כלי אבטחה בקוד פתוח
THC-Hydra: כוח אכזרי על פני פרוטוקולים
Hydra היא פרוטוקול ברוט-force plumbing: בדיקת שם משתמש/סיסמה מול SSH, FTP, HTTP, RDP, ועוד עשרות שירותים משורת פקודה אחת. במתודולוגיה היא יושבת בשלב ה-credentialed-access, שבו יש לך חשיפת שירות (מ-Nmap) והשערה לגבי סיסמאות חלשות, והידרה בודקת את ההשערה הזו במהירות מקורית של פרוטוקול. מעלתו רוחב; הסכנה שלו היא בדיוק באותו רוחב, כי כל שירות שהוא נוגע בו רושם כשלים ביומן וכמה חשבונות נועלים.
נקודות עיקריות
- קרא את התחביר פעם אחת ואתה הבעלים שלו: hydra -l user -P passlist.txt ssh://10.0.0.5 — -l או -L עבור שמות משתמש, -p או -P עבור סיסמאות, service://host:port.
- טפסי אינטרנט צריכים פרמטרים: http-post-form עם הנתיב, מחרוזת הכשל (מסנן כניסה) והפרמטרים; קריאת הטופס דרך Burp תחילה היא הצעד המקצועי.
- חוטים (-t) הם סחר: יותר שרשורים הולכים מהר יותר ונעילה מהירה יותר; SSH ב-t 4 הוא מנומס כאשר -t 16 עמודים ב-SOC, ומדיניות הנעילה מחליטה, לא חוסר סבלנות.
- התאם רשימות מילים להיקף: rockyou.txt מתאים לקופסאות מעבדה, לדומיינים של ייצור מגיע רשימות מותאמות אישית שנבנו מדפוסי השמות של הלקוח.
- בחרו פרוטוקולים של Hydra למעשה, FTP דרך RDP, והשאירו זרימות מודרניות של Kerberos או MFA לכלים שנבנו עבורם.
- תנאי עצירה חשובים: ממצא על האישור השני אינו מצריך את הניסיון העשירי, ו-F או המעטפת שלך מחליטים מתי הוא מסתיים.
- האתיקה כאן היא קונקרטית, לא מופשטת: כוח אכזרי נגד מערכת שלא התקשרתם לבדוק הוא ניסיון גישה לא מורשית עצמו (פשע ברוב תחומי השיפוט), ואפילו ריצות מורשות זקוקות לתעריפים מוסכמים, חלונות ומספר טלפון כדי לעצור.
- הפלט המקצועי הוא ממצא מבוקר: אישור אחד או שניים מוכחים מספיקים כדי להדגים את החולשה, שמות שנעשו לפי חוזה, ופרדוקס הנעילה המתועד כתיקון הבא של הלקוח.
הערת שטח
מדיניות נעילה היא הדבר הראשון שאני מבקש כעת, למדתי אחר הצהריים ריצת SSH של 16 חוטים דפדפה בדלפק העזרה של לקוח והקפיאה ארבעים חשבונות משמרת. איטי זה בסדר עבור הידרה - זה עדיין מוכיח את הנקודה.
שאלות נפוצות
הידרה נגד מדוזה נגד Ncrack?
אותה משפחת עבודה, כיסוי פרוטוקול והתנהגות שונים: הרוחב של הידרה שומר על ברירת המחדל, מדוזה ו-Ncrack מרוויחות מקומות על ערכות פרוטוקול ספציפיות.
האם זה ינעל חשבונות?
לעתים קרובות, וזו שאלה של תכנון מעורבות, לא הגדרת כלי: שיעורי ניסיונות מוסכמים ושיחות סובלנות נעילה באים לפני השריפה הראשונה.
האם ריסוס סיסמא הוא אותו דבר?
לא: ריסוס הוא סיסמה אחת על פני חשבונות רבים הפזורים לאורך זמן, וצוותים המודעים למדיניות כותבים אותה כשיטה משלה (שקטה יותר) ולא כטשטש כוח גס.
מה לגבי מטרות מודרניות עם MFA?
הידרה בודקת את הגורם הקדמי; כל דבר שמאחורי MFA, kerberos או זרימות אימות חכמות זקוק למתודולוגיה אחרת וכלים שונים לחלוטין.
איך Kinetikatech מסייעת לך ב-כלי אבטחה בקוד פתוח
בכנות, רוב הצוותים מגיעים אלינו אחרי שניסו לבד: אנשי המקצוע של ארגז הכלים לבדיקה ממשיכים לטעון: סורקים, סניפרים, קרקרים ופרוקסי אינטרנט הסבירו את האופן שבו הם משמשים בהתקשרויות אמיתיות - פקודות, דגלים, פלטים, והיכן כל אחד יושב במתודולוגיה. השירות בדיקות חדירה ואבטחת שרתי לינוקס שלנו קיים כדי שלא תלמדו כלי אבטחה בקוד פתוח בדרך הקשה, ושלא תגלו את זה בשיחה בשש בבוקר.