Force brute contre les services SSH et FTP

Ce tutoriel Linux explique comment exécuter des attaques de force brute contre les services SSH et FTP.

Après avoir lu cet article, vous comprendrez comment fonctionnent les attaques de force brute et comment les exécuter facilement avec différentes techniques et outils, y compris THC-hydra et méduse.

Toutes les instructions décrites dans ce tutoriel incluent des captures d'écran pour chaque étape, ce qui facilite la compréhension de tout utilisateur de Linux et les suivez indépendamment du niveau d'expérience.

Une brève introduction aux attaques de force brute

La force brute est parmi les plus anciennes techniques de piratage. C'est également l'une des attaques automatisées les plus simples nécessitant des connaissances et une intervention minimales par l'attaquant.

Brute Force Attack se compose de plusieurs tentatives de connexion en utilisant une base de données de noms d'utilisateur et de mots de passe possibles jusqu'à la correspondance.

Ce type d'attaque peut être évité en interdisant aux utilisateurs de plus de x nombre de tentatives par minute. Habituellement, lors de cette attaque, l'attaquant connaît déjà le nom d'utilisateur. Dans ce tutoriel, nous supposerons que nous connaissons le nom d'utilisateur; Nous allons casser un mot de passe racine en utilisant différents outils.

Obtenir le dictionnaire approprié pour mener une attaque par force brute

Les attaques de force brute ont considérablement évolué. Au début, les pirates étaient limités aux listes de mots contenant un million de noms d'utilisateur et de mots de passe pour les tentatives de connexion. Cette méthode est toujours valide et largement utilisée. Mais, à l'époque actuelle, nous pouvons également générer des listes de mots ou des combinaisons à la volée.

Ce tutoriel se concentre sur les attaques de force brute en utilisant des listes de mots.

Vous pouvez trouver des listes de mots / attaques de dictionnaire sur les sites suivants:

• Le catalogue de listes de mots hack aujourd'hui
• Dictionnaires de mot de passe par SkullSecurity

Installation du THC-hydra pour fissurer SSH et FTP

La première section de ce tutoriel se concentre sur THC-hydra (la deuxième section est axée sur la méduse).

Thc-hydra est l'un des outils de forçage brute les plus populaires. Il vient par défaut avec Kali Linux et est inclus dans les référentiels officiels de nombreux distributions Linux.

À installer Thc-hydra Sur Debian ou ses distributions basées sur Linux, exécutez la commande suivante:

sudo apt installer thc-hydra -y

Pour installer THC-Hydra sur CentOS, exécutez la commande suivante:

sudo yum -y installer thc-hydra

Pour installer THC-Hydra sur Fedora Linux, exécutez la commande suivante:

sudo dnf -y installer thc-hydra

Exécuter une attaque de force brute contre SSH et FTP à l'aide de THC-Hydra

Le premier exemple de ce tutoriel explique comment effectuer une attaque de force brute contre le Service SSH, En supposant que vous connaissez déjà le nom d'utilisateur cible, et vous n'essayez pas de casser son mot de passe en utilisant une liste de mots (les noms d'utilisateur de fissuration sont expliqués dans le deuxième exemple).

La syntaxe pour pirater un mot de passe si vous savez déjà que le nom d'utilisateur est le suivant:

Thc-hydra -l -P

Où Thc-hydra appelle le programme, -L (minuscules) est utilisé pour spécifier le nom d'utilisateur connu (majuscules est utilisé lors de l'utilisation d'une liste d'utilisateurs), -P (majuscules) est utilisé pour définir la liste de mots, y compris son chemin, Cible est l'adresse IP cible ou l'hôte et Service est le protocole que nous attaquons (e.g., SSH, FTP).

Par conséquent, pour exécuter une attaque dans laquelle je connais déjà le nom d'utilisateur, j'exécute la commande illustrée ci-dessous:

THC-HYDRA -L LinuxHintuser -P Passlist.txt 192.168.0.100 ssh

Comme vous pouvez le voir dans la capture d'écran précédente, le mot de passe du LinuxHintuser a été fissuré avec succès et révélé comme LinuxHintpassword.

Maintenant, supposons que vous ne connaissez ni le nom d'utilisateur ni le mot de passe, et vous utiliserez deux listes de mots pour chaque. Dans ce cas, la syntaxe est la suivante:

Thc-hydra -l -P

Comme vous pouvez le voir, la seule différence est que nous avons remplacé le Lowercase -l pour une majuscule -l suivi d'un dictionnaire pour les noms d'utilisateur.

