Pour le système informatique de votre entreprise, vous avez besoin d’une preuve concrète démontrant que votre entreprise en ligne est solidement protégée contre différents types de cyberattaques, en particulier les attaques par force brute.

Qu’est-ce qu’une attaque à la force brute ?

Une attaque par force brute est l’une des cyberattaques les plus dangereuses que vous n’avez peut-être aucun mal à affronter ! Une attaque par force brute vise le cœur de la sécurité de votre site web ou de votre appareil, le mot de passe de connexion ou les clés de cryptage. Elle utilise la méthode d’essai et d’erreur continue pour les explorer de manière décisive.

Les méthodes d’attaque par force brute sont variées et se répartissent principalement en deux catégories :

  • Attaques hybrides par force brute: Essayer ou soumettre des milliers de mots attendus et de mots du dictionnaire, ou même des mots aléatoires.
  • Attaques par forcebrute inversée: Essayer d’obtenir la clé de dérivation du mot de passe en effectuant des recherches exhaustives.

Quel que soit le type d’attaque par force brute auquel vous pouvez être confronté, il est préférable de s’assurer que votre système est protégé dans tous les cas.

Dans cette liste, vous trouverez quelques-uns des meilleurs outils d’attaque par force brute que vous pouvez utiliser pour votre pentest (test de pénétration). Et si vous n’en avez jamais utilisé ou si vous n’êtes pas convaincu de son utilité, vous pouvez faire défiler la liste jusqu’à la fin, où j’explique pourquoi les tests de pénétration sont un aspect important du système informatique de votre organisation et de sa sécurité.

Mais tout d’abord, voyons les outils d’attaque par force brute que vous pouvez utiliser.

Remarque: les outils suivants peuvent générer de nombreuses requêtes que vous ne devez effectuer qu’en fonction de votre environnement applicatif.

Gobuster

Gobuster est l’un des outils de force brute les plus puissants et les plus rapides qui ne nécessite pas de runtime. Il utilise un scanner de répertoire programmé en langage Go; il est plus rapide et plus flexible qu’un script interprété.

Fonctionnalités

  • Gobuster est également connu pour son incroyable prise en charge de la concurrence, qui lui permet de gérer des tâches multiples et des extensions, tout en conservant sa vitesse de traitement.
  • Un outil léger sans interface graphique Java fonctionne uniquement en ligne de commande sur de nombreuses plateformes.
  • Aide intégrée

Modes

  • dir – le mode répertoire classique
  • dns – Mode sous-domaine DNS
  • s3 – Enumère les buckets S3 ouverts et recherche l’existence et les listes de bucket
  • vhost – mode hôte virtuel

Cependant, il souffre d’un défaut, la pauvreté de la recherche récursive dans les répertoires, ce qui réduit son efficacité pour les répertoires à plusieurs niveaux.

BruteX

BruteX est un excellent outil de force brute tout-en-un basé sur un shell et open-source pour tous vos besoins pour atteindre la cible.

  • Ports ouverts
  • Noms d’utilisateur
  • Mots de passe

Utilise la puissance de la soumission d’un grand nombre de mots de passe possibles de manière systématique.

Il inclut de nombreux services qui sont rassemblés à partir d’autres outils tels que Nmap, Hydra et DNS enum. Il vous permet de rechercher des ports ouverts, de lancer des attaques FTP et SSH par force brute et de déterminer automatiquement le service en cours d’exécution du serveur cible.

Lisez aussi: Scanners de ports en ligne pour trouver les ports ouverts sur le serveur et l’IP

Dirsearch

Dirsearch est un outil de force brute avancé basé sur une ligne de commande. Il s’agit d’un scanner de chemin d’accès au Web qui permet de forcer les répertoires et les fichiers des serveurs Web.

Dirsearch a récemment été intégré aux paquets officiels de Kali Linux, mais il fonctionne également sous Windows, Linux et macOS. Il est écrit en Python pour être facilement compatible avec les projets et les scripts existants.

Il est également beaucoup plus rapide que l’outil DIRB traditionnel et contient beaucoup plus de fonctionnalités.

  • Prise en charge des serveurs mandataires
  • Multithreading
  • Randomisation de l’agent utilisateur
  • Prise en charge de plusieurs extensions
  • Arène de balayage
  • Retardement des requêtes

Pour l’analyse récursive, Dirsearch est le vainqueur. Il revient en arrière et explore, à la recherche d’éventuels répertoires supplémentaires. Outre sa vitesse et sa simplicité, il fait partie des meilleures salles de force brute pour tous les pentesters.

