Нам обязательно необходимо конкретное доказательство того, что наш онлайн-бизнес устойчив к различным видам кибератак, особенно к атакам методом брута.
Что такое брутфорс атака?
Атака типа брутфорса – одна из самых опасных кибератак!
Атака методом перебора, как правило нацелена на сердце вашего веб-сайта или безопасность вашего устройства,а именно пароль для входа или ключи шифрования.
В ней используется непрерывный метод проб и ошибок.
Способы атаки методом перебора различаются, в основном следующими типами:
- Гибридные атаки методом перебора: попытка или отправка тысяч ожидаемых и слов из словаря или даже случайных слов.
- Обратный перебор: попытка получить ключ для получения пароля с помощью исследований.
Зачем нужны инструменты для тестирования на проникновение?
Злоумышленники используют различные инструменты для достижения этой цели.
Эти инструменты перебора могут быть использованы для проникновения.
Это тестирование также называется «пентестинг» или «пентест».
Тест на проникновение – это попытка взломать ваши собственные ИТ-системы, используя те же методы, что и хакеры.
Это позволяет выявлять любые дыры в безопасности.
Примечание: следующие инструменты могут генерировать большое количество запросов, которые вы должны выполнять только в отношении среды вашего приложения.
Gobuster
Gobuster – один из самых мощных и быстрых инструментов брута, не требующий рантайма.
Он использует сканер каталогов, запрограммированный на языке Go, он быстрее и гибче, чем интерпретируемый скрипт.
Функции
- Gobuster также известен своей потрясающей поддержкой параллелизма, которая позволяет ему обрабатывать несколько задач и расширений, сохраняя при этом скорость обработки.
- Легкий инструмент без графического интерфейса работает только в командной строке на многих платформах.
- Встроенная справка
Режимы
- dir – классический режим каталогов
- dns – режим поддоменов DNS
- s3 – позволяет перечислить открытые сегменты S3
- vhost – режим виртуального хоста
Однако он страдает одной ошибкой, а именно плохой реализацией рекурсивного поиска в каталогах, что снижает его эффективность для многоуровневых каталогов.
Более подробно:
👨🦳 Сканирование сайтов на наличие интересных каталогов и файлов с помощью Gobuster
BruteX
BruteX – отличный универсальный инструмент с открытым исходным кодом для брутфорса.
- Открытые порты
- Имена пользователей
- Пароли
- Использует возможность систематически отправлять огромное количество возможных паролей.
Он включает в себя множество сервисов, собранных из некоторых других инструментов, таких как Nmap, Hydra и DNS enum.
Он позволяет сканировать открытые порты, переборать пароли FTP,SSH и автоматически определять работающую службу целевого сервера.
Ранее был рассмотрен:
Dirsearch
Dirsearch – это продвинутый инструмент командной строки длая брута строке.
Это сканер веб-путей, который может перебирать каталоги и файлы на веб-серверах.
Dirsearch недавно стал частью официальных пакетов Kali Linux, но он также работает в Windows, Linux и macOS.
Он написан на Python, чтобы быть легко совместимым с существующими проектами и скриптами.
Кроме того, он намного быстрее, чем традиционный инструмент DIRB, и содержит гораздо больше функций.
Более подробно об этом инструменте:
Callow
Callow – это удобный и настраиваемый инструмент брутфорса входа в систему.
Написан на python 3.
Он предоставляет гибкие пользовательские эксперименты для легкой обработки ошибок, особенно для начинающих, чтобы легко и интуитивно понять его работу.
SSB
Secure Shell Bruteforcer (SSB) – один из самых быстрых и простых инструментов, когда дело доходит до брута SSH-серверов.
Thc-Hydra
Hydra – один из самых известных инструментов для взлома логинов, который используется на Linux или Windows/Cygwin.
Установленная по умолчанию в Kali Linux, Hydra имеет как командную строку, так и графическую версию.
Он может взломать один или список имен пользователей/паролей методом перебора.
Более подробно:
Burp Suite
Burp Suite Professional – важный набор инструментов для тестировщиков веб-безопасности, он обладает быстрыми и надежными функциями.
А также может автоматизировать монотонные задачи тестирования.
Многие эксперты используют его при тестировании десяти основных уязвимостей OWASP.
Он может тестировать / сканировать многофункциональные современные веб-приложения, JavaScript, API.
Подробнее:
Patator
Он поддерживает множество модулей, включая следующие:
- FTP
- SSH
- MySQL
- SMTP
- Telnet
- DNS
- SMB
- IMAP
- LDAP
- rlogin
- Zip files
- Файлы Java keystore
Pydictor
Pydictor – еще один отличный инструмент для взлома по словарю.
Что касается длинных тестов и проверок надежности паролей, они могут удивить как новичков, так и профессионалов.
Это инструмент, который злоумышленники не могут не оставить в своем арсенале.
Кроме того, у него есть множество функций, которые позволяют вам по-настоящему добиться высокой производительности в любой тестовой ситуации.
- Постоянный помощник: позволяет создавать общий список слов, список слов социальной инженерии, специальный список слов, используя веб-контент и т.д.
- Широкие возможности настройки: вы можете настроить атрибуты списка слов в соответствии с вашими потребностями, используя фильтр по длине, режим leet и другие функции.
- Гибкость и совместимость: он может анализировать файл конфигурации и без проблем работать на Windows, Linux или Mac.
Ncrack
Ncrack – это своего рода инструмент для взлома сети с высокой производительностью.
Он разработан для компаний, которые желают проверить свои сетевые устройства на наличие ненадежных паролей.
Многие специалисты по безопасности рекомендуют использовать Ncrack для аудита безопасности сетей.
Он был выпущен как отдельный инструмент и предустановлен в Kali Linux.
Hashcat
Он может работать на Linux, OS X и Windows и поддерживаает многие хэш алгоритмы, такие как MD4, MD5, семейство SHA, хэши LM и форматы Unix Crypt.
У Hashcat есть два варианта:
- Инструмент восстановления пароля на базе процессора
- Инструмент восстановления пароля на базе графического процессора
Заключение
Нет никаких оснований полагать, что нет разнообразия в альтернативах.
В одних случаях самые простые инструменты оказываются лучшими, в других – наоборот.
¯\_(ツ)_/¯
Примечание: Информация для исследования, обучения или проведения аудита. Применение в корыстных целях карается законодательством РФ.
