पासवर्ड लेने की कला

दो हज़ारवें, "पासवर्ड" स्वोर्डफ़िश "की शुरुआत की पंथ फिल्म में, एक प्रतिभाशाली हैकर को एक मिनट के भीतर एक पासवर्ड लेने की आवश्यकता होती है। एक दोस्त इसमें उसकी मदद करता है, जो ध्यान से अपने मंदिर में एक पिस्तौल रखता है और एक मनमौजी गोरा, मेज के नीचे छिप जाता है। अगर आस-पास कोई दोस्त नहीं है और मुझे पासवर्ड खोजने की आवश्यकता है तो मुझे क्या करना चाहिए? उदाहरण के लिए, प्रवेश परीक्षण के दौरान ...

एक छोटी लेकिन महत्वपूर्ण चेतावनी: यदि लेख में प्रस्तावित दृष्टिकोण का उपयोग सुरक्षा परीक्षण परियोजनाओं के हिस्से के रूप में नहीं किया गया है, तो आपके कार्य आसानी से रूसी संघ के आपराधिक संहिता के 272 के तहत गिर सकते हैं (कंप्यूटर की जानकारी के लिए गैर-कानूनी पहुंच)।

एक प्रभावी पासवर्ड अनुमान लगाने की रणनीति के साथ आने के लिए, एक नैतिक हैकर को उपयोगकर्ताओं और प्रशासकों के प्रमुखों में जाने का प्रयास करना चाहिए।

पासवर्ड की हमारी पसंद को कौन से कारक प्रभावित करते हैं?

आप कम से कम निम्नलिखित तीन का नाम दे सकते हैं:

• याद करने में आसानी;
• सिस्टम द्वारा लगाए गए पासवर्ड की पसंद पर प्रतिबंध;
• अपनी गतिविधियों में इस पासवर्ड का उपयोग करने वाले लोगों की संख्या।

उपयोगकर्ता आसानी से क्या याद कर सकते हैं?

उन चीजों पर विचार करें, जिन्हें याद रखना हमारे लिए सबसे आसान है:

1) मेरी आँखों के सामने क्या है।

हमारी आंखों से पहले, मॉनिटर, लैपटॉप, कंप्यूटर चूहों और कीबोर्ड के ट्रेडमार्क, शिलालेख "पासवर्ड:" अक्सर दिखाई देते हैं। यह कहा गया है कि हिलेरी क्लिंटन के चुनाव अभियान प्रबंधक के ऐसे तुच्छ पासवर्ड का विकल्प "पासवर्ड" ने अमेरिकी चुनाव के परिणामों को बुरी तरह प्रभावित किया है।

2) यह महत्वपूर्ण है।

एक व्यक्ति के लिए महत्वपूर्ण:

• सुखद यादें और संबंधित तिथियाँ: उदाहरण के लिए, शादी की तारीख;
• रिश्ता: एक प्यार का नाम। नेपोलियन एक प्यारा जोसेफिन का चयन करेगा;
• स्वामित्व: कार ब्रांड। जेम्स बॉन्ड खुद को नहीं बदलेगा और आश्चर्यजनक रूप से चुनेगा, और यदि उसने किया, तो बीएमडब्ल्यू;
• स्नेह: पालतू नाम। लियेनबर्ग का एमिल अपने छोटे दोस्त के उपनाम को अमर कर देगा: सविनुशोक;
• सपना: एक विशिष्ट स्थान पर एक छुट्टी। फिल्म की आकर्षक लड़की शायद अद्भुत बाली का चयन करेगी;
• काम: संगठन या उसके प्रकार का नाम। लेहमैन भाई एक स्पष्ट विकल्प बनाते हैं - बैंक।
• शौक: खेल, संग्रह, संगीत। खैर, कौन हरा पसंद नहीं है?