Callow

Callow est un outil de force brute de connexion convivial et personnalisable écrit en Python 3. Il est conçu pour répondre aux besoins et aux circonstances des débutants.

Il fournit des expériences utilisateur flexibles pour une gestion facile des erreurs, en particulier pour les débutants afin qu’ils comprennent et intègrent facilement.

SSB

Secure Shell Bruteforcer (SSB) est l’un des outils les plus rapides et les plus simples pour forcer les serveurs SSH.

L’utilisation du shell sécurisé de SSB vous donne une interface appropriée, contrairement aux autres outils qui craquent le mot de passe d’un serveur SSH.

Thc-Hydra

Hydra est l’un des outils les plus connus pour craquer les identifiants de connexion, utilisé sous Linux ou Windows/Cygwin. Il est également utilisé sous Solaris, FreeBSD/OpenBSD, QNX (Blackberry 10) et macOS. Il prend en charge de nombreux protocoles, tels que AFP, HTTP-FORM-GET, HTTP-GET, HTTP-FORM-POST, HTTP-HEAD, HTTP-PROXY, etc.

Installé par défaut sur Kali Linux, Hydra est conçu à la fois en ligne de commande et en version graphique. Il peut craquer un seul ou une liste de noms d’utilisateur/mots de passe par la méthode de force brute.

De plus, il est parallélisé, très rapide, et c’est un outil flexible qui vous permet de tenter à distance les possibilités d’accès non autorisé à votre système.

D’autres outils de piratage de connexion sont utilisés pour la même fonction, mais seul Hydra prend en charge de nombreux protocoles différents et des connexions parallélisées.

Burp Suite

Burp Suite Professional est une boîte à outils essentielle pour les testeurs de sécurité web, et elle est dotée de fonctions rapides et fiables. Il permet également d’automatiser les tâches de test monotones. En outre, il a été conçu par des experts pour les tests de sécurité manuels et semi-automatiques. De nombreux experts l’utilisent pour tester les dix principales vulnérabilités de l’OWASP.

Burp offre de nombreuses fonctionnalités uniques, allant de l’augmentation de la couverture de l’analyse à la possibilité de le personnaliser pour le mode sombre. Il peut tester/analyser des applications web modernes riches en fonctionnalités, du JavaScript et des API de test.

Il s’agit d’un outil conçu pour les services de test, et non pour le piratage, comme beaucoup d’autres. Il enregistre donc des séquences d’authentification complexes et rédige des rapports destinés à être utilisés et partagés directement par les utilisateurs finaux.

Il présente également l’avantage d’effectuer des tests de sécurité des applications hors bande (OAST) qui permettent d’atteindre de nombreuses vulnérabilités invisibles, ce que d’autres ne peuvent pas faire. En outre, il est le premier à bénéficier de l’utilisation de PortSwigger Research, ce qui vous donne une longueur d’avance.

Patator

Patator est un outil de force brute destiné à une utilisation polyvalente et flexible dans le cadre d’une conception modulaire. Il apparaît par réflexe de frustration en utilisant d’autres outils et scripts d’attaques d’obtention de mot de passe. Patator choisit une nouvelle approche pour ne pas répéter de vieilles erreurs.

Ecrit en Python, Patator est un outil multithread qui veut servir les tests de pénétration d’une manière plus flexible et plus fiable que ses ancêtres. Il prend en charge de nombreux modules, dont les suivants

  • FTP
  • SSH
  • MySQL
  • SMTP
  • Telnet
  • DNS
  • SMB
  • IMAP
  • LDAP
  • rlogin
  • Fichiers Zip
  • Fichiers Java Keystore

Avec autant de modules pris en charge par cet outil d’attaque par force brute, cela vaut vraiment la peine d’essayer.

Pydictor

Pydictor est un autre excellent outil de piratage par dictionnaire. Lorsqu’il s’agit de tester la longueur et la force des mots de passe, il peut étonner aussi bien les novices que les professionnels. C’est un outil que les attaquants ne peuvent pas se passer dans leur arsenal. En outre, il dispose d’un surplus de fonctionnalités qui vous permettent de bénéficier d’une performance solide dans n’importe quelle situation de test.

