Atvirojo kodo saugos įrankiai
hashcat: GPU krekingas, taisyklės ir tikrovė
„hashcat“ yra GPU nulaužimo variklis: maišos režimai šimtais, žodžių sąrašas ir taisyklių vamzdynai, maskavimo atakos ir --show/--left buhalterija, kuri leidžia patikrinti kelių šimtų GB slaptažodžių veikimą. Įsijungus į atkurtus maišos rinkinius, jis pateikia politikos poveikio išvadas, iš kurių daromos posėdžių salės skaidrės, ir tai daroma mašinų greičiu, kuris suformavo šiuolaikinę slaptažodžių politiką. Tai taip pat įrankis, mažiausiai toleruojantis mėgėjų klaidų: netinkami maišos režimai eikvoja GPU dienas, o nulaužta išvestis yra tiesioginė kredencialų medžiaga.
Pagrindiniai punktai
- Išmokite mintinai -m savo bendriems taikiniams: -m 0 (MD5), -m 1000 (NTLM), -m 1800 (sha512crypt), o tinkamas režimas yra skirtumas tarp momentinių ir šiukšlių.
- Puolimo režimai yra tikrasis žodynas: -0 žodynas + taisyklė, -3 kaukė, -6 hibridas; kiekvienas atsako į skirtingą politikos klausimą.
- Taisyklės verčia „hashcat“ dainuoti: žodžių sąrašas ir taisyklės/rockyou-30000.rule-style rinkiniai išbando milijardus variantų, kai jų nėra diske.
- --show (nulaužtas), --left (neįlaužtas) ir buhalterinė apskaita slaptažodžių auditą paverčia audituojamu mokslu, o ne dūmų testu.
- Pirmiausia visada palyginkite: hashcat -b tikrosiose kortelėse nurodo, kiek kaukė iš tikrųjų kainuos prieš klientui sumokėjus GPU valandų tarifus.
- Našumo lubos yra atminties sąnaudų maišymas: užšifruoja ir šifruoja labai lėtai GPU, ir tai yra tų algoritmų esmė – atitinkamai planuokite lūkesčius.
- Savos aparatinės įrangos laboratorijos etika: nulaužkite tik maišą, kurią ištraukėte iš sistemų, kurias turėjote įgalioti išbandyti (klientų sistemos pagal sutartį, laboratorinės VM, jūsų paskyros) – GPU yra nekaltas, o įsipareigojimo apimtis ne.
- Išvesties disciplina: nulaužti slaptažodžiai yra tikrų žmonių tikrieji įgaliojimai; saugykla yra užšifruota, saugojimas atitinka sutartį ir į ataskaitą neįtraukiama nieko daugiau nei to, ko klientui iš tikrųjų reikia.
Pastaba iš praktikos
Du klausimai prieš kiekvieną bėgimą: ar teisingai pasirinkau -m ir ar perskaičiau, ką darysiu su nulaužtu sąrašu? Pirmasis sutaupo GPU dienas; antroji neleidžia klientų slaptažodžiams patekti į nukreipimo el. laišką – tai taisyklė, atsiradusi dėl ankstyvos karjeros klaidos.
Dažniausiai užduodami klausimai
Kuo skiriasi -a 0 ir -a 3?
-a 0 paleidžia žodynus ir taisykles; -a 3 konstrukcijos pagal kaukę (viršutinė kaukė, char klasė) brute force; hibridas (-a 6) sujungia abu.
Ar man reikia konkretaus GPU?
Padeda bet kokia šiuolaikinė kortelė, tačiau greičio skalės su aparatūra ir maišos kaina; gairės prieš sužadėtuves neleidžia duoti pažadų, kurių negali įvykdyti jokia kortelė.
Ar gali hashcat nulaužti WPA rankos paspaudimus?
Taip (režimas 22000 šiuolaikinėse versijose su tinkamai užfiksuotu rankos paspaudimo failu), taip paprastai baigiasi belaidžio ryšio nulaužimo grandinė.
Vietiniai GPU ar debesies GPU?
Vietinės kortelės yra pigesnės nuolatiniam darbui ir saugo duomenis namuose; debesų pliūpsniai vienkartiniams dideliems bėgimams; Kliento sutarties duomenų tvarkymo sąlygos nusprendžia, kurias jums leidžiama naudoti.
Kaip Kinetikatech padeda su atvirojo kodo saugos įrankiai
Štai ką darome šiandien: Testavimo įrankių rinkinio profesionalai iš tikrųjų yra įkrauti: skaitytuvai, snifferiai, krekeriai ir žiniatinklio įgaliotieji serveriai paaiškino, kaip jie naudojami realioms užduotims atlikti – komandos, vėliavėlės, išvestis ir kur kiekviena iš jų yra metodikoje. Mūsų paslauga Pratimų testai ir Linux serverių sauga apima viską — nuo vertinimo iki įgyvendinimo, stebėjimo 24/7 ir skubaus reagavimo per 30 minučių.