L’attacco di forza bruta è ancora uno dei metodi di cracking delle password più popolari. Tuttavia, non è solo per crackare le password. Gli attacchi di forza bruta possono essere utilizzati anche per scoprire pagine e contenuti nascosti in un’applicazione web. Questo attacco è fondamentalmente “un colpo e prova” finché non hai successo. Questo attacco a volte richiede più tempo, ma la sua percentuale di successo è più alta.

In questo articolo, cercherò di spiegare gli attacchi di forza bruta e gli strumenti popolari utilizzati in diversi scenari per eseguire attacchi di forza bruta per ottenere i risultati desiderati.

Che cos’è un attacco di forza bruta?

Un attacco di forza bruta quando un attaccante usa un insieme di valori predefiniti per attaccare un bersaglio e analizzare la risposta fino a quando non riesce. Il successo dipende dall’insieme di valori predefiniti. Se è maggiore, ci vorrà più tempo, ma c’è una migliore probabilità di successo.

L’esempio più comune e più facile da capire dell’attacco di forza bruta è l’attacco del dizionario per violare le password. In questo, l’attaccante utilizza un dizionario delle password che contiene milioni di parole che possono essere utilizzate come password. L’aggressore prova queste password uno per uno per l’autenticazione Se questo dizionario contiene la password corretta, l’aggressore wi Ci riusciremo.

In un tradizionale attacco di forza bruta, l’attaccante prova semplicemente la combinazione di lettere e numeri per generare una password in sequenza. Tuttavia, questa tecnica tradizionale richiederà più tempo quando la password è abbastanza lunga. Questi attacchi possono richiedere da diversi minuti a diverse ore o diversi anni, a seconda del sistema utilizzato e della lunghezza della password.

Per prevenire il cracking delle password da attacchi di forza bruta, si dovrebbero sempre usare password lunghe e complesse. Ciò rende difficile per gli aggressori indovinare la password e gli attacchi di forza bruta richiederanno troppo tempo. Il blocco dell’account è un altro modo per impedire all’autore dell’attacco di eseguire attacchi di forza bruta sulle applicazioni web. Tuttavia, per il software offline, le cose non sono così facili da proteggere.

Allo stesso modo, per scoprire pagine nascoste, l’attaccante cerca di indovinare il nome della pagina, invia richieste e vede la risposta. Se la pagina non esiste, mostrerà una risposta 404; in caso di successo, la risposta sarà 200. In questo modo, può trovare pagine nascoste su qualsiasi sito web.

La forza bruta viene utilizzata anche per crackare l’hash e indovinare una password da un dato hash. In questo, l’hash viene generato da password casuali e quindi questo hash viene abbinato a un hash di destinazione finché l’attaccante non trova quella corretta. Pertanto, maggiore è il tipo di crittografia (crittografia a 64 bit, 128 bit o 256 bit) utilizzato per crittografare la password, maggiore sarà il tempo necessario per interromperla.

Attacco di forza bruta inverso

Un attacco di forza bruta inverso è un altro termine associato al cracking delle password. Ci vuole un approccio inverso nel cracking delle password. In questo, l’attaccante prova una password contro più nomi utente. Immagina di conoscere una password ma non hai idea dei nomi utente. In questo caso, puoi provare la stessa password e indovinare i diversi nomi utente finché non trovi la combinazione funzionante.

Ora, sai che un attacco di forza bruta viene utilizzato principalmente per il cracking delle password. Puoi utilizzarlo in qualsiasi software, sito Web o protocollo che non blocchi le richieste dopo alcune prove non valide. In questo post, aggiungerò alcuni strumenti di cracking delle password di forza bruta per diversi protocolli.

Strumenti popolari per attacchi di forza bruta

Aircrack-ng

Sono sicuro che conosci già lo strumento Aircrack-ng. Questo è un popolare strumento di cracking della password wifi a forza bruta disponibile gratuitamente. Ho anche menzionato questo strumento nel nostro post precedente sugli strumenti di cracking delle password più popolari. Questo strumento viene fornito con cracker WEP / WPA / WPA2-PSK e strumenti di analisi per eseguire attacchi al Wi-Fi 802.11. Aircrack-ng può essere utilizzato per qualsiasi NIC che supporti la modalità di monitoraggio raw.

