005 @ 15:23:
misschien ben ik een n00b op dit gebied, maar waarom heeft ie zo veel opslagcapaciteit in zijn server?

verder interessant verhaaltje!

Om dat je het dan overal waar je zit tot je beschikking heb. mijn server staat altijd aan dus waar ik ook zit kan altijd bij me files. wel zo makkelijk

[Nevie]

Die Duitse invasie kan je volgens mij ook wel stoppen door apache te updaten hoor, of hebben ze geen patch ervoor?

[Verwijderd]

Volgensmij niet, apache of een webiste van hun is zelf ook gehacked dus ik vraag me af of ze er al achter zijn.

[ Voor 4% gewijzigd door Verwijderd op 11-10-2005 16:06 ]

[Barrycade]

apatch type je de hele tijd. Is dit nu een typefout of bedoel je apache?

Een bedrijf dat zichzelf "a patch" noemt is ook niet zo erg te vertrouwen

[Verwijderd]

Ik bedoel idd apache, en het is een webhosting bedrijf dat gebruik maakt van apache en blijkbaar geen updates krijgt of die nog niet gekregen heeft. ( als ze er zijn).

[Olaf van der Spek]

In welke versie van Apache zit deze bug dan?

littlejoannes schreef op dinsdag 11 oktober 2005 @ 15:53:
Een bedrijf dat zichzelf "a patch" noemt is ook niet zo erg te vertrouwen

Weet jij waar de naam Apache vandaan komt?

[ Voor 74% gewijzigd door Olaf van der Spek op 11-10-2005 16:40 ]

[dlmh]

OlafvdSpek schreef op dinsdag 11 oktober 2005 @ 16:39:
In welke versie van Apache zit deze bug dan?

[...]

Weet jij waar de naam Apache vandaan komt?

offtopic:
http://www.wired.com/news/business/0,1367,34302,00.html

Was ook ooit een grappige graphic van

[Tanuki]

Ik vind dit een prachtig verhaal, om te lezen dan.

[Verwijderd]

kerel, als je de laatste updates hebt dan maakt men dus gebruik van een private exploit! De boel formateren of alles van de datum dat men heeft ingebroken verwijderen, hierdoor verwijder je de backdoors die er vast en zeker nog op zullen staan! Duidelijk fxp-ers aan t werk hier!

[Rukapul]

Verwijderd schreef op dinsdag 11 oktober 2005 @ 15:20:
Na verder zoeken bleek dat zn security lek op een Duitse website stond samen met nog een hele waslijst aan bedrijven en universiteiten. Het lek bleek in de apatch webserver te zitten, en was gewoon publiekelijk gepost.

Ik vind het onwaarschijnlijk dat je met volledige zekerheid hebt kunnen bepalen dat dit een lek in de laatste versie van Apache was, zoals je lijkt te impliceren. De naam van de exploit is in dat geval sowieso interessant. Ik zou in een dergelijk geval toch eerst een denken aan oude versies van software (met dito vulnerabilities en exploits) of misconfiguratie.

[DinX]

In geval van een mogelijke rootkit is er maar 1 oplossing -> formatteren en een volledig nieuwe install. Je weet nooit wat voor andere rotzooi er nog op je bak staat.
Ga dus niet maar proberen je apache enzo te fixen, want als ze van op afstand code hebben kunnen uitvoeren dan hebben ze ook kunnen installeren wat ze willen. Wat dos commando's kunnen uitvoeren is genoeg om dingen via ftp binnen te halen en installeren.

Dus volledig je harde schijf formatteren en opnieuw installeren. En dit pas nadat je de oorzaak gevonden hebt. Anders zorg je misschien weer dat ze het opnieuw kunnen doen door een slechte configuratie.

