For å sikre IT-systemene i din bedrift, er det avgjørende å ha solide bevis på at din online virksomhet er robust mot diverse cyberangrep, spesielt de som bruker brute-force metoder.
Hva innebærer et brute-force angrep?
Et brute-force angrep representerer en betydelig trussel, der en angriper systematisk forsøker å knekke sikkerheten til ditt nettsted eller enhet. Dette gjøres typisk ved å prøve et stort antall kombinasjoner av påloggingspassord eller krypteringsnøkler, ved hjelp av en vedvarende prøv-og-feil metode.
Brute-force angrep kan anta ulike former, blant annet:
- Hybride angrep: Her forsøkes et bredt spekter av passord, fra vanlige ord og ordbokoppslag til tilfeldig genererte kombinasjoner.
- Omvendte angrep: I denne varianten prøver angriperen å avdekke det underliggende passordet ved å systematisk undersøke mulige ledetråder.
Hvorfor er penetrasjonstestingsverktøy nødvendige?
Angripere benytter seg av forskjellige verktøy for å gjennomføre brute-force angrep. Det samme utstyret kan brukes av deg for penetrasjonstesting, også kjent som «pentesting».
Penetrasjonstesting er prosessen der du simulerer et hackerangrep på dine egne IT-systemer. Hensikten er å identifisere sårbarheter før en ekte angriper gjør det.
Viktig: Verktøyene nevnt nedenfor kan generere et stort antall forespørsler. Det er derfor viktig at du kun bruker disse mot testmiljøer.
Gobuster
Gobuster er et effektivt og raskt brute-force verktøy som ikke krever et runtime miljø. Det er en katalogskanner som er utviklet i programmeringsspråket Go, noe som gjør den raskere og mer fleksibel enn skript som tolkes.
Funksjoner:
- Gobuster er kjent for sin samtidighetshåndtering, noe som gir raskere ytelse selv ved håndtering av mange oppgaver.
- Verktøyet er lett og fungerer via kommandolinjen på flere plattformer uten behov for en Java GUI.
- Innebygd hjelpefunksjon for enkel bruk.
Modi:
dir: Standard katalogmodus.dns: DNS subdomene modus.s3: Opplisting av åpne S3 bøtter.vhost: Virtuell vert modus.
En ulempe ved Gobuster er dens begrensede evne til rekursiv katalogskanning, noe som kan redusere effektiviteten i komplekse katalogstrukturer.
BruteX
BruteX er et allsidig, åpen kildekode verktøy som baserer seg på et shell. Verktøyet kan håndtere en rekke brute-force behov, som:
- Åpne porter
- Brukernavn
- Passord
BruteX kan systematisk prøve et stort antall potensielle passord.
Verktøyet inkluderer flere tjenester hentet fra andre verktøy som Nmap og Hydra, noe som muliggjør portskanning, brute-force angrep på FTP og SSH, og automatisk deteksjon av tjenester som kjører på målserveren.
Dirsearch
Dirsearch er et avansert kommandolinjebasert verktøy for brute-force. Det er også kjent som en webbane skanner og brukes for å avdekke kataloger og filer på webservere.
Dirsearch er nå en del av de offisielle Kali Linux pakkene, men fungerer også på Windows, Linux og macOS. Det er utviklet i Python, noe som gjør det kompatibelt med eksisterende prosjekter og skript.
Dirsearch er raskere enn det tradisjonelle DIRB-verktøyet og har flere funksjoner:
- Proxy støtte
- Multithreading
- Tilfeldig bruker-agent
- Støtte for flere utvidelser
- Skann arena
- Forsinkelse mellom forespørsler
Dirsearch er spesielt effektiv for rekursiv skanning, der den grundig utforsker katalogstrukturer. Med sin kombinasjon av hastighet og enkelhet, er Dirsearch et nyttig verktøy for enhver pentester.
Callow
Callow er et brukervennlig og tilpassbart brute-force verktøy for pålogging, utviklet i Python 3. Det er designet for å møte behovene til nybegynnere og gir fleksibilitet for feilhåndtering, noe som gjør det enkelt å bruke og forstå.
SSB
Secure Shell Bruteforcer (SSB) er et raskt og enkelt verktøy for å utføre brute-force angrep mot SSH-servere.
SSB tilbyr et brukervennlig grensesnitt for SSH-passordknekking, i motsetning til mange andre verktøy som tilbyr et mer direkte angrepsfokus.
Thc-Hydra
Hydra er et anerkjent verktøy for påloggingsforsøk som fungerer på Linux, Windows/Cygwin, Solaris, FreeBSD/OpenBSD, QNX (Blackberry 10) og macOS. Det støtter en rekke protokoller, inkludert AFP, HTTP-FORM-GET, HTTP-GET, HTTP-FORM-POST, HTTP-HEAD og HTTP-PROXY.
Hydra, som er forhåndsinstallert i Kali Linux, har både et kommandolinje- og grafisk grensesnitt. Det kan utføre brute-force angrep mot enkelte brukernavn/passord eller lister av disse.
Hydra er parallelisert, noe som gjør det til et raskt og fleksibelt verktøy for å teste uautorisert ekstern tilgang til systemer. Selv om andre verktøy tilbyr lignende funksjoner, skiller Hydra seg ut med støtte for mange forskjellige protokoller og parallelle tilkoblinger.
