Alat Keamanan Sumber Terbuka
John the Ripper: Audit Kata Sandi Dilakukan dengan Benar
John the Ripper adalah pekerja keras asli dalam audit kata sandi: mengekstrak hash, memasukkannya, dan membiarkan loop CPU dan aturan daftar kata menemukan kredensial yang lemah dalam skala besar. Peran profesionalnya adalah bagian dampak dari sebuah laporan — membuktikan bahwa kebijakan kata sandi ada di atas kertas dan gagal dalam praktiknya, ketika rockyou.txt yang dijalankan oleh John mengubah cerita akun menjadi penemuan akun. Ini stabil, dapat dituliskan, dan kaya format, dan harga untuk kemantapan itu adalah kinerja single-threaded dibandingkan dengan cracking GPU.
Poin Utama
- Dasar-dasar alur kerja: unshadow /etc/passwd + /etc/shadow menjadi satu file, lalu john --wordlist=rockyou.txt hashfile untuk pass standar pertama.
- Mode inkremental (mask) memberikan cakupan non-kamus: john --inkremental hashfile membakar CPU dengan kekuatan brute murni dan mendapatkan jamnya hanya untuk hash yang Anda pedulikan.
- Bendera format penting: --format=NT, sha512crypt, atau format Jumbo yang lebih baru; tebakan format yang salah menghabiskan waktu berjam-jam di mesin yang salah.
- Aturan adalah tuas profesional: daftar kata ditambah aturan mangling (aturan/kumpulan gaya best64) temukan Kata Sandi1! pola yang terlewatkan oleh daftar mentah.
- Jumbo menambahkan kepraktisan modern: PDF, ZIP, arsip bcrypt, dan --show untuk mencantumkan kata sandi yang diretas sebagai baris laporan yang bersih.
- Ini adalah wilayah CPU: JtR berskala berdasarkan inti dan jumlah mesin; serahkan pekerjaan skala GPU ke hashcat dan pilih per beban kerja.
- Etika di sini adalah alat yang paling tajam: Anda mengaudit hash yang diizinkan untuk diaudit — sistem milik klien, mesin lab, file cakupan keterlibatan, karena kata sandi yang dibobol adalah kredensial nyata untuk data orang nyata.
- Pengiriman lebih penting daripada celah: setelah Anda memiliki bukti, laporan akan menunjukkan dampak (kebijakan, penggunaan kembali, kesenjangan rotasi) dan tidak pernah berupa spreadsheet kata sandi aktif melebihi apa yang diminta oleh klien untuk dilihat dalam kontrak.
Catatan Lapangan
John menemukan enam akun yang berbagi pola hari-hari dalam satu musim dan memberi tim kami seluruh kebijakan yang kami minta untuk ditulis ulang. Realitas CPU mengajarkan saya untuk menyatakan daftar kata dan jam dalam laporan, bukan menebak-nebak.
Pertanyaan Umum
John atau hashcat?
Keduanya: John memiliki pekerjaan CPU, format, dan pekerjaan cepat; hashcat memiliki skala GPU; kotak peralatan menyimpan keduanya dan memilih berdasarkan beban kerja.
Mengapa bukan meja pelangi?
Mereka mati dengan garam: penyimpanan kata sandi modern (bcrypt, scrypt, hash asin) membuat tabel yang dihitung sebelumnya tidak berguna, itulah sebabnya daftar kata plus aturan menang.
Berapa lama audit kata sandi harus dijalankan?
Cakupan: CPU terbatas yang dijalankan pada set hash yang dipilih klien, beberapa jam hingga sehari, dengan nama outlier; perjalanan tanpa akhir menghabiskan anggaran tanpa mengubah temuan.
Apa arti nama Jumbo?
Komunitas Jumbo build membawa format tambahan, format patch, dan -- mode; untuk pekerjaan profesional, ini adalah versi yang Anda instal, titik.
Bagaimana Kinetikatech membantu dengan alat keamanan sumber terbuka
Usahanya sederhana: Toolbox pengujian yang profesional tetap terisi: pemindai, sniffer, cracker, dan proxy web menjelaskan cara mereka digunakan dalam keterlibatan nyata — perintah, tanda, keluaran, dan posisi masing-masing dalam suatu metodologi. Serahkan pada layanan kami Penetration Test dan Keamanan Server Linux dan Anda terlindungi: dievaluasi menyeluruh, diimplementasikan rapi, dipantau 24 jam.