[ Voor 14% gewijzigd door DinX op 12-10-2005 16:09 ]

[Verwijderd]

DinX schreef op woensdag 12 oktober 2005 @ 16:06:
In geval van een mogelijke rootkit is er maar 1 oplossing -> formatteren en een volledig nieuwe install. Je weet nooit wat voor andere rotzooi er nog op je bak staat.
Ga dus niet maar proberen je apache enzo te fixen, want als ze van op afstand code hebben kunnen uitvoeren dan hebben ze ook kunnen installeren wat ze willen. Wat dos commando's kunnen uitvoeren is genoeg om dingen via ftp binnen te halen en installeren.

Dus volledig je harde schijf formatteren en opnieuw installeren. En dit pas nadat je de oorzaak gevonden hebt. Anders zorg je misschien weer dat ze het opnieuw kunnen doen door een slechte configuratie.

Formateren maakt juist niet uit! Gewoon alle zooi van die dag eraf gooien, daardoor delete je alle backdoors! Dan alles updaten, de kans dat je weer slachtoffer word is namelijk erg klein omdat alles via ip-scans gaat.

[DinX]

Verwijderd schreef op woensdag 12 oktober 2005 @ 16:15:
[...]


Formateren maakt juist niet uit! Gewoon alle zooi van die dag eraf gooien, daardoor delete je alle backdoors! Dan alles updaten, de kans dat je weer slachtoffer word is namelijk erg klein omdat alles via ip-scans gaat.

Mja, ik praat uit de ogen van systeembeheer bij bedrijven enzo. Je weet namelijk niet juist wat erbij gekomen is, zichtbaar of niet. Gewoon van 0 af aan beginnen.
En de kans is er altijd, zeker met een vast ip.

[ Voor 5% gewijzigd door DinX op 12-10-2005 16:17 ]

[Verwijderd]

onzinnige post

[ Voor 95% gewijzigd door Verwijderd op 12-10-2005 17:00 ]

[Verwijderd]

Moooooi! Allemaal tips dat je apache moet updaten, terwijl de jpg van de OP toch iets met PHP verraad.
Wakker worden iedereen hier.

Php updaten dus! (sowieso altijd alles op een publieke machine up to date houden).

[Verwijderd]

Is het niet gewoon deze publieke exploit:
apache_chunked_win32 Apache Win32 Chunked Encoding
Meer info: http://www.osvdb.org/838

Misschien toch maar is linux overwegen?

Trouwens wat is de website met die lijst, en je zegt welke exploit gebruikt is daar ook staat; welke is dat dan?

[pasta]

Modbreak:

Ik heb even wat reacties weggedaan die offtopic waren. Dit is een serieuze draad, gelieve dan ook serieus te reageren

[Verwijderd]

Ik zou dus nogwel even kijken op de betreffende datum dat de mappen aangemaakt zijn en dan op die datum een algehele schoonmaak actie uitvoeren!

[ Voor 200% gewijzigd door Verwijderd op 13-10-2005 15:41 ]

[begintmeta]

Op zich lijkt het me geen ongerechtvaardigde vraag warom geen Linux kan worden gebruikt. Verder zou ik trouwens toch voor FreeBSD opteren.

Ook is het zoals hier al is geschreven belangrijk om uit te zoeken wat het gat was dat is gebruikt, en ik zou voor de zekerheid en het gemak dan inderdaad alles opnieuw installeren.

Maar voor je laatste twee vragen: mijn suggestie is FreeBSD met Apache en PHP (zo nodig).

[Verwijderd]

Verwijderd schreef op donderdag 13 oktober 2005 @ 15:40:
Ik zou dus nogwel even kijken op de betreffende datum dat de mappen aangemaakt zijn en dan op die datum een algehele schoonmaak actie uitvoeren!

Vergeet dat nou maar. Die datum is door users te veranderen en dus niet betrouwbaar. Er zijn zoveel manieren om backdoors op een systeem te verstoppen als je eenmaal binnen bent dat je het hele systeem gewoon niet meer kan vertrouwen.

Gewoon formateren en opnieuw installeren...

[Sallin]

Verwijderd schreef op donderdag 13 oktober 2005 @ 15:54:
[...]


