Pro IT systém vaší společnosti potřebujete konkrétní důkaz, který prokáže, že vaše online podnikání je odolné vůči různým druhům kybernetických útoků, zejména útokům hrubou silou.
Table of Contents
Co je útok hrubou silou?
Útok hrubou silou je jedním z nejnebezpečnějších kybernetických útoků, kterému nemusíte čelit! Útok hrubou silou se zaměřuje na jádro vašeho webu nebo zabezpečení vašeho zařízení, přihlašovací heslo nebo šifrovací klíče. K jejich rozhodnému prozkoumání používá kontinuální metodu pokus-omyl.
Způsoby útoku hrubou silou jsou různé, zejména:
- Hybridní útoky hrubou silou: zkoušení nebo odesílání tisíců očekávaných slov a slov ze slovníku nebo dokonce náhodných slov.
- Reverzní útoky hrubou silou: pokusit se získat odvozovací klíč hesla pomocí vyčerpávajícího výzkumu.
Proč potřebujeme nástroje pro penetrační testování?
K dosažení tohoto cíle útočníci hrubou silou používají různé nástroje. Tyto nástroje pro útok hrubou silou můžete použít k penetraci. Toto testování se také nazývá „pentesting“ nebo „testování perem“.
Penetrační test je praxe pokusu o hacknutí vašich vlastních IT systémů pomocí stejných způsobů, jak to hackeři dělají. Díky tomu budete schopni identifikovat jakékoli bezpečnostní díry.
Poznámka: Následující nástroje mohou generovat mnoho požadavků, které byste měli provést pouze proti prostředí vaší aplikace.
Gobuster
Gobuster je jedním z nejvýkonnějších a nejrychlejších nástrojů hrubou silou, který nepotřebuje běhové prostředí. Používá adresářový skener naprogramovaný jazykem Go; je rychlejší a flexibilnější než interpretovaný skript.
Funkce
- Gobuster je také známý pro svou úžasnou podporu pro souběžnost, která mu umožňuje zpracovávat více úkolů a rozšíření při zachování rychlosti zpracování.
- Odlehčený nástroj bez Java GUI funguje na mnoha platformách pouze na příkazovém řádku.
- Vestavěná nápověda
Režimy
- dir – klasický adresářový režim
- dns – režim subdomény DNS
- s3 – Vyjmenujte otevřené buckety S3 a vyhledejte existenci a seznamy bucketů
- vhost – režim virtuálního hostitele
Trpí však jednou chybou, neschopností rekurzivního prohledávání adresářů, což snižuje jeho účinnost pro víceúrovňové adresáře.
BruteX
BruteX je skvělý all-in-one hrubou silou založený a open-source nástroj pro všechny vaše potřeby k dosažení cíle.
- Otevřené porty
- Uživatelská jména
- Hesla
Využívá sílu systematického odesílání velkého množství možných hesel.
Zahrnuje mnoho služeb, které byly získány z některých dalších nástrojů, jako je Nmap, Hydra a DNS enum. To vám umožní skenovat otevřené porty, spustit hrubou sílu FTP, SSH a automaticky určit běžící službu cílového serveru.
Dirsearch
Dirsearch je pokročilý nástroj hrubé síly založený na příkazovém řádku. Je to AKA webový skener cest a dokáže hrubou silou vynutit adresáře a soubory na webových serverech.
Dirsearch se nedávno stal součástí oficiálních balíčků Kali Linux, ale běží také na Windows, Linux a macOS. Je napsán v Pythonu, aby byl snadno kompatibilní se stávajícími projekty a skripty.
Je také mnohem rychlejší než tradiční nástroj DIRB a obsahuje mnohem více funkcí.
- Podpora proxy
- Vícevláknové zpracování
- Randomizace uživatelských agentů
- Podpora více rozšíření
- Skenerová aréna
- Požádejte o zdržení
Pro rekurzivní skenování je vítězem Dirsearch. Prochází a prochází a hledá další adresáře. Kromě rychlosti a jednoduchosti je to z nejlepších místností Brute-force pro každého pentestera.