3) उंगलियों को क्या याद है:

• कीबोर्ड पर ज्यामितीय आंकड़ा: क्वर्टी;
• चरित्र क्रम: 12345678।

4) किस तरह की प्रणाली / साइट:

• सिस्टम का नाम;
• व्यावसायिक प्रक्रिया से जुड़े शब्द जो इसे स्वचालित करते हैं। उदाहरण के लिए, 2015 की गर्मियों में उपयोगकर्ताओं के पासवर्ड का रिसाव हुआ था जो एशले मैडिसन वेबसाइट के माध्यम से गर्म उपग्रहों और साथियों की तलाश में जाना पसंद करते हैं। पासवर्ड अक्सर विकल्पों में आते हैं, जैसे: 67lolita, 68cougar, love69pussies, lovesex।

2014 में, जीमेल, यैंडेक्स और Mail.ru पासवर्ड का एक बड़ा रिसाव हुआ था। पासवर्ड सूचियों का विश्लेषण "लीक हुए पासवर्ड जीमेल, यैंडेक्स और मेल.रु का विश्लेषण" में वैरागियन द्वारा किया गया था और आप देख सकते हैं कि उपयोगकर्ता योजना के अनुसार पासवर्ड का चयन करते हैं।

पासवर्ड सुरक्षा प्रतिबंध पासवर्ड के उपयोगकर्ता की पसंद को कैसे प्रभावित करते हैं?

कई प्रणालियों में उपयोगकर्ताओं की सुरक्षा के लिए, डेवलपर्स ने एक पासवर्ड नीति तंत्र प्रदान किया है, जो दुर्भाग्य से (नैतिक रूप से नैतिक हैकर्स के लिए), हमेशा उपयोग नहीं किया जाता है। सीमाओं पर विचार करें और रचनात्मक उपयोगकर्ताओं द्वारा उन्हें कैसे लागू / प्रबंधित किया जाता है।
विशिष्ट पासवर्ड नीति प्रतिबंध:

• पासवर्ड की लंबाई (आमतौर पर कम से कम 8);
• विभिन्न रजिस्टरों में पात्रों का उपयोग;
• अक्षरों और संख्याओं के संयोजन का उपयोग;
• विशेष पात्रों का उपयोग;
• पिछले पासवर्ड का उपयोग करने का निषेध।

8 वर्णों से अधिक लंबे पासवर्ड के साथ आना मुश्किल नहीं है, लेकिन विभिन्न रजिस्टरों में पात्रों का उपयोग करना पहले से ही मुश्किल है, क्योंकि आपको यह याद रखने की आवश्यकता है कि आपके पासवर्ड में कौन सा वर्ण अपरकेस था। सबसे स्पष्ट और संभावित समाधान: पहला या अंतिम चरित्र चुनें।

यदि सिस्टम आपको संख्याओं को जोड़ने के लिए मजबूर करता है, तो यहां उपयोगकर्ता थोड़ा अधिक आविष्कारशील हैं:

• शुरुआत या अंत में नंबर जोड़ें। एक नियम के रूप में, एक से 4 तक। तदनुसार, यह केवल एक अंक हो सकता है, जैसा कि आम पासवर्ड "पासवर्ड 1" में है, यदि दो, तो उपयोगकर्ता सबसे अधिक संभावना एक वर्ष या आयु का चयन करेगा, जैसा कि हमारे कामुक उदाहरण से पासवर्ड "68cougar" में है। यदि तीन अंक हैं, तो वे केवल अनुक्रम "123" हो सकते हैं। यदि उपयोगकर्ता 4 अंक जोड़ना चाहता है, तो यह पूर्ण वर्तनी में एक वर्ष होगा: "अलेक्जेंडर 2018"।
• समान संख्या वाले अक्षरों को बदलें: A = 4, E = 3, I = 1, O = 0. विशेष रूप से रचनात्मक उपयोगकर्ता पूरी तरह से l33t का उपयोग कर सकते हैं
  यदि विशेष वर्णों का उपयोग करना आवश्यक है, तो उपयोगकर्ता, एक नियम के रूप में, सबसे प्रसिद्ध विशेष वर्णों में से एक का उपयोग करते हैं, जैसा कि निम्नलिखित चित्रण में देखा जा सकता है:

पुराने पासवर्ड के उपयोग पर प्रतिबंध लगाने से अधिक कष्टप्रद कुछ भी नहीं है, और उपयोगकर्ताओं ने इस प्रतिबंध को कम से कम बदलाव करके सीखा, उदाहरण के लिए, अपने पासवर्ड के अंत में संख्या को 1 से बढ़ाना: यह "अलेक्जेंडर 2018" था, यह "अलेक्जेंडर 2019" बन गया।

उपयोगकर्ताओं की इन छोटी चालों को समझना, एक नैतिक हैकर के लिए पासवर्ड के लिए उम्मीदवार शब्दों की सूची को कम करना काफी सरल है।