Vergeet dat nou maar. Die datum is door users te veranderen en dus niet betrouwbaar. Er zijn zoveel manieren om backdoors op een systeem te verstoppen als je eenmaal binnen bent dat je het hele systeem gewoon niet meer kan vertrouwen.

Gewoon formateren en opnieuw installeren...

Je moet inderdaad niet willen proberen je systeem "veilig" te maken door een schoonmaakactie. Gewoon opnieuw opzetten en updaten. Weet je zeker dat ie zo veilig is als je hem met de huidige patches kan maken.

[Verwijderd]

Modbreak:

Die modbreak heb ik niet voor niets gezet?

[ Voor 90% gewijzigd door pasta op 13-10-2005 16:34 ]

[Cougar]

wat is er nou erg aan, je krijgt gratis warez toegestuurd

ok, zijn duitsers, das wat minder. Kan je beter gehacked worden door NL team

[Verwijderd]

Ik vind dat jullie niet zo moeten zeuren. In de eerste plaats is de reden dat dit is gebeurd simpelweg dat je je systeem hebt verwaarloosd. Of daar tijdgebrek of onkunde aan ten grondslag ligt laten we maar even in het midden.

Ten tweede heb je het over 100GB aan rommel, terwijl je het waarschijnlijk hebt over een lekkere hoeveelheid recente releases, hoogstwaarschijnlijk allemaal binnen één week na pré. Dat heb je niet weggegooid, maar gekopieerd voor je kleine broertje.

Die twee feiten met elkaar gecombineerd klinkt mij in de oren als: Ik ben beloond met 100GB aan fijne warez omdat ik een slechte beheerder ben.

Niet eens een topic waard dus.

[DiedX]

Zo is dat. Verder lekker formatteren in plaats van onzinnig weghalen van een dag ervoor. Die exploit was er echt al voor die dag.

Verder: het is k#t, maar eigen schuld. We hebben dit allemaal wel eens meegemaakt (systeembeheer bij webhosting bedrijf ziet regelmatig rootservers die niet gepatched zijn), en dan is het:

"Jammer meneer de klant. We kunnen morgen formatteren. Doen?"

[Punj4b]

Arme jij, met je 100gb aan "troep"... kweet zeker als je NL DVDRS had gehad dat deze post nooit zou zijn verschenen... Maar omdat je zo pissed off was dat het die duitsers weer moeten zijn moest je ff je galspugen...

Je kunt beter je systeem nog een keer nakijken voordat de domme belgen je zelfs kunnen hacken

[Verwijderd]

Solution:

Upgrade to version 1.3.26, 2.0.39 or higher, as it has been reported to fix this vulnerability. An upgrade is required as there are no known workarounds.

Upgraden zelf is al genoeg.

Ik snap tevens niet dat er boven me zoveel offtopic wordt gepost, hier ben je toch zekers niet blij mee als mensen zomaar troep op je server kunnen zetten. Mocht je aan warez doen heb je hier nog niets aan want het is allemaal duits.

[Olaf van der Spek]

Verwijderd schreef op donderdag 13 oktober 2005 @ 18:43:
Upgraden zelf is al genoeg.

Om de originele exploit te fixen ja. Maar waarschijnlijk staan er nu al tientallen extra trojans op die je daarmee niet fixed.

[Verwijderd]

Een beetje goeie rootkit staat garant voor vele uren puzzelplezier

[Verwijderd]

Modbreak:

Niet zo handig om dan alsnog een lijst met allemaal kwetsbare ip's te gaan posten he

Dat is de lijst met hostst die ik op een of andere vage site heb gevonden, Ik heb de IP's weg gehaald voor het geval iemand kwade bedoelingen heeft.

[ Voor 95% gewijzigd door sanfranjake op 13-10-2005 22:24 ]

[Olaf van der Spek]

Verwijderd schreef op donderdag 13 oktober 2005 @ 22:08:
Dat is de lijst met hostst die ik op een of andere vage site heb gevonden, Ik heb de IP's weg gehaald voor het geval iemand kwade bedoelingen heeft.

