오픈 소스 보안 도구
존 더 리퍼(John the Ripper): 올바른 비밀번호 감사
John the Ripper는 비밀번호 감사의 원조 도구입니다. 해시를 추출하여 입력하고 CPU 루프 및 단어 목록 규칙을 통해 대규모로 취약한 자격 증명을 찾을 수 있습니다. 전문적인 역할은 보고서의 영향 섹션입니다. 즉, John을 통해 실행되는 rockyou.txt가 계정 스토리를 계정 찾기로 바꾸는 암호 정책이 종이에 존재하지만 실제로는 실패했음을 증명하는 것입니다. 꾸준하고 스크립트 가능하며 형식이 풍부하며 그 꾸준함의 대가는 GPU 크래킹에 비해 단일 스레드 성능입니다.
핵심 내용
- 작업 흐름 기본 사항: /etc/passwd + /etc/shadow를 하나의 파일로 unshadow한 다음, 표준 첫 번째 단계에 대해 john --wordlist=rockyou.txt 해시 파일을 사용합니다.
- 증분(마스크) 모드는 사전이 아닌 범위를 제공합니다. john --incremental hashfile은 순수 무차별 공격으로 CPU를 소모하고 관심 있는 해시에 대해서만 시간을 얻습니다.
- 형식 플래그가 중요합니다: --format=NT, sha512crypt 또는 최신 Jumbo 형식; 잘못된 형식 추측은 잘못된 엔진에서 시간을 낭비합니다.
- 규칙은 전문적인 수단입니다. 단어 목록과 맹글링 규칙(규칙/best64 스타일 세트)을 사용하여 비밀번호를 찾습니다1! 원시 목록이 놓친 패턴.
- Jumbo는 PDF, ZIP, bcrypt 아카이브 및 크랙된 비밀번호를 깨끗한 보고서 라인으로 나열하는 --show와 같은 현대적인 실용성을 추가합니다.
- 이것이 CPU 영역입니다. JtR은 코어와 머신 수에 따라 확장됩니다. GPU 규모 작업을 해시캣에 맡기고 워크로드별로 선택하세요.
- 여기서 윤리는 가장 날카로운 도구 상자입니다. 감사 권한이 있는 해시(클라이언트 소유 시스템, 연구실 시스템, 참여 범위 파일)를 감사합니다. 왜냐하면 크랙된 비밀번호는 실제 사람들의 데이터에 대한 실제 자격 증명이기 때문입니다.
- 크랙보다 전달이 더 중요합니다. 일단 증거가 확보되면 보고서는 영향(정책, 재사용, 순환 간격)을 표시하며 클라이언트가 계약상 요청한 것 이상의 실제 비밀번호 스프레드시트는 표시하지 않습니다.
현장 노트
John은 계절별 패턴을 공유하는 6개의 계정을 발견하고 우리 팀이 요청했던 전체 정책 재작성을 얻었습니다. CPU의 현실은 나에게 추측이 아닌 단어 목록과 보고서의 시간을 기술하도록 가르쳐주었습니다.
자주 묻는 질문
존인가 해시캣인가?
둘 다: John은 CPU 작업, 포맷 및 빠른 작업을 소유합니다. hashcat은 GPU 규모를 소유하고 있습니다. 도구 상자는 두 가지를 모두 유지하고 작업량에 따라 선택합니다.
레인보우 테이블은 왜 안되나요?
그들은 소금으로 죽었습니다. 최신 비밀번호 저장(bcrypt, scrypt, salted hashes)은 미리 계산된 테이블을 쓸모없게 만들고, 이것이 바로 단어 목록과 규칙이 승리한 이유입니다.
비밀번호 감사는 얼마나 오랫동안 실행되어야 합니까?
범위 지정: 클라이언트가 선택한 해시 세트에서 제한된 CPU가 하루에 몇 시간씩 실행되며 이상값이 명명됩니다. 끝없이 실행하면 결과를 변경하지 않고도 예산이 소모됩니다.
이름에서 점보(Jumbo)는 무엇을 의미하나요?
커뮤니티 점보 빌드는 추가 형식, 패치 형식 및 -- 모드를 제공합니다. 전문적인 작업의 경우 사용자가 설치하는 버전입니다.
오픈 소스 보안 도구에 대한 Kinetikatech의 지원
저희가 매일 하는 일: 테스트 도구 상자 전문가들은 실제로 계속 로드됩니다. 스캐너, 스니퍼, 크래커 및 웹 프록시는 실제 참여에서 사용되는 방식(명령, 플래그, 출력 및 방법론에서 각각의 위치)을 설명했습니다. 당사의 모의해킹 및 Linux 서버 보안 서비스는 평가, 구현, 24시간 연중무휴 모니터링, 30분 이내 긴급 대응을 엔드투엔드로 제공합니다.