Úvod
Seznamy slov jsou klíčovou součástí útoků na hesla hrubou silou. Pro čtenáře, kteří nejsou obeznámeni, je útok heslem hrubou silou útok, při kterém se útočník pomocí skriptu opakovaně pokouší přihlásit k účtu, dokud neobdrží kladný výsledek. Útoky hrubou silou jsou poměrně zjevné a mohou způsobit, že správně nakonfigurovaný server zablokuje útočníka nebo jeho IP adresu.
To je smyslem testování bezpečnosti přihlašovacích systémů tímto způsobem. Váš server by měl zakázat útočníkům, kteří se o tyto útoky pokoušejí, a měl by hlásit zvýšený provoz. Na straně uživatele by hesla měla být bezpečnější. Je důležité porozumět tomu, jak se útok provádí, abyste vytvořili a prosadili zásady silného hesla.
Kali Linux přichází s výkonným nástrojem pro vytváření seznamů slov libovolné délky. Je to jednoduchý nástroj příkazového řádku s názvem Crunch. Má jednoduchou syntaxi a lze ji snadno upravit tak, aby vyhovovala vašim potřebám. Pozor, tyto seznamy mohou být velmi velký a může snadno zaplnit celý pevný disk.
Generování seznamu
Chcete-li začít, otevřete terminál. Crunch je již nainstalován a připraven ke spuštění na Kali, takže jej můžete pouze spustit. U prvního seznamu začněte něčím malým, jako je ten níže.
# crunch 1 3 0123456789
Dobře, takže řádek výše vytvoří seznam všech možných kombinací čísel nula až devět s jednou, dvěma a třemi znaky. Pro zopakování, první číslo je nejmenší kombinace znaků. V tomto případě se jedná o jeden znak. To je trochu nerealistické, protože nikdo by neměl mít jednoznakové heslo a žádný web by to neměl umožňovat.
Druhé číslo je nejdelší kombinací znaků. Tentokrát jsou to tři. Crunch tedy vygeneruje všechny možné kombinace tří poskytnutých znaků.
V poslední části je seznam všech postav, které Crunch použije k vytváření kombinací. Tento seznam je relativně malý, takže ho klidně spusťte, ale jakmile začnete přidávat další znaky nebo zvětšovat maximální velikost kombinace, celková velikost seznamu exploduje.
Výše uvedený scénář není tak realistický, i když může být použit na kombinaci pinů k odemknutí telefonu nebo něčeho podobného. Realističtější seznam lze vygenerovat pomocí následujícího linuxového příkazu.
# crunch 3 5 0123456789abcdefghijklmnopqrstuvwxyz
Tento příkaz vygeneruje všechny možné kombinace tří, čtyř a pěti znaků čísel nula až devět a abecedy pomocí malých písmen. I když vygenerovaná hesla budou krátká, seznam bude naprosto masivní.
Nyní, pokud jste měli hardware a zdroje, abyste se skutečně pokusili otestovat zabezpečení hesel, můžete spustit něco jako příkaz níže.
# crunch 3 10 0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ
POZOR! Nesnažte se to spustit. Vygeneruje soubor, který snadno zaplní celý pevný disk a s běžným hardwarem bude prakticky nepoužitelný. Pokud by jej však někdo dokázal použít, mohl by otestovat každé heslo s každou kombinací tří až deseti znaků s použitím všech čísel a malých i velkých písmen.
Zachycení výstupu
To, co jste dosud viděli, je pouze výstup čísel na obrazovku. To zjevně není příliš užitečné. Koneckonců, měli byste generovat textový soubor pro použití s jiným programem. Crunch jako vestavěný příznak pro generování výstupu ve formě textového souboru.
# crunch 3 5 0123456789abcdefghijklmnopqrstuvwxyz -o Documents/pass.txt
Stačí přidat -o příznakem a určením cíle, můžete vytvořit svůj seznam slov ve formě správně naformátovaného textového souboru.
Existuje však jiný způsob, jak to zvládnout. Řekněme, že již máte dobrý seznam slov s oblíbenými špatnými hesly. Ve skutečnosti je jeden nainstalován na Kali ve výchozím nastavení na /usr/share/wordlists s názvem rockyou.txt . Stačí to dekomprimovat. Co kdybyste chtěli přidat svůj vygenerovaný seznam slov do rockyou.txt? otestovat další možnosti v jednom záběru. Můžeš. Stačí přesměrovat výstup Crunch do souboru.
# crunch 3 5 0123456789abcdefghijklmnopqrstuvwxyz >> /usr/share/wordlists/rockyou.txt
Soubor bude velmi velký, takže se ujistěte, že máte místo a skutečně chcete vyzkoušet tolik možností.
Uzavření Toughts
Není moc co jiného říct. Crunch je vynikající nástroj pro vytváření seznamů slov. Jako každý bezpečnostní nástroj by měl být používán inteligentně a s rozvahou. V případě skutečně špatná hesla, může Crunch rychle vytvořit krátký seznam pro testování jiných programů, jako je Hydra. Budoucí průvodci prozkoumají další nástroje, které mohou používat seznamy slov vytvořené Crunchem k testování zranitelných hesel.