Eh, jouw lijst staat vol met IPAs.

[sanfranjake]

Ik heb even de lijst met ip's verwijderd. Letten jullie er op dat datsoort dingen hier niet verder gepost worden? GoT is geen virusverspreidingsforum. Inhoudelijke discussie over de situatie, prima

[Verwijderd]

Modbreak:

Post die adressen dan niet!!!!

[ Voor 100% gewijzigd door Remy op 13-10-2005 22:27 ]

[Verwijderd]

sorry, jullie waren sneller met een reactie, dan dat ik de cijfers voor xxx kon vervangen Het posten van niet secure hosts is niet mn bedoeling.

[Maxxi]

ik had iniedergeval de geuploade shit ff "gebackuped":P

[Verwijderd]

Ook niet met xxx.xxx.xxx als ip ? dan kan je dr toch niets mee. na ja, een aantal exploits waren in ieder geval: (VULNERABLE; Server: Apache/2.0.54 (Win32) mod_ssl/2.0.54 OpenSSL/0.9.8 PHP/5.0.4 mod_autoindex_color)

[HunterPro]

zo, meteen wat hosts hier gewaarschuwd. Gelukkig 2 met dynamisch IP-adres. Thanks voor die lijst

[Verwijderd]

Of het misschien een misconfiguratie was weet ik niet, heb het zelf namelijk niet geinstalleerd, alle updates die beschikbaar waren op dat moment waren wel ginstalleerd. 100 Gb aan duits spul zit ik niet echt op te wachten, ookal was het NL spul, dan hoef ik het nog niet op een webserver te hebben. Ik heb zelf niets tegen warez ofzo, maar als mensen er een pc van iemand anders voor gaan misbruiken wel.

[Guru Evi]

Ben je zeker dat het wel Apache of PHP is die een exploit heeft? Ik zie dat je een Windows server hebt. Heb je daar wel een degelijke firewall tussen staan? Kan het niet zijn dat je PHP scripts/configuratie zelf exploitable zijn (PHP Safe Mode en Register Globals comes to mind)

Ik heb onlangs (deze week) een hele rits Windows server moeten opkuisen toen er ook Duitse warezgroepen op bezoek waren geweest en die draaiden IIS, geen webserver etc. Die waren door een of andere exploit getroffen die nog niet gepatched is waardoor ze remote software hadden geinstalleerd.

Formatteren op een (productie)server is niet altijd zo handig. Ik weet niet waar je mee bezig bent en sommige responses in dit topic vind ik niet zo van het hoogste niveau (precies een bende pubers). Gelieve op te merken dat naast warez (die je al dan niet wilt backuppen) deze hosts ook gebruikt worden om andere machines te infecteren en door ons allen geliefd: SPAM. Dit kost bedrijven ook handenvol geld terwijl dat het toch meestal te voorkomen was door beheerders.

Deze soort exploits zijn ook niet 0-day. Dit zijn 9 kansen op 10 geautomatiseerde bots die ip's afscannen op reeksen exploits die al een tijdje bekend zijn, dan worden ze geroot en vervolgens ingesteld als warezserver. Tot dan zijn er meestal geen echte personen langs geweest totdat er spul moest opgeladen worden. Het probleem is natuurlijk dat je die host niet meer kan vertrouwen en dus moet je zorgen dat een andere host klaargemaakt wordt om de taken over te nemen. Data neem je best van een backup indien mogelijk (ook je backups checken op trojans en virussen indien je Windows blijft gebruiken).

[ Voor 49% gewijzigd door Guru Evi op 13-10-2005 22:42 ]

[Victor]

Als je je nou nuttig wilt maken met deze blunder (het niet updaten dus ), zet je een andere bak met sniffer tussen je gateway en de FTP server. Dan een weekje IP's verzamelen en melden bij hun ISP's. Pak je ze mee terug en is meteen leerzaam voor jou.