Neopeřený
Neopeřený je uživatelsky přívětivý a přizpůsobitelný nástroj pro přihlášení hrubou silou. Napsáno v pythonu 3. Je navrženo tak, aby vyhovovalo potřebám a okolnostem nováčků.
Byly poskytnuty flexibilní uživatelské experimenty pro snadné řešení chyb, zejména pro začátečníky, aby snadno porozuměli a intuici.
SSB
Secure Shell Bruteforcer (SSB) je jedním z nejrychlejších a nejjednodušších nástrojů pro brute-force SSH servery.
Použití zabezpečeného shellu SSB vám poskytne vhodné rozhraní, na rozdíl od jiných nástrojů, které prolomí heslo serveru SSH.
Thc-Hydra
Hydra je jedním z nejznámějších nástrojů pro crackování přihlášení používaných buď na Linuxu nebo Windows/Cygwin. Kromě toho pro Solaris, FreeBSD/OpenBSD, QNX (Blackberry 10) a macOS. Podporuje mnoho protokolů, jako je AFP, HTTP-FORM-GET, HTTP-GET, HTTP-FORM-POST, HTTP-HEAD, HTTP-PROXY a další.
Hydra je standardně nainstalována na Kali Linuxu a je navržena jak s příkazovým řádkem, tak s grafickými verzemi. Může prolomit jedno nebo seznam uživatelských jmen/hesel metodou hrubého vynucení.
Je také paralelizovaný, což je velmi rychlý a flexibilní nástroj, který vám umožňuje na dálku stanovit možnost neoprávněného přístupu k vašemu systému.
Některé další nástroje pro přihlášení hackerů se používají pro stejnou funkci, ale pouze Hydra podporuje mnoho různých protokolů a paralelních připojení.
Burp Suite
Burp Suite Professional je základní sadou nástrojů pro testery zabezpečení webu a přichází s rychlými a spolehlivými funkcemi. A také může automatizovat monotónní testovací úlohy. Kromě toho je navržen pomocí manuálních a poloautomatických funkcí testování zabezpečení odborníků. Mnoho odborníků jej používá při testování deseti hlavních zranitelností OWASP.
Burp nabízí mnoho jedinečných funkcí, od zvýšení pokrytí skenováním až po jeho přizpůsobení tmavému režimu. Může testovat/skenovat moderní webové aplikace bohaté na funkce, JavaScript, testovat API.
Je to nástroj určený skutečně pro testování služeb, ne pro hackování, jako je mnoho dalších. Zaznamenává tedy složité ověřovací sekvence a zapisuje zprávy pro přímé použití a sdílení koncovými uživateli.
Má také tu výhodu, že provádí testování zabezpečení aplikací mimo pásmo (OAST), které dosahuje mnoha neviditelných zranitelností, které ostatní nemohou. Kromě toho je to první, kdo těží z použití PortSwigger Research, díky kterému jste napřed.
Patator
Patator je nástroj hrubou silou pro víceúčelové a flexibilní použití v modulárním designu. Objevuje se v reflexní frustraci pomocí některých dalších nástrojů a skriptů útoků na získávání hesel. Patator volí nový přístup k neopakování starých chyb.
Patator, napsaný v Pythonu, je vícevláknový nástroj, který chce sloužit penetračnímu testování flexibilnějším a důvěryhodnějším způsobem než jeho předci. Podporuje mnoho modulů, včetně následujících.
- FTP
- SSH
- MySQL
- SMTP
- Telnet
- DNS
- SMB
- IMAP
- LDAP
- rlogin
- ZIP soubory
- Soubory úložiště klíčů Java
Pydictor
Pydictor je další skvělý nástroj pro hackování slovníků. Pokud jde o dlouhé testy a testy pevnosti hesla, dokáže ohromit nováčky i profesionály. Je to nástroj, který útočníci nemohou ve své zbrojnici vydat. Kromě toho má nadbytek funkcí, které vám umožní vychutnat si opravdu silný výkon v jakékoli testovací situaci.