  • Assistant permanent: il vous permet de créer une liste de mots générale, une liste de mots d’ingénierie sociale, une liste de mots spéciale utilisant le contenu du web, etc. En outre, il contient un filtre qui vous aide à cibler votre liste de mots.
  • Hautement personnalisée: Vous pouvez personnaliser les attributs de la liste de mots en fonction de vos besoins en utilisant le filtre par longueur, le mode leet, et d’autres fonctionnalités.
  • Flexibilité et compatibilité: il est capable d’analyser le fichier de configuration et de fonctionner sans problème sous Windows, Linux ou Mac.

Les dictionnaires de Pydictor comprennent les éléments suivants :

  • Dictionnaire numérique
  • Dictionnaire alphabétique
  • Dictionnaire alphabétique des majuscules
  • Numérique couplé à l’alphabet majuscule
  • Majuscules couplées à l’alphabet minuscule
  • Alphabet numérique couplé à l’alphabet minuscule
  • Combinaison de majuscules, de minuscules et de chiffres
  • Ajout d’une tête statique
  • Manipulation du filtre de complexité du dictionnaire

Comme vous pouvez le constater, Pydictor est très complet et mérite votre attention.

Ncrack

Ncrack est une sorte d’outil de piratage de réseau aux performances élevées. Il est conçu pour les entreprises afin de les aider à tester leurs dispositifs de réseau pour détecter les mots de passe faibles. De nombreux professionnels de la sécurité recommandent d’utiliser Ncrack pour vérifier la sécurité des réseaux. Il a été publié en tant qu’outil autonome ou en tant que partie intégrante de Kali Linux.

Grâce à une approche modulaire et à un moteur dynamique, Ncrack, conçu à partir d’une ligne de commande, peut adapter son comportement en fonction des réactions du réseau. De plus, il peut effectuer un audit large et fiable pour de nombreux hôtes en même temps.

Les caractéristiques de Ncrack ne se limitent pas à une interface flexible, mais assurent à l’utilisateur un contrôle total des opérations du réseau. Cela permet de réaliser des attaques sophistiquées par forçage brutal, des interactions en cours d’exécution et des modèles de synchronisation pour faciliter l’utilisation, comme Nmap.

Les protocoles pris en charge comprennent SSH, RDP, FTP, Telnet, HTTP(S), WordPress, POP3(S), IMAP, CVS, SMB, VNC, SIP, Redis, PostgreSQL, MQTT, MySQL, MSSQL, MongoDB, Cassandra, WinRM, OWA et DICOM, ce qui lui permet de s’adapter à un large éventail de secteurs d’activité.

Hashcat

Hashcat est un outil de récupération de mots de passe. Il fonctionne sous Linux, OS X et Windows et prend en charge de nombreux algorithmes Hashcat tels que MD4, MD5, SHA-family, LM hashes et les formats Unix Crypt.

Hashcat est devenu célèbre grâce à ses optimisations qui dépendent en partie du logiciel que le créateur de Hashcat a découvert.

Hashcat a deux variantes :

  • Outil de récupération de mot de passe basé sur le processeur
  • Outil de récupération de mot de passe basé sur le GPU

L’outil GPU peut craquer certains algorithmes de hashcat en moins de temps que l’outil CPU (MD5, SHA1, et autres). Mais tous les algorithmes ne peuvent pas être craqués plus rapidement par les GPU. Cependant, Hashcat a été décrit comme le craqueur de mots de passe le plus rapide au monde.

Maintenant que vous avez jeté un coup d’œil à ces outils de test de pénétration, il convient de comprendre pourquoi nous en avons besoin en premier lieu.

Pourquoi avons-nous besoin d’outils de test de pénétration ?

Les attaquants par force brute utilisent différents outils pour atteindre leur objectif. Vous pouvez utiliser ces outils d’attaque par force brute pour effectuer des tests de pénétration. Ce test est également appelé “pentesting” ou “pen testing”.

Le test de pénétration consiste à essayer de pirater vos propres systèmes informatiques en utilisant les mêmes méthodes que les pirates. Cela vous permet d’identifier les éventuelles failles de sécurité.

Conclusion

Après cette présentation détaillée, vous disposez d’un arsenal varié d’outils pour travailler. Choisissez ce qui vous convient le mieux en fonction de la situation et des circonstances auxquelles vous êtes confronté. Il n’y a aucune raison de croire qu’il n’y a pas de diversité dans les alternatives. Dans certains cas, les outils les plus simples sont les meilleurs, et dans d’autres cas, c’est le contraire.