Fondamentalmente esegue attacchi con dizionario contro una rete wireless per indovinare la password. Come già sapete, il successo dell’attacco dipende dal dizionario delle password. Migliore e più efficace è il dizionario delle password, maggiore è la probabilità che decifri la password.

È disponibile per piattaforme Windows e Linux. È stato anche portato per funzionare su piattaforme iOS e Android. Puoi provarlo su determinate piattaforme per vedere come questo strumento può essere utilizzato per il cracking delle password wifi a forza bruta.

Scarica Aircrack-ng qui.

John the Ripper

John the Ripper è un altro fantastico strumento che non ha bisogno di presentazioni. È stata una scelta preferita per eseguire attacchi di forza bruta per molto tempo. Questo software gratuito per crackare le password è stato inizialmente sviluppato per i sistemi Unix. Successivamente, gli sviluppatori lo hanno rilasciato per varie altre piattaforme. Ora supporta quindici diverse piattaforme tra cui Unix, Windows, DOS, BeOS e OpenVMS.

Puoi usarlo per identificare password deboli o per crackare password per violare l’autenticazione.

Questo strumento è molto popolare e combina varie funzionalità di cracking delle password. Può rilevare automaticamente il tipo di hashing utilizzato in una password. Pertanto, puoi anche eseguirlo contro l’archiviazione crittografata delle password.

Fondamentalmente, può eseguire attacchi di forza bruta con tutte le password possibili combinando testo e numeri. Tuttavia, puoi anche usarlo con un dizionario di password per eseguire attacchi al dizionario.

Scarica John the Ripper qui.

Rainbow Crack

Rainbow Crack è anche un popolare strumento di forzatura bruta utilizzato per violare le password. Genera tabelle arcobaleno da utilizzare durante l’esecuzione dell’attacco. In questo modo, è diverso dagli altri strumenti convenzionali di forzatura bruta. Le tabelle arcobaleno sono precalcolate. Aiuta a ridurre i tempi di esecuzione dell’attacco.

La cosa buona è che ci sono varie organizzazioni che hanno già pubblicato le tabelle arcobaleno pre-computer per tutti gli utenti di Internet. Per risparmiare tempo, puoi scaricare quelle tabelle arcobaleno e usarle nei tuoi attacchi.

Questo strumento è ancora in fase di sviluppo attivo. È disponibile sia per Windows che per Linux e supporta tutte le ultime versioni di queste piattaforme.

Scarica Rainbow Crack e leggi ulteriori informazioni su questo strumento qui.

L0phtCrack

L0phtCrack è noto per la sua capacità di violare le password di Windows. Utilizza attacchi dizionario, attacchi di forza bruta, attacchi ibridi e tabelle arcobaleno. Le caratteristiche più importanti di L0phtcrack sono la pianificazione, l’estrazione di hash dalle versioni di Windows a 64 bit, gli algoritmi multiprocessore e il monitoraggio e la decodifica della rete. Se vuoi decifrare la password di un sistema Windows, puoi provare questo strumento.

Scarica L0phtCrack qui.

Ophcrack

Ophcrack è un’altra forza bruta strumento utilizzato specialmente per crackare le password di Windows. Crolla le password di Windows utilizzando gli hash LM attraverso le tabelle arcobaleno. È uno strumento gratuito e open source.

Nella maggior parte dei casi, può decifrare una password di Windows in pochi minuti. Per impostazione predefinita, Ophcrack viene fornito con tabelle arcobaleno per decifrare password di meno di 14 caratteri che contengono solo caratteri alfanumerici. È inoltre possibile scaricare altre tabelle arcobaleno.

Ophcrack è disponibile anche come LiveCD.