- Stálý asistent: umožňuje vytvořit obecný seznam slov, seznam slov sociálního inženýrství, speciální seznam slov s využitím webového obsahu atd. Navíc obsahuje filtr, který vám pomůže zaměřit váš seznam slov.
- Vysoce přizpůsobené: atributy seznamu slov můžete přizpůsobit podle svých potřeb pomocí filtrování podle délky, režimu let a dalších funkcí.
- Flexibilita a kompatibilita: je schopen analyzovat konfigurační soubor s možností bezproblémové práce na Windows, Linux nebo Mac.
Pydictorské slovníky
- Numerický slovník
- Abecední slovník
- Velký abecední slovník
- Číselné Spolu S Velkými Písmeny Abecedy
- Velká písmena spojená s malými písmeny abecedy
- číslice Spojená S Malá Abeceda
- Kombinace velkých písmen, malých písmen a číslic
- Přidání statické hlavy
- Manipulace s filtrem složitosti slovníku
Ncrack
Ncrack je druh nástroje pro prolomení sítě s vysokorychlostním výkonem. Je navržen pro společnosti, aby jim pomohl otestovat jejich síťová zařízení na slabá hesla. Mnoho bezpečnostních profesionálů doporučuje používat Ncrack pro audit bezpečnosti systémových sítí. Byl vydán jako samostatný nástroj nebo jako součást Kali Linuxu.
Díky modulárnímu přístupu a dynamickému enginu může Ncrack navržený pomocí příkazového řádku přizpůsobit své chování podle zpětné vazby sítě. A může provádět spolehlivý široký audit pro mnoho hostitelů současně.
Funkce Ncrack se neomezují na flexibilní rozhraní, ale zajišťují uživateli plnou kontrolu nad síťovými operacemi. To umožňuje úžasné sofistikované útoky hrubou silou, běhové interakce a šablony načasování pro usnadnění použití, jako je Nmap.
Mezi podporované protokoly patří SSH, RDP, FTP, Telnet, HTTP(S), WordPress, POP3(S), IMAP, CVS, SMB, VNC, SIP, Redis, PostgreSQL, MQTT, MySQL, MSSQL, MongoDB, Cassandra, WinRM, OWA a DICOM, což jej kvalifikuje pro širokou škálu průmyslových odvětví.
Hashcat
Hashcat je nástroj pro obnovu hesla. Může fungovat na Linuxu, OS X a Windows a podporuje mnoho algoritmů Hashcat podporovaných hashcat, jako jsou formáty MD4, MD5, SHA-family, LM hash a Unix Crypt.
Hashcat se stal známým díky tomu, že jeho optimalizace částečně závisí na softwaru, který tvůrce Hashcatu objevil.
Hashcat má dvě varianty:
- Nástroj pro obnovu hesla založený na CPU
- Nástroj pro obnovu hesla založený na GPU
Nástroj GPU dokáže prolomit některé dědictví hashcat za kratší dobu než nástroj CPU (MD5, SHA1 a další). Ale ne každý algoritmus dokáže GPU prolomit rychleji. Nicméně, Hashcat byl popsán jako nejrychlejší prolomení hesel na světě.
Závěr
Po této podrobné ukázce máte k dispozici pestrý arzenál nástrojů, které můžete vyměnit. Vyberte si, co vám nejlépe vyhovuje pro každou situaci a okolnost, které čelíte. Není důvod se domnívat, že v alternativách neexistuje žádná rozmanitost. V některých případech jsou ty nejjednodušší nástroje nejlepší a v jiných případech naopak.
Dále prozkoumejte některé nástroje forenzního vyšetřování.