Dans un exemple pratique, pour casser le nom d'utilisateur et le mot de passe, exécutez la commande suivante:

THC-HYDRA -LLILLE D'UTILISATION.txt -p passlist.txt 192.168.0.100 ssh

Encore une fois, les informations d'identification ont été piratées avec succès, révélant que le nom d'utilisateur est linuxhintuser, Et le mot de passe est LinuxHintpassword.

Par défaut, le THC-hydra exécute 16 connexions simultanées pour accélérer le processus. Mais certains serveurs sont configurés pour refuser trop de connexions parallèles. Dans de tels cas, le THC-hydra recommande de limiter les connexions parallèles à 4. L'indicateur -T est utilisé pour limiter les connexions parallèles, suivie du nombre de connexions parallèles que vous souhaitez lancer, comme indiqué dans l'exemple suivant.

La commande suivante suppose que vous connaissez déjà le nom d'utilisateur cible et limite les connexions parallèles à 4:

THC-HYDRA -T 4 -L LinuxHintuser -P Passlist.txt 192.168.0.100 ssh

L'attaque a réussi. Maintenant, essayons la même attaque avec quatre connexions parallèles en supposant que vous ne connaissez pas le nom d'utilisateur et utilisez une liste de noms d'utilisateur à la place.

THC-HYDRA -T 4 -LLILLE D'UTILISATION.txt -p passlist.txt 192.168.0.100 ssh

Cracking FTP Creasatials nécessite exactement la même syntaxe. La seule différence est le protocole que nous spécifions à la fin de la commande. Ci-dessous, vous pouvez voir quelques exemples, en gardant la syntaxe utilisée dans les précédentes:

Hydra -l LinuxHintuser -P Passlist.txt 192.168.0.100 FTP

Dans l'exemple précédent, nous avons spécifié le nom d'utilisateur. Essayons une autre attaque à l'aide d'une liste de noms d'utilisateur.

Hydra -l Liste d'utilisation.txt -p passlist.txt 192.168.0.100 FTP

Comme vous pouvez le voir, les attaques contre SSH et FTP ont réussi. La syntaxe est la même, et seul le protocole spécifié change. HYDRA prend en charge des protocoles supplémentaires que vous pouvez cibler en fonction de vos besoins.

Pirater SSH et FTP avec une force brute en utilisant Medusa

Cette section montre comment exécuter des attaques de force brute à l'aide de Medusa, un autre biscuit de mot de passe.

Pour installer Medusa sur les distributions Linux basées à Debian, exécutez la commande suivante:

sudo apt install medusa

La syntaxe appropriée pour exécuter une attaque à l'aide de Medusa sachant que le nom d'utilisateur cible est le suivant:

méduse -u -P -H -M

Le drapeau -u (minuscules) est utilisé pour définir le nom d'utilisateur connu tandis que le -p (majuscule). L'indicateur -H est suivi de l'adresse IP cible ou de l'hôte, et -M est suivi du protocole ou du service que nous voulons attaquer.

Medusa -u LinuxHintuser -P Passlist.TXT -H 192.168.0.100 -M SSH

Comme indiqué dans la capture d'écran précédente, le mot de passe a été révélé avec succès.

Maintenant, utilisons également un dictionnaire ou une liste pour le nom d'utilisateur, en supposant que nous ne le savons pas.

La syntaxe est la même sauf pour les minuscules -u drapeau, qui doit être remplacé par un -U en majuscules suivi du chemin d'accès à la liste des utilisateurs, comme indiqué dans l'exemple suivant:

MEDUSA -ULIST DE L'UTILISATION.txt -p passlist.TXT -H 192.168.0.100 -M SSH

Essayons la même chose contre le protocole FTP; Pour cela, il vous suffit de remplacer SSH avec FTP À la fin de la commande, comme indiqué dans la capture d'écran suivante:

MEDUSA -ULIST DE L'UTILISATION.txt -p passlist.TXT -H 192.168.0.100 -M FTP

Il s'agit de craquer les mots de passe avec Medusa et THC-Hydra à l'aide de listes de mots. J'espère que vous avez apprécié ce tutoriel.

Conclusion

La réalisation d'attaques de force brute ne nécessite pas de connaissances avancées de la sécurité. Avec quelques commandes et du matériel fort, nous pouvons casser rapidement les mots de passe en laissant le logiciel tenter des connexions massives exécutées en peu de temps. Se défendre contre de telles attaques est très facile et ne nécessite pas de connaissances au niveau du système. Il vous suffit de limiter le nombre de tentatives de connexion autorisées en empêchant massivement les utilisateurs d'essayer les informations d'identification. Cela peut être facilement configuré à partir de SSH, FTP, ou fichiers de configuration de service supplémentaires. N'oubliez pas de fermer tous les services que vous n'utilisez pas. Continuez à lire des articles LinuxHint pour plus d'articles professionnels de sécurité.