पासवर्ड उपयोगकर्ताओं की संख्या

यदि पासवर्ड का उपयोग कई उपयोगकर्ताओं द्वारा किया जाएगा, उदाहरण के लिए, कक्षा में सिस्टम प्रशासक या छात्र, तो इसे आमतौर पर बहुत जटिल नहीं बनाया जाता है (उदाहरण के लिए, खाते का नाम मिलान), और अक्सर इसे विक्रेता द्वारा निर्धारित तरीके से छोड़ दिया जाता है। डिफ़ॉल्ट रूप से।

पासवर्ड की रणनीति

उपयोगकर्ताओं द्वारा पासवर्ड चयन की बारीकियों से निपटने के बाद, हम प्रवेश परीक्षण के दौरान पासवर्ड चयन रणनीति भी विकसित कर सकते हैं।
हम प्रारंभिक शर्तें तय करते हैं:

• हम पैठ परीक्षण (विशेष रूप से एथिकल हैकिंग) आयोजित करते हैं;
• लॉगिन-पासवर्ड जोड़ी के लिए एक प्राधिकरण तंत्र के साथ सिस्टम हैं;
• हम सिस्टम की अधिकतम संख्या में उपयोगकर्ता खातों की अधिकतम संख्या से समझौता करना चाहते हैं;
• हम केवल ऑनलाइन पासवर्ड चयन पर विचार करते हैं (हम क्रैकिंग हैश नहीं मानते हैं)।

चरण 1. उपयोगकर्ता खाते के नाम को परिभाषित करना

सफल प्राधिकरण के लिए, एक पासवर्ड आमतौर पर पर्याप्त नहीं होता है, आपको खाता नाम भी जानना होगा। हम यह पता लगाएंगे कि इसे कैसे प्राप्त करें।

विकल्प 1. सिस्टम में भेद्यता का उपयोग करते हुए खातों की एक सूची प्राप्त करना।
उदाहरण के लिए, एक अनाम उपयोगकर्ता को उपयोगकर्ता खातों की सूची को पुनः प्राप्त करने की अनुमति देने के लिए एक विंडोज डोमेन नियंत्रक को कॉन्फ़िगर किया जा सकता है।
कोई भी इस अवसर के लिए अपने डोमेन नियंत्रक की जांच कर सकता है, उदाहरण के लिए, स्कैनर-वीएस से rpcclient कमांड-लाइन उपयोगिता का उपयोग करना:

1. हम डोमेन नियंत्रक से जुड़े हैं और पासवर्ड दर्ज करने के अनुरोध पर सिर्फ एंटर दबाएं:
   rpcclient -U "" IP_controller_domain_address
2. अंतर्निहित कमांड एनम्यूड्यूसर चलाएं
   rpcclient $> enumdomusers

विकल्प 2. "खुफिया" और विश्लेषण के आधार पर एक सूची का गठन।

छोटे संगठनों में भी उपयोगकर्ता नाम, कुछ मानक के आधार पर प्रशासकों द्वारा निर्धारित किए जाते हैं। सबसे आम विकल्प: नाम का पहला अक्षर + उपनाम: adorofeev, एक ही बात है, लेकिन बिंदु a.dorofeev के माध्यम से, पूरा नाम + उपनाम: alexander.dorofeev। इसके अलावा, अक्सर आंतरिक खातों के नाम ईमेल खाते के साथ मेल खाते हैं, क्रमशः, उपयोगकर्ता नाम बनाने के लिए नियम केवल "google" द्वारा निर्धारित किया जा सकता है जो इंटरनेट पर दिखाई देने वाले कर्मचारियों के पते, और आंतरिक टेलीफोन निर्देशिका से प्राप्त किए जा सकने वाले कर्मचारियों की सूची के आधार पर एक पूरी सूची बनाई जा सकती है। सामाजिक नेटवर्क। एक चरम मामले में, आप खाता नाम बनाने के सबसे सामान्य नियमों के अनुसार सबसे सामान्य नामों और उपनामों के संयोजन बना सकते हैं।