[ Voor 6% gewijzigd door Victor op 13-10-2005 22:37 ]

[HunterPro]

clickety: laatste phpmyadmin exploitable

paar dagen geleden al gepost door yours truly. Alle betreffende phpmyadmin's hebben een auto-login omdat user en pass in de conf-file zijn gezet. Dat is dus direct exploitable, met bovengenoemd effect. Windowsmachines hebben bovendien nog extra last ervan omdat apache gewoon als system draait en probably behoorlijk wat rechten heeft. Op linux is dat niet zo vanzelfsprekend.

[hellmonder1986]

moet er neit aan denken dat het hier zou gebeuren
ok zou wel ff een backup make van die bestanden maar stel er zit een extra .exe in die hij meeneemt tijdens install??
zo kan je ook aan die troep komen
verder jammer dat het is gebeurd dus een gewaarschuwd persoon telt voor 2

[Verwijderd]

TS: Heb je de malicious files toevallig bewaard?
Lijkt me erg handig/verstandig om die naar AV bedrijven te sturen.

Ik hou me iig aanbevolen @ [e-mail]

[Verwijderd]

mm, ik vind wel dat mensen er in dit topic maar al te snel vanuit gaan dat dit door niet updaten komt. Terwijl je dat helemaal niet vast kunt stellen. Als er gebruik is gemaakt van een private exploit dan kan je nog zoveel updaten maar dat heeft geen zin. Mensen roepen hier wel heel erg hard dat het eigen schuld is maar dat is in het geval van een private exploit dus gewoon niet waar. Een een beejte fxp board maakt gebruik van een private exploit want met die algemene exploits van script-kiddies zijn maar heel weinig servers te hacken.

[Olaf van der Spek]

HunterPro schreef op donderdag 13 oktober 2005 @ 22:40:
Windowsmachines hebben bovendien nog extra last ervan omdat apache gewoon als system draait en probably behoorlijk wat rechten heeft.

Helaas vinden de Apache auteurs het niet hun taak om Apache als LocalService te installeren.

[Victor]

OlafvdSpek schreef op vrijdag 14 oktober 2005 @ 10:13:
[...]

Helaas vinden de Apache auteurs het niet hun taak om Apache als LocalService te installeren.

Dan verander je dat toch zelf? Properties van de service > Log on, daar een gebruiker met vrijwel geen rechten instellen en klaar is kees.

[Olaf van der Spek]

King_Louie schreef op vrijdag 14 oktober 2005 @ 10:18:
Dan verander je dat toch zelf? Properties van de service > Log on, daar een gebruiker met vrijwel geen rechten instellen en klaar is kees.

Dat doe jij, dat doe ik, maar 90% van de installaties draait waarschijnlijk als administrator. Secure by default, dat is veel beter.

[Victor]

OlafvdSpek schreef op vrijdag 14 oktober 2005 @ 13:36:
[...]

Dat doe jij, dat doe ik, maar 90% van de installaties draait waarschijnlijk als administrator. Secure by default, dat is veel beter.

Dat doe ik niet, ik draai IIS 6. Dat is wel secure by default.

Maar inderdaad, er zijn een hoop oliebollen die denken "woei, het werkt" en vergeten het ook even te beveiligen.

[Verwijderd]

edit

[ Voor 102% gewijzigd door Verwijderd op 31-03-2006 16:25 ]

[vso]

aantal op/aanmerkingen

Verwijderd schreef op maandag 17 oktober 2005 @ 02:51:
Het is dus juist goed om te gaan formatteren, alle backdoors etc runnen allemaal via je HDD waar je OS op runt, als je eenmaal formatteerd dan zijn alle services deleted en alle rotzooi is van je hd af.

undelete werkt ook nog, met een prog van 400K kan je aardig wat meuk weer terug zetten.

Om nou slim te zijn ga je formatteren en install je OS opnieuw, doe dit een keer zonder op internet te zitten, daarna ga je keer na keer kijken en opslaan welke services er runnen.

