ওপেন সোর্স সিকিউরিটি টুলস
THC-Hydra: প্রোটোকল জুড়ে ব্রুট ফোর্স
হাইড্রা হল প্রোটোকল ব্রুট-ফোর্স প্লাম্বিং: একটি একক কমান্ড লাইন থেকে SSH, FTP, HTTP ফর্ম, RDP এবং আরও কয়েক ডজন পরিষেবার বিরুদ্ধে ব্যবহারকারীর নাম/পাসওয়ার্ড পরীক্ষা। একটি পদ্ধতিতে এটি শংসাপত্রযুক্ত-অ্যাক্সেস পর্যায়ে বসে, যেখানে আপনার কাছে পরিষেবা এক্সপোজার (Nmap থেকে) এবং দুর্বল পাসওয়ার্ড সম্পর্কে একটি অনুমান রয়েছে এবং হাইড্রা প্রোটোকল-নেটিভ গতিতে হাইড্রা পরীক্ষা করে। এর গুণ হল প্রশস্ততা; এর বিপদ ঠিক একই প্রস্থ, কারণ এটি স্পর্শ করে প্রতিটি পরিষেবা লগ ব্যর্থতা এবং কিছু লক অ্যাকাউন্ট।
মূল বিষয়সমূহ
- সিনট্যাক্সটি একবার পড়ুন এবং আপনি এটির মালিক: hydra -l user -P passlist.txt ssh://10.0.0.5 — -l বা -L ব্যবহারকারীর নামের জন্য, -p বা -P পাসওয়ার্ডের জন্য, service://host:port৷
- ওয়েব ফর্মগুলির পরামিতিগুলির প্রয়োজন: পাথ সহ http-পোস্ট-ফর্ম, ব্যর্থতার স্ট্রিং (লগইন ফিল্টার), এবং পরামিতি; বার্পের মাধ্যমে ফর্মটি প্রথমে পড়া হল পেশাদার পদক্ষেপ।
- থ্রেড (-t) একটি ট্রেড: আরও থ্রেড দ্রুত যায় এবং দ্রুত লকআউট ট্রিপ করে; -t 4-এ SSH ভদ্র যেখানে -t 16 পৃষ্ঠা একটি SOC, এবং লকআউট নীতিগুলি সিদ্ধান্ত নেয়, অধৈর্য নয়।
- শব্দ তালিকাগুলিকে সুযোগের সাথে মিলিয়ে নিন: ল্যাব বাক্সের জন্য rockyou.txt ভাল, উত্পাদন ডোমেনগুলি ক্লায়েন্টের নামকরণের ধরণ থেকে তৈরি কাস্টম তালিকার যোগ্য৷
- প্রোটোকল বাছাই করুন হাইড্রা আসলে ভাল, RDP-এর মাধ্যমে FTP, এবং আধুনিক Kerberos বা MFA-সুরক্ষিত প্রবাহকে তাদের জন্য তৈরি করা টুলগুলিতে ছেড়ে দিন।
- স্টপ শর্তগুলি গুরুত্বপূর্ণ: দ্বিতীয় শংসাপত্রে একটি সন্ধানের জন্য দশ হাজারতম প্রচেষ্টার প্রয়োজন নেই, এবং -এফ বা আপনার নিজের র্যাপার কখন এটি শেষ হবে তা সিদ্ধান্ত নেয়৷
- এখানে নীতিশাস্ত্র কংক্রিট, বিমূর্ত নয়: এমন একটি সিস্টেমের বিরুদ্ধে নৃশংস শক্তি যা আপনি পরীক্ষা করার জন্য চুক্তিবদ্ধ নন তা হল অননুমোদিত অ্যাক্সেসের প্রচেষ্টা নিজেই (বেশিরভাগ বিচারব্যবস্থায় একটি অপরাধ), এবং এমনকি অনুমোদিত রানের জন্য সম্মত হার, জানালা এবং থামাতে একটি ফোন নম্বর প্রয়োজন।
- পেশাদার আউটপুট একটি নিয়ন্ত্রিত অনুসন্ধান: এক বা দুটি প্রমাণিত প্রমাণপত্র দুর্বলতা প্রদর্শনের জন্য যথেষ্ট, প্রতি চুক্তিতে নাম সংশোধন করা হয়েছে এবং ক্লায়েন্টের পরবর্তী সমাধান হিসাবে নথিভুক্ত লকআউট প্যারাডক্স।
মাঠের নোট
লকআউট নীতি হল প্রথম জিনিস যা আমি এখন চাইছি, বিকেলে শিখেছি 16-থ্রেড SSH রান একটি ক্লায়েন্টের হেল্প ডেস্ক পেজ করেছে এবং চল্লিশটি শিফট অ্যাকাউন্ট ফ্রিজ করেছে। হাইড্রার জন্য ধীরগতি ঠিক আছে - এটি এখনও বিন্দু প্রমাণ করে।
সচরাচর জিজ্ঞাসা
হাইড্রা বনাম মেডুসা বনাম এনক্র্যাক?
একই চাকরির পরিবার, বিভিন্ন প্রোটোকল কভারেজ এবং আচরণ: হাইড্রার প্রস্থ এটিকে ডিফল্ট রাখে, মেডুসা এবং এনক্র্যাক নির্দিষ্ট প্রোটোকল সেটে স্থান অর্জন করে।
এই অ্যাকাউন্ট লক হবে?
প্রায়শই, এবং এটি একটি ব্যস্ততা-পরিকল্পনা প্রশ্ন, একটি সরঞ্জাম সেটিং নয়: সম্মত প্রচেষ্টা হার এবং লকআউট-সহনশীলতা আলোচনা প্রথম আগুনের আগে আসে।
পাসওয়ার্ড স্প্রে একই জিনিস?
না: সময়ের সাথে সাথে ছড়িয়ে থাকা অনেক অ্যাকাউন্ট জুড়ে স্প্রে করা একটি পাসওয়ার্ড, এবং নীতি-সচেতন দলগুলি এটিকে একটি পাশবিক বল ব্লার করার পরিবর্তে নিজস্ব (শান্ত) পদ্ধতি হিসাবে লেখে।
MFA সঙ্গে আধুনিক লক্ষ্য সম্পর্কে কি?
হাইড্রা সামনের ফ্যাক্টর পরীক্ষা করে; MFA, kerberos, বা স্মার্ট auth ফ্লো এর পিছনে যেকোন কিছুর জন্য আলাদা পদ্ধতি এবং সম্পূর্ণ আলাদা টুলের প্রয়োজন।
ওপেন সোর্স সিকিউরিটি টুলস নিয়ে Kinetikatech কীভাবে সাহায্য করে
ব্যবসাটা সহজ: টেস্টিং টুলবক্স পেশাদাররা আসলে লোড রাখে: স্ক্যানার, স্নিফার, ক্র্যাকার, এবং ওয়েব প্রক্সিগুলি কীভাবে বাস্তব ব্যস্ততায় ব্যবহার করা হয় তা ব্যাখ্যা করে — কমান্ড, পতাকা, আউটপুট এবং যেখানে প্রতিটি একটি পদ্ধতিতে বসে। এটা আমাদের পেনিট্রেশন টেস্টিং and Linux সার্ভার নিরাপত্তা সেবার হাতে দিন। ঠিকভাবে মূল্যায়ন হবে, পরিষ্কারভাবে বাস্তবায়ন হবে, আর দিনে-রাতে নজরদারিতে থাকবে।