विकल्प 3. सबसे आम खाते और डिफ़ॉल्ट प्रविष्टियाँ।

कई सिस्टम में डिफ़ॉल्ट खाते हैं। कम से कम, यह व्यवस्थापक या व्यवस्थापक है। कुछ प्रणालियों में, उनमें से बहुत सारे हैं, इसलिए ओरेकल DBMS में आप सिस्टम, SYS, ANONYMOUS, CTXSYS, DBSNMP, LBACSYS, MDSYS, OLAPSYS, ORDPLUGINS, ORDSYS, OUTLN, SCOTT, WKSYS, WMSYS, XDB, पा सकते हैं। तदनुसार, यह सिस्टम प्रशासकों के मैनुअल को देखने के लिए समझ में आता है जिसे आप परीक्षण करना चाहते हैं।

अक्सर, सिस्टम में ऐसे खाते होते हैं जिनकी गणना करना बहुत आसान होता है, उदाहरण के लिए, यदि कंपनी का प्रशिक्षण वर्ग है, तो शिक्षक और छात्र के खाते होने की संभावना काफी अधिक है। और कितने सिस्टम जिसमें, किसी ने टेस्ट अकाउंट नहीं बनाया?

चरण 2. पासवर्ड का प्रारंभिक चयन

यह समझने के लिए कि परीक्षण किए गए आईटी अवसंरचना में किन प्रणालियों में कौन से खाते हैं, हम समझौता करने की योजना बनाते हैं, हम हमले के लिए प्रणालियों का क्रम निर्धारित कर सकते हैं:

संख्या	सिस्टम की क्लास	खातों	पासवर्ड
1	डोमेन नियंत्रक	कर्मचारी खाते, प्रशासनिक, ठेठ।	सबसे आम है।
2	व्यावसायिक अनुप्रयोग	कर्मचारी खाते, प्रशासनिक, ठेठ।	सबसे आम है।
3	डीबीएमएस	कर्मचारी खाते, प्रशासनिक, विशिष्ट, डिफ़ॉल्ट।	सबसे आम, डिफ़ॉल्ट रूप से
4	विशेष प्रणाली और सेवाएं: बैकअप, एफ़टीपी, आदि।	प्रशासनिक, डिफ़ॉल्ट रूप से।	सबसे आम, डिफ़ॉल्ट रूप से।
5	सक्रिय नेटवर्क उपकरण	प्रशासनिक, डिफ़ॉल्ट रूप से।	सबसे आम, डिफ़ॉल्ट रूप से।

यदि सिस्टम में कई असफल प्रयासों के बाद खाता लॉकआउट सक्षम है (एक नियम के रूप में, वे संख्या 5 का चयन करते हैं), और परीक्षण का समय सीमित है, और हम काउंटर को रीसेट करने के प्रयासों के बीच एक समय सीमा निर्धारित नहीं कर सकते हैं, तो यह "सभी उपयोगकर्ताओं" के माध्यम से चलाने के लिए समझ में आता है। निम्नलिखित संभावित पासवर्ड की जाँच:

• qwerty;
• मिलान खाता नाम
• खाली करें।

चरण 3. प्रभाव क्षेत्र का विस्तार

खाता पासवर्ड लेने के बाद, सबसे पहले एक नैतिक हैकर को लॉग इन करने की आवश्यकता होती है और देखें कि उसे क्या एक्सेस मिला है।
यदि फ़ाइल सिस्टम तक पहुंच प्राप्त की जाती है, तो आपको निम्न फ़ाइलों की खोज करने की आवश्यकता है:

• कॉन्फ़िगरेशन फ़ाइलें जिसमें आईपी पते और खातों के बारे में जानकारी हो सकती है;
• सिस्टम बैकअप, नई मशीनों पर "रोलिंग" के लिए ओएस छवियां। आप अक्सर उनसे पासवर्ड हैश निकाल सकते हैं;
• SQL स्क्रिप्ट जिसमें अक्सर उपयोगी जानकारी भी होती है।
  एक सिस्टम के लिए चयनित पासवर्ड और खातों को दूसरों के लिए जाँचना चाहिए, क्योंकि उपयोगकर्ता, प्रशासक सहित, अलग-अलग सिस्टम पर समान पासवर्ड का उपयोग करना पसंद करते हैं।

