Have I been Pwnedにパスワードを送らずに漏洩チェックするスクリプト

2022年7月16日

今回は記事短め、タイトル通りHave I been Pwnedというパスワードの漏洩をチェックできるサイトで漏洩チェックするスクリプトをPowerShell で作成しました。

当のチェックサイトがパスワードを収集しているのではないかという不安に駆られたので、SHA1ハッシュを送信して漏洩のチェックをします。

参考サイト（非常に助かりました）
https://news.mynavi.jp/techplus/article/20190625-848118/

PowerShellスクリプト

コピペしてPS1として保存すればそのまんま使えます。なおSet-ExecutionPolicy RemoteSignedは必要な模様。

param(
    [string]$password
)


$stream = [IO.MemoryStream]::new([Text.Encoding]::UTF8.GetBytes($password))
$hash = Get-FileHash -InputStream $stream -Algorithm SHA1

$url = "https://api.pwnedpasswords.com/range/" + $hash.hash.Substring(0,5)

$res = Invoke-WebRequest $url
#$res.content

if($res.content.Contains($hash.Hash.Substring(5))){
    $PwnHash = $res.Content -split "`r`n"
    $match = $PwnHash | Select-String -Pattern $hash.Hash.Substring(5)
    $match
}else{
    "Cannot Find Hash."
}