Scarica Ophcrack qui.

Hashcat

Hashcat afferma di essere lo strumento di cracking delle password basato su CPU più veloce. È gratuito e viene fornito per piattaforme Linux, Windows e Mac OS. Hashcat supporta vari algoritmi di hashing tra cui Hash LM, MD4, MD5, famiglia SHA, formati Unix Crypt, MySQL e Cisco PIX. Supporta vari attacchi tra cui attacchi di forza bruta, attacchi combinatori, attacchi dizionario, attacchi con impronte digitali, attacchi ibridi, attacchi con maschera, attacchi di permutazione, attacchi basati su regole, attacchi di ricerca in tabelle e attacchi con caso di commutazione.

Scarica Hashcat qui.

DaveGrohl

DaveGrohl è un popolare strumento di forzatura bruta per Mac OS X. Supporta tutte le versioni disponibili di Mac OS X. Questo strumento supporta sia attacchi con dizionario che attacchi incrementali . Ha anche una modalità distribuita che ti consente di eseguire attacchi da più computer per attaccare lo stesso hash della password.

Questo strumento è ora open-source e puoi scaricare il codice sorgente.

Scarica DaveGrohl qui.

Ncrack

Ncrack è anche un popolare strumento di cracking delle password per violare le autenticazioni di rete. Supporta vari protocolli tra cui RDP, SSH, HTTP (S), SMB, POP3 (S), VNC, FTP e Telnet. Può eseguire diversi attacchi inclusi attacchi di forza bruta. Supporta varie piattaforme tra cui Linux, BSD, Windows e Mac OS X.

Scarica Ncrack qui.

THC Hydra

THC Hydra è noto per la sua capacità di crackare le password delle autenticazioni di rete eseguendo attacchi di forza bruta. Esegue attacchi con dizionario contro più di 30 protocolli tra cui Telnet, FTP, HTTP, HTTPS, SMB e altri. È disponibile per varie piattaforme tra cui Linux, Windows / Cygwin, Solaris 11, FreeBSD 8.1, OpenBSD, OSX e QNX / Blackberry.

Scarica THC Hydra qui.

Conclusione

Questi sono alcuni popolari strumenti di forzatura bruta per violare le password. Sono disponibili anche vari altri strumenti che eseguono la forza bruta su diversi tipi di autenticazione. Se fornisco solo un esempio di alcuni piccoli strumenti, vedrai che la maggior parte degli strumenti di cracking di PDF e ZIP utilizza gli stessi metodi di forza bruta per eseguire attacchi e crackare le password. Esistono molti di questi strumenti disponibili gratuitamente oa pagamento.

La forzatura bruta è il miglior metodo di cracking delle password. Il successo dell’attacco dipende da vari fattori. Tuttavia, i fattori che influiscono maggiormente sono la lunghezza della password e la combinazione di caratteri, lettere e caratteri speciali. Questo è il motivo per cui quando parliamo di password complesse, di solito suggeriamo agli utenti di avere password lunghe con una combinazione di lettere minuscole, lettere maiuscole, numeri e caratteri speciali.Non rende impossibile la forzatura bruta, ma lo rende difficile. Pertanto, ci vorrà più tempo per raggiungere la password forzando brute.

Quasi tutti gli algoritmi di cracking di hash usano la forza bruta per colpire e provare. Questo attacco è ottimale quando hai accesso offline ai dati. In tal caso, il cracking è facile e richiede meno tempo.

Anche il cracking delle password con forza bruta è molto importante per la sicurezza del computer. Viene utilizzato per controllare le password deboli utilizzate nel sistema, nella rete o nell’applicazione.

Il modo migliore per prevenire attacchi di forza bruta è limitare gli accessi non validi. In questo modo, gli attacchi possono colpire e provare le password solo per un periodo limitato. Questo è il motivo per cui i servizi basati sul Web iniziano a mostrare messaggi di posta elettronica se si digitano tre volte le password errate o si bloccherà il tuo indirizzo IP.