Druk daarna je utp in je NIC en update alle updates van microsoft site. Daarna install je nog de nodige bestanden die je nodig hebt voor op internet en bekijkt weer je services die runnen, update ook je Anti-Virus. Sla deze op en kijk wekelijks wat er is gebeurt en welke services erbij zijn gekomen, vallen deze op en twijfel je aan deze service ga dan naar services.msc en slecteer die onbetrouwbare service en: Eigenschappen > Druk op de knop "Stoppen" > en selecteer bij opstarttype op "Disable" zodat die service direct stopt en de service blokkeert zodat die niet meer te starten is.

bad move, ms start niet zomaar een service.
Daarnaast kan je handmatig windows updates je updates downloaden. download NLite (via meuktracker te vinden) en maak daarmee een nieuwe install cd waarbij alle updates en patches al in je OS verwerkt zitten.

MS heeft ook een MS-BSA (Baseline Security Analizer), daarnaast zit er een security Audit tool in met HighSecurity Workstation.ini (HSWorkstation geloof ik) waarmee je je systeem verhoogd.

Tevens kan je met NLITE en beetje rondneuzen de default admin+guest renamen en voorzien van een password die zeer lastig is om te onthouden. daarnaast is een dafault admin/passwd zeer makkelijk te vinden de andere niet


Wachtwoorden (vergeet ze) gebruik wachtzinnen zoals "Ik hou van mij 12Vrouwen" die zijn nog lastiger te hacken maar wel makkelijker te onthouden.

Kijk uit met het installeren van remote programmas bijvoorbeeld: Radmin (Remote Administrator 2.2) & Real VNC Server.

RDP (remote desktop) van windows is makkelijker en ook te voorzien van security
SSH servers zijn er ook wel te vinden

Disable of delete FTP.EXE en TFTP.EXE zodat ze met een shell niet files/tools/backdoors kunnen transferen.

rechten zetten of verwijderen naar andere dir. Dit soort acties kunnen meer beschadigen dan goed maken.

Zone alarm is zeer goedkoop(gratis) en zeer handig

een broadband router is goedkoop en kan ook al veel problemen uit de weg helpen (uiterraard beveiligen)

[begintmeta]

wat betreft wachtwoorden wil ik nog toevoegen: gebruik geen woorden in het wachtwoord (ook niet dingen zoals ro0t) zoals in de twee posts voor mij wordt gedaan. Wachtzinnen zijn een goed idee, maar gebruik dan niet de zinnen, maar bijvoorbeeld alleen de eerste en de laatste letters van de woorden(anders neemt de complexiteit van het wachtwoord weer enorm af), en gebruik ook leesteken en getallen. Dat is inderdaad makkelijker te onthouden vanwege de (on)zin die je hebt gemaakt, en complex. Je kunt wachtwoorden ook opschrijven, als je dat veilig(er) kunt bewaren, dan kun je gewoon random-wachtwoorden van willekeurige lengte (met een minimum van 8 zou ik zeggen) gebruiken. Op de wikipedia pagina('s)kun je natuurlijk uitgebreid verderlezen over wachtwoorden.

[ Voor 46% gewijzigd door begintmeta op 17-10-2005 03:26 ]

[vso]

begintmeta schreef op maandag 17 oktober 2005 @ 03:16:
wat betreft wachtwoorden wil ik nog toevoegen: gebruik geen woorden zoals in de twee posts voor mij wordt gedaan. Wachtzinnen zijn een goed idee, maar gebruik dan niet de zinnen, maar bijvoorbeeld alleen de eerste en de laatste letters van de woorden(anders neemt de complexiteit van het wachtwoord weer enorm af, en gebruik ook leesteken en getallen.

deels mee eens.

Hoewel de complexiteit van de de zin niet zo bijsterhoog is vormt het geheel wegens de lengte een complexiteit op zichzelf. aan de hash is niet af te lezen IMHO dat er spaties en meerdere woorden staan, leestekens en getallen toevoegen is altijd raadzaam omdat dan bruteforce nog langer duurt.
maar goed meestal haken ze af wanneer de tekens boven de 8/10 karakters gaat.