Burp Suite
Burp Suite Professional er et essensielt verktøysett for nettsikkerhetstestere med raske og pålitelige funksjoner. Verktøyet kan automatisere gjentakende testoppgaver og er utformet for både manuelle og halvautomatiske sikkerhetstester. Det er et populært verktøy for å teste sårbarheter i henhold til OWASP Top Ten.
Burp tilbyr en rekke funksjoner, fra økt skannedekning til tilpasning av mørk modus. Det kan teste moderne webapplikasjoner, JavaScript og APIer. I motsetning til mange andre verktøy som er beregnet for hacking, er Burp primært designet for testing av tjenester. Det kan registrere komplekse autentiseringssekvenser og generere rapporter for direkte bruk og deling.
Burp tilbyr også muligheten for out-of-band applikasjonssikkerhetstesting (OAST), som kan avdekke sårbarheter som andre verktøy ikke finner. I tillegg er Burp Suite utviklet ved bruk av PortSwigger Research sin ekspertise.
Patator
Patator er et allsidig brute-force verktøy med en modulær struktur, utviklet som en reaksjon på frustrasjonen over manglene ved tidligere verktøy. Patator skiller seg ut med en mer moderne tilnærming for å unngå gjentakelse av gamle problemer.
Patator er utviklet i Python og er et multithreaded verktøy som er rettet mot penetrasjonstesting. Det er mer fleksibelt og pålitelig enn sine forgjengere og støtter flere moduler, inkludert:
- FTP
- SSH
- MySQL
- SMTP
- Telnet
- DNS
- SMB
- IMAP
- LDAP
- rlogin
- Zip-filer
- Java Keystore-filer
Pydictor
Pydictor er et kraftig verktøy for ordbokbaserte angrep. Det er nyttig både for nybegynnere og profesjonelle i lengre tester for passordstyrke. Verktøyet har et stort utvalg av funksjoner som gir sterk ytelse i alle testsituasjoner.
Funksjoner:
- Permanent assistent: Gir mulighet for å lage generelle, sosial engineering og spesifikke ordlister ved hjelp av nettbasert innhold, samt et filter for å fokusere ordlisten.
- Svært tilpassbart: Lar deg tilpasse attributtene til ordlisten ved hjelp av lengde, leet-modus og flere funksjoner.
- Fleksibilitet og kompatibilitet: Kan analysere konfigurasjonsfiler og fungerer på Windows, Linux og Mac.
Pydictor ordbøker:
- Numerisk ordbok
- Alfabetisk ordbok
- Ordbok for store bokstaver
- Numerisk kombinert med store bokstaver
- Store bokstaver kombinert med små bokstaver
- Tall kombinert med små bokstaver
- Kombinasjon av store, små bokstaver og tall
- Legge til statisk header
- Manipulere ordlistefiltre
Ncrack
Ncrack er et høyhastighets nettverkskrakker-verktøy. Det er utviklet for bedrifter for å teste nettverksenheter for svake passord. Mange sikkerhetseksperter anbefaler Ncrack for å revidere sikkerheten til systemnettverk. Det er tilgjengelig som et selvstendig verktøy eller som en del av Kali Linux.
Med en modulær og dynamisk motor kan Ncrack via kommandolinjen tilpasse sin oppførsel i henhold til nettverkstilbakemeldinger. Det kan utføre pålitelige revisjoner på flere verter samtidig.
Ncracks funksjoner inkluderer et fleksibelt grensesnitt som gir kontroll over nettverksoperasjoner, sofistikerte brute-force angrep, runtime-interaksjon og timing-maler, som ligner på Nmap.
Protokoller som støttes inkluderer: SSH, RDP, FTP, Telnet, HTTP(S), WordPress, POP3(S), IMAP, CVS, SMB, VNC, SIP, Redis, PostgreSQL, MQTT, MySQL, MSSQL, MongoDB, Cassandra, WinRM, OWA og DICOM, noe som gjør det egnet for et bredt spekter av bransjer.
Hashcat
Hashcat er et verktøy for passordgjenoppretting som fungerer på Linux, OS X og Windows. Det støtter flere algoritmer, som MD4, MD5, SHA-familien, LM-hasher og Unix Crypt-formater.
Hashcat er kjent for sine optimaliseringer, delvis basert på funn gjort av utviklerne. Hashcat finnes i to varianter:
- CPU-basert passordgjenopprettingsverktøy
- GPU-basert passordgjenopprettingsverktøy
GPU-verktøyet kan knekke hashcat-arv raskere enn CPU-verktøyet (MD5, SHA1 osv.). Det er imidlertid ikke alle algoritmer som knekkes raskere av GPUer. Hashcat er ansett som den raskeste passordknekkeren i verden.
Konklusjon
Med dette arsenalet av verktøy, har du et godt utgangspunkt for å velge den beste tilnærmingen i ulike situasjoner. Det finnes mange alternativer å velge fra. Noen ganger er de enkleste verktøyene best, mens andre ganger er det motsatte tilfelle.
Du bør også undersøke verktøy for digital etterforskning for å sikre dine systemer ytterligere.