כלי אבטחה בקוד פתוח
ג'ון המרטש: ביקורת סיסמאות בוצעה נכון
ג'ון המרטש הוא סוס העבודה המקורי של ביקורת סיסמאות: חלץ גיבובים, הזן אותם ותן ללולאות CPU ולכללי רשימת מילים למצוא אישורים חלשים בקנה מידה. תפקידו המקצועי הוא סעיף ההשפעה של דוח - המוכיח שמדיניות סיסמאות קיימת על הנייר ונכשלת בפועל, כאשר קובץ rockyou.txt המופעל דרך ג'ון הופך את סיפור החשבון למציאת חשבון. הוא יציב, ניתן לתסריט ועשיר בפורמטים, והמחיר עבור היציבות הזו הוא ביצועים עם חוטים בודדים בהשוואה לפיצוח GPU.
נקודות עיקריות
- יסודות זרימת העבודה: unshadow /etc/passwd + /etc/shadow לקובץ אחד, ואז john --wordlist=rockyou.txt קובץ hash עבור המעבר הראשון הסטנדרטי.
- מצב אינקרמנטלי (מסכה) נותן כיסוי לא מילון: john --incremental hashfile שורף את המעבד בכוח גס טהור ומרוויח את השעה שלו רק עבור hashes שאכפת לך מהם.
- דגלי הפורמט חשובים: --format=NT, sha512crypt, או הפורמטים החדשים יותר של Jumbo; ניחוש הפורמט הלא נכון מבזבז שעות על המנוע הלא נכון.
- כללים הם המנוף המקצועי: רשימות מילים בתוספת חוקים מנוצלים (חוקים/סטים בסגנון הטוב ביותר) מצאו את הסיסמה1! דפוסים שרשימות גולמיות מפספסים.
- Jumbo מוסיף את המעשיות המודרניות: PDF, ZIP, ארכיוני bcrypt, ו--show לרשימה סיסמאות סדוקות כשורת דוח נקייה.
- זוהי טריטוריית המעבד: JtR משתנה לפי ליבות וספירת מכונות; השאר עבודה בקנה מידה של GPU ל-hashcat ולבחור לפי עומס עבודה.
- האתיקה כאן היא החדה ביותר בארגז הכלים: אתה מבקר גיבוב שהורשית לבקר - מערכות בבעלות לקוח, מכונות מעבדה, קבצי היקף מעורבות, מכיוון שסיסמאות סדוקות הן אישורים אמיתיים לנתונים של אנשים אמיתיים.
- המסירה חשובה יותר מהסדק: ברגע שיש לך את ההוכחה, הדוח מראה השפעה (מדיניות, שימוש חוזר, פערי סיבוב) ולעולם לא גיליון אלקטרוני של סיסמאות חיות מעבר למה שהלקוח ביקש לראות חוזית.
הערת שטח
ג'ון מצא שישה חשבונות שחולקים דפוס ימי עונה וזיכה את הצוות שלנו בכל שכתוב המדיניות מחדש שביקשנו. מציאות המעבד לימדה אותי לציין את רשימת המילים והשעות בדוח, לא את הניחוש.
שאלות נפוצות
ג'ון או חשיש?
שניהם: ג'ון הוא הבעלים של עבודת מעבד, פורמטים ועבודות מהירות; hashcat הוא הבעלים של סולם GPU; ארגז כלים שומר על שניהם ובוחר לפי עומס עבודה.
למה לא שולחנות קשת בענן?
הם מתו עם מלחים: אחסון סיסמאות מודרני (bcrypt, scrypt, hashes salted) הופך טבלאות מחושבות מראש לחסרות תועלת, וזו הסיבה שרשימות מילים פלוס כללים זכו.
כמה זמן צריך לרוץ ביקורת סיסמה?
Scoped: מעבד מוגבל המופעל על ערכות hash שנבחרו על ידי הלקוח, מספר שעות עד יום, עם החריגים; ריצות אינסופיות שורפות תקציב מבלי לשנות את הממצא.
מה המשמעות של ג'מבו בשם?
בניית הקהילה Jumbo נושאת פורמטים נוספים, פורמטים של תיקון ו-- מצבי; לעבודה מקצועית זו הגרסה שאתה מתקין, נקודה.
איך Kinetikatech מסייעת לך ב-כלי אבטחה בקוד פתוח
זה מה שאנחנו עושים כל יום: אנשי המקצוע של ארגז הכלים לבדיקה ממשיכים לטעון: סורקים, סניפרים, קרקרים ופרוקסי אינטרנט הסבירו את האופן שבו הם משמשים בהתקשרויות אמיתיות - פקודות, דגלים, פלטים, והיכן כל אחד יושב במתודולוגיה. שירות בדיקות חדירה ואבטחת שרתי לינוקס שלנו מכסה את זה מקצה לקצה — הערכה, יישום, ניטור 24/7, ותגובה לחירום בתוך 30 דקות.