Nástroje zabezpečení s otevřeným zdrojovým kódem
John the Ripper: Password Auditing Správně
John the Ripper je původním tahounem auditu hesel: extrahujte hashe, vložte je a nechte smyčky CPU a pravidla seznamu slov najít slabá pověření v měřítku. Jeho profesionální role je dopadová část zprávy – dokazuje, že politika hesel existuje na papíře a v praxi selhává, kde rockyou.txt, který prochází Johnem, mění příběh účtu v nalezení účtu. Je stabilní, skriptovatelný a formátově bohatý a cena za tuto stabilitu je výkon s jedním vláknem ve srovnání s praskáním GPU.
Klíčové body
- Základy pracovního postupu: zrušte stínování /etc/passwd + /etc/shadow do jednoho souboru a poté hashfile john --wordlist=rockyou.txt pro standardní první průchod.
- Přírůstkový (maskový) režim poskytuje neslovníkové pokrytí: john --incremental hashfile spaluje CPU čistou hrubou silou a vydělává si svou hodinu pouze za hashe, na kterém vám záleží.
- Na parametrech formátu záleží: --format=NT, sha512crypt nebo novější formáty Jumbo; odhad špatného formátu plýtvá hodinami na špatném motoru.
- Pravidla jsou profesionální pákou: seznamy slov a pravidla mandlování (pravidla/sady ve stylu best64) najdou heslo1! vzory, které nezpracované seznamy postrádají.
- Jumbo přidává moderní praktické funkce: PDF, ZIP, archivy bcrypt a --show pro výpis prolomených hesel jako čistý řádek zprávy.
- Toto je území CPU: JtR se škáluje podle jader a počtu strojů; ponechat práci na úrovni GPU na hashcat a vybrat si podle zátěže.
- Zde je etika nejostřejší ze sady nástrojů: provádíte audit hashů, k jejichž auditu jste byli oprávněni – klientské systémy, laboratorní stroje, soubory v rozsahu zakázky, protože prolomená hesla jsou skutečnými přihlašovacími údaji k datům skutečných lidí.
- Na doručení záleží víc než na cracku: jakmile budete mít důkaz, zpráva ukáže dopad (zásady, opětovné použití, mezery v rotaci) a nikdy ne tabulku se skutečnými hesly nad rámec toho, co klient smluvně požadoval vidět.
Poznámka z terénu
John našel šest účtů sdílejících vzor sezóny a dnů a vysloužil našemu týmu kompletní přepracování zásad, o které jsme žádali. Realita CPU mě naučila uvádět seznam slov a hodiny ve zprávě, ne odhady.
Časté dotazy
John nebo hashcat?
Obojí: John vlastní práci s CPU, formáty a rychlé úlohy; hashcat vlastní GPU scale; sada nástrojů uchovává obojí a vybírá podle pracovní zátěže.
Proč ne duhové stoly?
Zemřeli se solemi: moderní úložiště hesel (bcrypt, scrypt, salted hash) dělá předpočítané tabulky nepoužitelnými, a proto zvítězily seznamy slov plus pravidla.
Jak dlouho by měl audit hesla běžet?
Rozsah: omezený CPU běží na klientem vybraných sadách hash, několik hodin až den, s pojmenovanými odlehlými hodnotami; nekonečné běhy spálí rozpočet bez změny nálezu.
Co znamená Jumbo v názvu?
Komunitní sestavení Jumbo přináší další formáty, formáty záplat a režimy --; pro profesionální práci je to verze, kterou instalujete, tečka.
Jak Kinetikatech pomáhá s nástroje zabezpečení s otevřeným zdrojovým kódem
Dnes děláme tohle: Profesionálové z testovací sady nástrojů mají skutečně nabité: skenery, sniffery, crackery a webové proxy vysvětlily způsob, jakým se používají při skutečných zakázkách – příkazy, příznaky, výstupy a kde každý sedí v metodice. Naše služba Penetrační testy a Zabezpečení linuxových serverů pokrývá vše od posouzení po nasazení, nepřetržitý dohled a pohotovostní zásah do 30 minut.