Для ИТ-системы вашей компании вам нужны конкретные доказательства того, что ваш онлайн-бизнес устойчив к различным типам кибератак, особенно к атакам методом грубой силы.
Содержание
Что такое атака методом грубой силы?
Атака грубой силы — одна из самых опасных кибератак, противостоять которой вы, возможно, не сможете! Атака грубой силы нацелена на сердце вашего веб-сайта или безопасность вашего устройства, пароль для входа или ключи шифрования. Он использует непрерывный метод проб и ошибок, чтобы решительно исследовать их.
Методы брутфорс-атак различаются, в основном, в:
- Гибридные атаки грубой силы: попробуйте или отправьте тысячи ожидаемых и словарных слов или даже случайных слов.
- Атаки с обратным перебором: попытка получить ключ для получения пароля с помощью исчерпывающего исследования.
Зачем нужны инструменты для тестирования на проникновение?
Злоумышленники грубой силы используют различные инструменты для достижения этой цели. Вы можете использовать эти инструменты атаки грубой силы для проникновения. Это тестирование также называется «пентестинг» или «пен-тестирование».
Тест на проникновение — это попытка взломать ваши собственные ИТ-системы так же, как это делают хакеры. Это позволяет выявить любые дыры в безопасности.
Примечание. Следующие инструменты могут генерировать множество запросов, которые вам нужно выполнять только в зависимости от среды вашего приложения.
Гобастер
Gobuster — один из самых мощных и быстрых инструментов грубой силы, не требующий времени выполнения. Он использует сканер каталогов, запрограммированный на языке Go; это быстрее и гибче, чем интерпретируемый скрипт.
Характеристики
- Gobuster также известен своей невероятной поддержкой параллелизма, которая позволяет ему обрабатывать несколько задач и расширений при сохранении скорости обработки.
- Легкий инструмент без графического интерфейса Java, который работает только в командной строке на многих платформах.
- Встроенная помощь
Режимы
- dir — классический режим каталога
- dns — режим поддомена DNS
- s3 — перечислить открытые корзины S3 и найти существование и списки корзин.
- vhost — режим виртуального хоста
Однако он страдает одним недостатком, скудостью рекурсивного поиска в каталогах, что снижает его эффективность для нескольких уровней каталогов.
Брутекс
BruteX — это отличный инструмент «все-в-одном» на основе оболочки и с открытым исходным кодом для всех ваших потребностей в подсчете очков.
- Откройте порты
- Имена пользователей
- Пароли
Он использует возможности для систематической отправки огромного количества возможных паролей.
Он включает в себя множество сервисов, собранных из некоторых других инструментов, таких как перечисление Nmap, Hydra и DNS. Это позволяет сканировать открытые порты, перебирать FTP, SSH и автоматически определять запущенную службу целевого сервера.
Дирсерч
Dirsearch — это продвинутый инструмент грубой силы, основанный на командной строке. Это также известный как сканер веб-путей, который может выполнять перебор каталогов и файлов на веб-серверах.
Dirsearch недавно стал частью официальных пакетов Kali Linux, но также работает в Windows, Linux и macOS. Он написан на Python, чтобы быть легко совместимым с существующими проектами и сценариями.
Он также намного быстрее, чем традиционный инструмент DIRB, и содержит гораздо больше функций.
- Поддержка прокси
- Многопоточность
- Случайное использование пользовательского агента
- Поддержка нескольких расширений
- Сканер арена
- Запросить отсрочку
Для рекурсивного сканирования Dirsearch является победителем. Он возвращается и ползает в поисках дополнительных каталогов. Помимо скорости и простоты, это одна из лучших комнат для перебора для любого пентестера.
Каллов
Callov — это удобный и настраиваемый инструмент для грубого входа в систему. Написан на Python 3. Он предназначен для удовлетворения потребностей и обстоятельств начинающих.
Предусмотрены гибкие пользовательские эксперименты для простой обработки ошибок, особенно для новичков, которые легко понимают и понимают интуитивно.
SSB
Secure Shell Bruteforcer (SSB) — один из самых быстрых и простых инструментов для взлома SSH-серверов.
Использование безопасной оболочки SSB дает вам правильный интерфейс, в отличие от других инструментов для взлома паролей SSH-сервера.
Thc-Hydra
Hydra — один из самых известных инструментов для взлома входа в систему, используемый как в Linux, так и в Windows/Cygwin. Кроме того, для Solaris, FreeBSD/OpenBSD, KNX (Blackberry 10) и macOS. Он поддерживает множество протоколов, таких как AFP, HTTP-FORM-GET, HTTP-GET, HTTP-FORM-POST, HTTP-HEAD, HTTP-PROXY и многие другие.
Установленная по умолчанию в Kali Linux, Hydra разработана как с командной строкой, так и с графической версией. Может взломать один или список логинов/паролей методом грубой силы.
Также это параллельный, очень быстрый и гибкий инструмент, позволяющий удаленно определить возможность несанкционированного доступа к вашей системе.
Некоторые другие инструменты для взлома входа используются для той же функции, но только Hydra поддерживает множество различных протоколов и параллельных соединений.
Люкс «Отрыжка»
Burp Suite Professional — это необходимый набор инструментов для тестировщиков веб-безопасности, который обладает быстрыми и надежными функциями. Он также может автоматизировать монотонные задачи тестирования. Кроме того, он разработан с экспертными функциями ручного и полуавтоматического тестирования безопасности. Многие эксперты используют его при тестировании первой десятки уязвимостей OVASP.
