Strumenti di sicurezza open source
John lo Squartatore: controllo delle password fatto bene
John lo Squartatore è il cavallo di battaglia originale del controllo delle password: estrai gli hash, inseriscili e lascia che i loop della CPU e le regole degli elenchi di parole trovino credenziali deboli su larga scala. Il suo ruolo professionale è la sezione di impatto di un rapporto, che dimostra che una policy sulla password esiste sulla carta e fallisce nella pratica, mentre un rockyou.txt eseguito da John trasforma la storia dell'account in una ricerca dell'account. È stabile, programmabile e ricco di formati, e il prezzo per tale stabilità sono le prestazioni a thread singolo rispetto al cracking della GPU.
Punti chiave
- Nozioni di base sul flusso di lavoro: unshadow /etc/passwd + /etc/shadow in un file, quindi l'hashfile john --wordlist=rockyou.txt per il primo passaggio standard.
- La modalità incrementale (maschera) fornisce una copertura non fornita dal dizionario: john --incremental hashfile brucia la CPU con pura forza bruta e guadagna la sua ora solo per gli hash che ti interessano.
- I flag di formato contano: --format=NT, sha512crypt o i nuovi formati Jumbo; l'ipotesi del formato sbagliato fa perdere ore sul motore sbagliato.
- Le regole sono la leva professionale: elenchi di parole più regole di modifica (regole/set in stile best64) trovano la Password1! modelli che mancano agli elenchi grezzi.
- Jumbo aggiunge funzionalità moderne: PDF, ZIP, archivi bcrypt e --show per elencare le password violate come una riga di rapporto pulita.
- Questo è il territorio della CPU: JtR scala in base ai core e al numero di macchine; lasciare il lavoro su scala GPU a hashcat e scegliere in base al carico di lavoro.
- L'etica qui è la più acuta degli strumenti: controlli gli hash che sei stato autorizzato a controllare: sistemi di proprietà del cliente, macchine da laboratorio, file con ambito di impegno, perché le password crackate sono credenziali reali per i dati di persone reali.
- La consegna conta più del crack: una volta ottenuta la prova, il rapporto mostra l'impatto (politiche, riutilizzo, lacune nella rotazione) e mai un foglio di calcolo con password attive oltre a quelle che il cliente ha chiesto contrattualmente di vedere.
Nota dal campo
John ha trovato sei account che condividevano uno schema di giorni di stagione e ha fatto sì che il nostro team riscrivesse l'intera policy che avevamo richiesto. La realtà della CPU mi ha insegnato a dichiarare l'elenco delle parole e le ore nel rapporto, non a fare congetture.
Domande frequenti
John o hashcat?
Entrambi: John possiede il lavoro della CPU, i formati e i lavori rapidi; hashcat possiede la scala GPU; una cassetta degli attrezzi mantiene entrambi e seleziona in base al carico di lavoro.
Perché non i tavoli arcobaleno?
Sono morti con i sali: la moderna memorizzazione delle password (bcrypt, scrypt, salted hash) rende inutili le tabelle precalcolate, motivo per cui hanno vinto elenchi di parole e regole.
Quanto tempo dovrebbe durare il controllo della password?
Con ambito: una CPU limitata eseguita su set di hash selezionati dal client, da poche ore a un giorno, con i valori anomali denominati; le corse infinite bruciano il budget senza modificare il risultato.
Cosa significa Jumbo nel nome?
La build Jumbo della community contiene formati extra, formati di patch e modalità --; per il lavoro professionale è la versione che installi, punto.
Come Kinetikatech aiuta con strumenti di sicurezza open source
A essere onesti, la maggior parte dei team arriva da noi dopo averci provato da sola: I professionisti degli strumenti di test continuano a caricarli: scanner, sniffer, cracker e proxy web hanno spiegato il modo in cui vengono utilizzati negli impegni reali: comandi, flag, output e dove ciascuno di essi si trova in una metodologia. Il nostro servizio Penetration test e Sicurezza server Linux esiste proprio per evitarLe di imparare strumenti di sicurezza open source nel modo peggiore: pensiamo noi alla configurazione, al monitoraggio e alle sorprese delle 3 di notte.