Инструменты безопасности с открытым исходным кодом
THC-Hydra: грубая сила в протоколах
Hydra — это перебор протоколов: проверка имени пользователя и пароля на SSH, FTP, HTTP-формы, RDP и десятки других сервисов из одной командной строки. В методологии он находится на этапе доступа с учетными данными, когда у вас есть доступ к сервису (от Nmap) и гипотеза о слабых паролях, и Hydra проверяет эту гипотезу на скорости, свойственной протоколу. Его достоинство — широта; его опасность ровно такой же широты, потому что каждый сервис, которого он касается, регистрирует сбои и блокирует некоторые учетные записи.
Главное
- Прочтите синтаксис один раз, и он станет вашим: гидра -l пользователь -P passlist.txt ssh://10.0.0.5 — -l или -L для имен пользователей, -p или -P для паролей, service://host:port.
- Веб-формам нужны параметры: http-post-form с путем, строкой ошибки (фильтр входа) и параметрами; чтение формы через Burp — это профессиональный шаг.
- Потоки (-t) — это торговля: чем больше потоков выполняются быстрее, тем быстрее отключаются блокировки; SSH с -t 4 вежлив, где -t 16 страниц SOC, и решает политика блокировки, а не нетерпение.
- Сопоставьте списки слов с областью действия: rockyou.txt подходит для лабораторных ящиков, производственные домены заслуживают настраиваемых списков, созданных на основе шаблонов именования клиента.
- Выберите протоколы, в которых Hydra действительно хороша, FTP через RDP, и оставьте современные потоки, защищенные Kerberos или MFA, инструментам, созданным для них.
- Условия остановки имеют значение: для обнаружения вторых учетных данных не требуется десятая тысячная попытка, и -F или ваша собственная оболочка решает, когда она закончится.
- Этика здесь конкретна, а не абстрактна: грубая сила против системы, которую вы не обязаны тестировать, сама по себе является попыткой несанкционированного доступа (преступлением в большинстве юрисдикций), и даже авторизованные запуски требуют согласованных тарифов, окон и номера телефона, чтобы остановить.
- Профессиональный результат — это контролируемый результат: одна или две проверенные учетные записи, достаточные для демонстрации слабости, имена, отредактированные для каждого контракта, и парадокс блокировки, задокументированный как следующее исправление клиента.
Заметка из практики
Политика блокировки — это первое, о чем я прошу сейчас, как узнал во второй половине дня, 16-поточный запуск SSH отправил сообщение в службу поддержки клиента и заморозил сорок учетных записей смены. Медленность хороша для Гидры — это все еще доказывает это.
Частые вопросы
Гидра против Медузы против Нкрака?
Одна и та же группа должностей, разное покрытие протоколов и поведение: благодаря широте охвата Hydra она остается по умолчанию, Medusa и Ncrack получают места в определенных наборах протоколов.
Заблокирует ли это учетные записи?
Часто, и это вопрос планирования боевых действий, а не настройки инструментов: согласованное количество попыток и переговоры о терпимости к локауту происходят до первого выстрела.
Распыление пароля — это одно и то же?
Нет: распыление — это один пароль для многих учетных записей, разбросанных по времени, и команды, осведомленные о политике, пишут его как отдельный (более тихий) метод, а не как размытие методом грубой силы.
А как насчет современных целей с МФА?
Гидра проверяет передний фактор; все, что стоит за MFA, Kerberos или интеллектуальными потоками аутентификации, требует совершенно другой методологии и других инструментов.
Как мы берём на себя инструменты безопасности с открытым исходным кодом
Это то, чем мы занимаемся каждый день: Профессионалы по инструментам тестирования на самом деле продолжают работать: сканеры, снифферы, взломщики и веб-прокси объясняют, как они используются в реальных заданиях — команды, флаги, выходные данные и место каждого из них в методологии. Наша услуга Тесты на проникновение и Безопасность серверов Linux закрывает задачу целиком — оценка, внедрение, круглосуточный мониторинг и экстренная реакция в течение 30 минут.