Burp предлагает множество уникальных функций, от увеличения охвата сканирования до адаптации к темному режиму. Может тестировать/сканировать современные многофункциональные веб-приложения, JavaScript, тестировать API.
Это инструмент, предназначенный именно для тестирования сервисов, а не для взлома, как многие другие. Таким образом, он фиксирует сложные последовательности аутентификации и составляет отчеты для непосредственного использования и совместного использования конечными пользователями.
Он также имеет то преимущество, что проводит внеполосное тестирование безопасности приложений (OAST), которое выявляет многие невидимые уязвимости, недоступные другим. Более того, он первым выиграет от использования PortSwigger Research, ставя вас на шаг впереди.
Пататор
Patator — это инструмент грубой силы для многоцелевого и гибкого использования в рамках модульной конструкции. Это происходит из-за рефлекторного расстройства при использовании некоторых других инструментов и сценариев для атаки на пароли. Пататор выбирает новый подход, чтобы не повторять старых ошибок.
Написанный на Python, Patator представляет собой многопоточный инструмент, который предназначен для тестирования на проникновение более гибким и надежным способом, чем его предшественники. Он поддерживает множество модулей, в том числе следующие.
- FTP
- SSH
- MySQL
- SMTP
- Телнет
- DNS
- малый и средний бизнес
- IMAP
- LDAP
- rлогин
- ZIP-файлы
- Файлы хранилища ключей Java
Пидиктор
Pidictor — еще один отличный инструмент для взлома словарей. Когда дело доходит до длительных тестов на надежность и надежность пароля, это может сбить с толку как новичков, так и профессионалов. Это инструмент, который злоумышленники не могут себе позволить. Кроме того, он имеет множество функций, которые позволяют вам наслаждаться действительно высокой производительностью в любой ситуации тестирования.
- Постоянный помощник: позволяет создавать общий список слов, список слов социальной инженерии, специальный список слов с использованием веб-контента и т. д. Кроме того, он включает фильтр, который поможет сфокусировать ваш список слов.
- Широкие возможности настройки: вы можете настроить атрибуты списка слов в соответствии с вашими потребностями, используя фильтры по длине, режиму работы и другим функциям.
- Гибкость и совместимость: он может анализировать файл конфигурации с возможностью бесперебойной работы в Windows, Linux или Mac.
Пидикторные словари
- Числовой словарь
- Алфавитные словари
- Словарь заглавных букв
- Число в сочетании с прописными буквами алфавита
- Заглавные буквы в сочетании со строчными буквами алфавита
- Цифры в сочетании со строчными буквами алфавита
- Сочетание заглавных букв, строчных букв и цифр
- Добавление статического заголовка
- Управление фильтром сложности словаря
Нкрэк
Ncrack — это своего рода инструмент для взлома сети с высокой производительностью. Он предназначен для компаний, чтобы помочь им проверить свои сетевые устройства на наличие слабых паролей. Многие специалисты по безопасности рекомендуют использовать Ncrack для аудита сетевой безопасности системы. Он выпускается как отдельный инструмент или как часть Kali Linux.
Благодаря модульному подходу и динамическому движку Ncrack, разработанный с помощью командной строки, может адаптировать свое поведение в соответствии с обратной связью сети. И он может выполнять надежный широкий аудит для нескольких хостов одновременно.
Возможности Ncrack не ограничиваются гибким интерфейсом, а предоставляют пользователю полный контроль над сетевыми операциями. Он позволяет проводить невероятно изощренные атаки грубой силы, взаимодействие во время выполнения и шаблоны во время выполнения для простоты использования, такие как Nmap.
Поддерживаемые протоколы включают SSH, RDP, FTP, Telnet, HTTP(S), WordPress, POP3(S), IMAP, CVS, SMB, VNC, SIP, Redis, PostgreSQL, MKTT, MySQL, MSSKL, MongoDB, Cassandra, WinRM, OVA. и DICOM, что делает его пригодным для широкого круга отраслей.
Хэшкэт
Hashcat — инструмент для восстановления пароля. Он может работать в Linux, OS X и Windows и поддерживает множество алгоритмов Hashcat, которые поддерживают hashcat, такие как MD4, MD5, семейство SHA, хэши LM и форматы Unix Crypt.
Hashcat стал известен, потому что его оптимизация частично зависит от программного обеспечения, обнаруженного создателем Hashcat.
Hashcat имеет два варианта:
- Инструмент восстановления пароля на основе процессора
- Инструмент для восстановления пароля на основе графического процессора
Инструмент GPU может взломать некоторые устаревшие hashcat за меньшее время, чем инструмент CPU (MD5, SHA1 и другие). Но не каждый алгоритм можно взломать быстрее с помощью графического процессора. Тем не менее, Hashcat был назван самым быстрым взломщиком паролей в мире.
Заключение
После этого подробного показа у вас есть разнообразный арсенал сменных инструментов. Выберите то, что лучше всего подходит для вас в каждой ситуации и обстоятельствах, с которыми вы сталкиваетесь. Нет оснований полагать, что в альтернативах нет разнообразия. В одних случаях самые простые инструменты самые лучшие, а в других наоборот.
Затем изучите некоторые из инструментов судебно-медицинской экспертизы.