एक नैतिक हैकर पर ध्यान दें: बड़े संगठनों में, अक्सर ऐसे परीक्षण वातावरण होते हैं जो युद्ध प्रणाली डेटाबेस के एक-नहीं-पुराने बैकअप से पुनर्प्राप्त डेटा का उपयोग करते हैं। इसी समय, परीक्षण वातावरण आमतौर पर खराब रूप से संरक्षित होते हैं, उदाहरण के लिए, कई प्रशासनिक व्यवस्थापक खाते और सरल पासवर्ड हो सकते हैं। ऐसी प्रणाली का समझौता इस तथ्य की ओर जाता है कि परीक्षण विशेषज्ञ उपयोगकर्ता पासवर्ड हैश तक पहुंच प्राप्त करते हैं, जो अक्सर एक मुकाबला प्रणाली के लिए प्रासंगिक होते हैं।

ऑनलाइन पासवर्ड उपकरण और शब्दकोश

ऑनलाइन अनुमान लगाने वाला पासवर्ड के लिए क्लासिक टूल thc-hydra कमांड-लाइन उपयोगिता है , और नैतिक हैकर्स और प्रशासकों के लिए जो आराम पसंद करते हैं, एक सहज ज्ञान युक्त अंतरफलक के साथ यह कार्यक्षमता हमारे स्कैनर-वीएस कॉम्प्लेक्स में उपलब्ध है:

इसके अलावा, सफल पासवर्ड अनुमान लगाने की कुंजी अच्छी तरह से लिखे गए शब्दकोशों की उपलब्धता है, लेकिन इसके साथ समस्याएं हैं। आधुनिक घरेलू सुरक्षा विश्लेषण उपकरणों के साथ आपूर्ति किए गए शब्दकोशों में हमेशा शब्दों के उपयोगी सेट नहीं होते हैं। उदाहरण के लिए, एक मुफ्त उपयोगिता के साथ वितरित एक मानक शब्दकोश शामिल करें। बेशक, समाधान सरल है, लेकिन बहुत प्रभावी नहीं है। आप फ़ुटबॉल, प्यारी, मगंडा या मस्टैंग जैसे पासवर्ड चुनने वाले रूसी उपयोगकर्ता की कल्पना कैसे कर सकते हैं। औसत रूसी शहर में फोर्ड मस्टैंग के मालिक कितने खुश हैं? कभी-कभी उनमें एक अद्भुत शब्दकोश शामिल होता है, जो मुख्य रूप से डिफ़ॉल्ट रूप से छोड़े गए पासवर्ड पर आधारित होता है, लेकिन आम उपयोगकर्ताओं और उनके पसंदीदा पासवर्ड के बारे में पूरी तरह से भूल जाते हैं।

हमने इस कष्टप्रद स्थिति को ठीक करने का निर्णय लिया और अपनी पासवर्ड सूचियों को संकलित किया, जो अब न केवल हमारे स्कैनर-वीएस सुरक्षा परीक्षण परिसर के उपयोगकर्ताओं के लिए उपलब्ध हैं, बल्कि पासवर्ड अनुभाग में हमारे समाधान की वेबसाइट पर भी सभी के लिए उपलब्ध हैं:

पासवर्ड सूची:

1. टॉप-157
2. टॉप -25
3. संख्या क्रम
4. दिनांक
5. कीबोर्ड अनुक्रम
6. सामान्य पुरुष नाम
7. सामान्य महिला नाम

खाता सूची:

1. कस्टम मेंस: प्रथम नाम का पहला अक्षर + अंतिम नाम
2. कस्टम पुरुषों: पहले नाम का पहला अक्षर + अवधि + अंतिम नाम
3. कस्टम पुरुषों: पहला नाम + डॉट + अंतिम नाम
4. कस्टम महिला: एक नाम + उपनाम का पहला अक्षर
5. कस्टम स्त्रीलिंग: पहले नाम का पहला अक्षर + डॉट + अंतिम नाम
6. कस्टम महिला: पहला नाम + डॉट + अंतिम नाम

निष्कर्ष

फिल्म "पासवर्ड स्वोर्डफ़िश" का हैकर भाग्यशाली था और काम की अव्यवस्था और अराजक शैली के बावजूद, वह एक पासवर्ड लेने और जीवित रहने में सक्षम था। एक संरचित दृष्टिकोण का उपयोग करते हुए, एथिकल हैकर्स पैठ परीक्षण में सफलता की संभावना बढ़ाते हैं और भाग्य पर कम भरोसा करते हैं। यह दृष्टिकोण तब तक काम करेगा जब तक पासवर्ड लोगों द्वारा चुना जाता है।