Ferramentas de segurança de código aberto
John, o Estripador: auditoria de senhas bem feita
John, o Estripador, é o carro-chefe original da auditoria de senhas: extrai hashes, alimenta-os e permite que loops de CPU e regras de lista de palavras encontrem credenciais fracas em grande escala. Seu papel profissional é a seção de impacto de um relatório – provando que uma política de senha existe no papel e falha na prática, onde um rockyou.txt executado por John transforma a história da conta em descoberta de conta. É estável, programável e rico em formatos, e o preço dessa estabilidade é o desempenho de thread único em comparação com o cracking de GPU.
Pontos principais
- Fundamentos do fluxo de trabalho: unshadow /etc/passwd + /etc/shadow em um arquivo e, em seguida, john --wordlist=rockyou.txt hashfile para a primeira passagem padrão.
- O modo incremental (máscara) oferece cobertura sem dicionário: john --incremental hashfile queima a CPU com pura força bruta e ganha sua hora apenas para hashes de seu interesse.
- Os sinalizadores de formato são importantes: --format=NT, sha512crypt ou os formatos Jumbo mais recentes; a estimativa errada do formato desperdiça horas no mecanismo errado.
- As regras são a alavanca profissional: listas de palavras mais regras de confusão (regras/conjuntos no estilo best64) encontre a senha1! padrões que as listas brutas não percebem.
- Jumbo adiciona os aspectos práticos modernos: PDF, ZIP, arquivos bcrypt e --show para listar senhas quebradas como uma linha de relatório limpa.
- Este é o território da CPU: JtR é dimensionado por núcleos e contagem de máquinas; deixe o trabalho em escala de GPU para hashcat e escolha por carga de trabalho.
- A ética aqui é a mais precisa da caixa de ferramentas: você audita hashes que foi autorizado a auditar - sistemas de propriedade do cliente, máquinas de laboratório, arquivos de escopo de compromisso, porque senhas quebradas são credenciais reais para dados de pessoas reais.
- A entrega é mais importante do que o crack: depois de ter a prova, o relatório mostra o impacto (política, reutilização, lacunas de rotação) e nunca uma planilha de senhas ativas além do que o cliente pediu contratualmente para ver.
Nota de campo
John encontrou seis contas compartilhando um padrão de dias de temporada e rendeu à nossa equipe toda a reescrita da política que estávamos solicitando. As realidades da CPU me ensinaram a declarar a lista de palavras e as horas no relatório, não as suposições.
Perguntas frequentes
John ou hashcat?
Ambos: John possui trabalho de CPU, formatos e trabalhos rápidos; hashcat possui escala de GPU; uma caixa de ferramentas mantém ambos e seleciona por carga de trabalho.
Por que não tabelas arco-íris?
Eles morreram com sais: o armazenamento moderno de senhas (bcrypt, scrypt, salted hashes) torna as tabelas pré-computadas inúteis, e é por isso que as listas de palavras e as regras venceram.
Por quanto tempo uma auditoria de senha deve ser executada?
Escopo: uma CPU limitada executada em conjuntos de hash selecionados pelo cliente, de algumas horas a um dia, com os outliers nomeados; execuções intermináveis queimam o orçamento sem alterar a descoberta.
O que Jumbo significa no nome?
A compilação Jumbo da comunidade traz formatos extras, formatos de patch e modos --; para trabalho profissional é a versão que você instala, ponto final.
Como a Kinetikatech ajuda com ferramentas de segurança de código aberto
É isto que fazemos todos os dias: Os profissionais da caixa de ferramentas de teste realmente se mantêm carregados: scanners, sniffers, crackers e proxies da web explicaram como são usados em compromissos reais - comandos, sinalizadores, saídas e onde cada um se enquadra em uma metodologia. Nosso serviço Testes de penetração e Segurança de servidores Linux cobre tudo de ponta a ponta: avaliação, implementação, monitoramento 24/7 e resposta de emergência em 30 minutos.