Open-source beveiligingshulpmiddelen
John the Ripper: wachtwoordcontrole op de juiste manier
John the Ripper is het oorspronkelijke werkpaard van wachtwoordcontrole: extraheer hashes, voer ze in en laat CPU-loops en woordenlijstregels zwakke inloggegevens op grote schaal vinden. Zijn professionele rol is het impactgedeelte van een rapport – waaruit blijkt dat er op papier een wachtwoordbeleid bestaat en in de praktijk faalt, waarbij een rockyou.txt-run door John het accountverhaal omzet in het vinden van accounts. Het is stabiel, scriptbaar en rijk aan formaten, en de prijs voor die stabiliteit is single-threaded prestaties vergeleken met GPU-kraken.
Kernpunten
- Basisprincipes van de workflow: verwijder /etc/passwd + /etc/shadow in één bestand, en vervolgens john --wordlist=rockyou.txt hashbestand voor de standaard eerste doorgang.
- De incrementele (masker) modus biedt niet-woordenboekdekking: john --incremental hashfile verbrandt de CPU met pure brute kracht en verdient zijn uur alleen voor hashes die jij belangrijk vindt.
- Formaatvlaggen zijn belangrijk: --format=NT, sha512crypt of de nieuwere Jumbo-formaten; het verkeerde formaat raden verspilt uren aan de verkeerde engine.
- Regels zijn de professionele hefboom: woordenlijsten plus mangelregels (regels/best64-stijlsets) vinden het Wachtwoord1! patronen die ruwe lijsten missen.
- Jumbo voegt de moderne praktische zaken toe: PDF, ZIP, bcrypt-archieven en --show om gekraakte wachtwoorden weer te geven als een schone rapportregel.
- Dit is CPU-territorium: JtR schaalt op kernen en aantal machines; laat werk op GPU-schaal over aan hashcat en kies per werklast.
- Ethiek is hier het scherpste van de toolbox: je controleert hashes waarvoor je toestemming had om te controleren – systemen van klanten, laboratoriummachines, bestanden met een opdrachtbereik, omdat gekraakte wachtwoorden echte referenties zijn voor de gegevens van echte mensen.
- Levering is belangrijker dan de crack: zodra u het bewijs heeft, toont het rapport de impact (beleid, hergebruik, rotatiehiaten) en nooit een spreadsheet met live wachtwoorden die verder gaan dan wat de klant contractueel heeft gevraagd te zien.
Notitie uit de praktijk
John vond zes accounts met een seizoensdagenpatroon en verdiende ons team de volledige herschrijving van het beleid waar we om hadden gevraagd. De realiteit van de CPU heeft mij geleerd de woordenlijst en de uren in het rapport te vermelden, en niet het giswerk.
Veelgestelde vragen
John of hashcat?
Beide: John is eigenaar van CPU-werk, formaten en snelle taken; hashcat is eigenaar van GPU-schaal; een toolbox houdt beide bij en selecteert op werklast.
Waarom geen regenboogtafels?
Ze stierven met salts: moderne wachtwoordopslag (bcrypt, scrypt, salted hashes) maakt vooraf berekende tabellen nutteloos, en daarom hebben woordenlijsten plus regels gewonnen.
Hoe lang moet een wachtwoordaudit duren?
Scoped: een begrensde CPU die draait op door de klant geselecteerde hashsets, een paar uur tot een dag, waarbij de uitschieters worden genoemd; eindeloze runs verbranden het budget zonder de bevinding te veranderen.
Wat betekent Jumbo in de naam?
De Jumbo-community-build bevat extra formaten, patchformaten en ---modi; voor professioneel werk is het de versie die u installeert, punt.
Hoe Kinetikatech helpt bij open-source beveiligingshulpmiddelen
Eerlijk gezegd komen de meeste teams pas bij ons nadat ze het eerst zelf hebben geprobeerd: De professionals in de testtoolbox blijven feitelijk geladen: scanners, sniffers, crackers en webproxy's legden de manier uit waarop ze worden gebruikt bij echte opdrachten: opdrachten, vlaggen, uitvoer en waar elk ervan in een methodologie zit. Onze dienst Penetratietests en Linux-serverbeveiliging bestaat zodat u open-source beveiligingshulpmiddelen niet op de harde manier hoeft te leren; wij regelen de setup, het toezicht en de verrassingen om 3 uur 's nachts.