На самом деле многие операции, осуществляемые от имени Anonymous, довольно просты, но и эффективны тоже: атаки на MasterCard и других были DDoS атаками, произведенными с помощью модифицированной версии утилиты нагрузочного тестирования сети Low orbit Ion Canon (LOIC). Модифицированный LOIC позволяет создавать большие ботнеты, в которых пользователи участвуют осознанно: ПО может быть настроено на получение управляющих инструкций через IRC-чаты, что позволяет организаторам атаки удаленно контролировать сотни компьютеров и таким образом управлять масштабными атаками, способными быстро выводить сайты из строя.

Если HBGary проводили хотя бы какую-то оценку степени уязвимости ПО — а ведь это, в конце концов, одна из услуг компании — эта оценка проглядела очень существенный недостаток. CMS система на hbgaryfederal.com была уязвима к атакам типа SQL-инъекция. Как и многие другие, CMS на hbgaryfederal.com хранит данные в SQL базе данных, получая данные из нее с помощью соответствующих запросов. Некоторые запросы фиксированы — это внутренняя логика работы самой CMS. Однако для других нужны параметры. Например, для запрос из CMS на получение статьи, как правило, требуется параметр, соответствующий её ID (идентификационному номеру). В свою очередь эти параметры обычно передаются к CMS из веб-интерфейса.

SQL-инъекция возможна если код, работающий с этими параметрами, содержит ошибки. Многие приложения объединяют параметры из веб-интерфейса с жестко закодированными запросами, а затем передают этот склеенный запрос в базу. И обычно проверки на валидность параметров нет. Это подвергает систему опасности — через SQL-инекцию. Передав специально измененные параметры, злоумышленник может указать базе данных выполнить тот запрос, который он хочет.

Нападавшие вытащили из CMS базу данных пользователей — список логинов, email адресов, хешей паролей работников HBGary, имевших доступ к внесению изменений в CMS. Несмотря на тривиальную ошибку, разработчики CMS не полностью забыли о рекомендациях по обеспечению безопасности — пароли в пользовательской базе данных не хранились в открытом виде. База хранила только захешированные пароли — пароли, обработанные математической хеш-функцией, возвращающей строку, из которой нельзя восстановить оригинальный пароль.

Подход, впервые опубликованный в 2003 году (являющийся уточнением методики, описанной в 1980 году), подарил взломщикам паролей альтернативный подход. За счет предварительного вычисления большого набора данных и генерации так называемых радужных таблиц, злоумышленники получают компромисс: намного большая скорость взлома паролей в обмен на использование гораздо большего свободного места.

Радужные таблицы позволяют взломщику паролей заранее рассчитать и сохранить большое количество хеш-значений и паролей, которые им соответствуют. Затем злоумышленник может найти нужное ему хеш-значение и проверить, есть ли оно в таблице. И если есть — пароль получен.