11 outils d'attaque par force brute pour le test de pénétration

Pour le système informatique de votre entreprise, vous avez besoin d'un morceau de béton proof démontrerate que votre activité en ligne est solide contre divers types de cyberattaques, en particulierally attaques par force brute.

Qu'est-ce qu'une attaque par force brute?

Une attaque par force brute est l’une des cyberattaques les plus dangereuses à laquelle vous n’avez peut-être aucun moyen d’affronter ! Une attaque par force brute vise le cœur de votre site Web ou la sécurité de votre appareil, le mot de passe de connexion, ou encryption clés. Il utilise la méthode continue d’essais et d’erreurs pour les explorer de manière décisive.

Les méthodes d'attaque par force brute sont variées, principalement en:

• Attaques hybrides par force brute: essayer ou soumettre des milliers de mots attendus et dictionnaires, ou même des mots aléatoires.
• RevAutres attaques par force brute : essayer d'obtenir la clé de dérivation du mot de passe à l'aide d'une recherche exhaustive.

Pourquoi avons-nous besoin d'outils de test d'intrusion?

Les attaquants par force brute utilisent divers outils pour atteindre cet objectif. Vous pouvez utiliser ces outils d'attaque par force brute eux-mêmes pour Pénétration. Ce test est également appelé «pentesting" ou "pen testing".

Le test de pénétration consiste à essayer de pirater vos propres systèmes informatiques de la même manière que les pirates. Cela vous permet d'identifier les failles de sécurité.

Notes: les outils suivants peuvent générerate de nombreuses requêtes que vous devez effectuer uniquement sur votre environnement d'application.

Gobusters

Gobusters est l'un des outils de force brute les plus puissants et les plus rapides qui ne nécessite pas d'exécution. Il utilise un scanner d'annuaire programmé par Aller langue; c'est plus rapide et plus flexible qu'un script interprété.

COLLABORATIONS

• Gobuster est également connu pour son incroyable soutien à concurrency, ce qui lui permet de gérer plusieurs tâches et extensions, tout en gardant sa vitesse processING.
• Un outil léger sans interface graphique Java ne fonctionne que sur la ligne de commande dans de nombreux cas. platformes.
• Aide intégrée

Modes

• dir - le mode répertoire classique
• dns - mode sous-domaine DNS
• s3 – Énumérateurate ouvrez les compartiments S3 et recherchez les listes d'existence et de compartiments
• vhost - mode hôte virtuel

Cependant, il souffre d'un défaut, la pauvreté pour la recherche récursive dans les répertoires, ce qui réduit son efficacité pour les répertoires à plusieurs niveaux.

BruteX

BruteX est un excellent outil tout-en-un basé sur un shell de force brute et open source pour tous vos besoins pour atteindre la cible.

• Ports ouverts
• Nom d'utilisateur
• mots de passe

Utilise le pouvoir de soumettre un grand nombre de mots de passe possibles de manière systématique.

Il comprend de nombreux services issus d'autres outils tels que Nmap, Hydra & DNS énumération. Cela vous permet de rechercher les ports ouverts, démarrez FTP en force brute, SSH et automatiqueally déterminer le service en cours d'exécution du serveur cible.

Recherche

Recherche est un outil de force brute avancé basé sur une ligne de commande. C'est un scanner de chemin Web AKA et peut forcer brutalement les répertoires et les fichiers dans les serveurs Web.

Dirsearch fait récemment partie du programme officiel Kali Linux packages, mais il fonctionne également sur Windows, Linux et macOS. C'est écrit en Python pour être facilement compatible avec les projets et scripts existants.

Il est également beaucoup plus rapide que l'outil DIRB traditionnel et contient de nombreuses autres fonctionnalités.

• Support de proxy
• multithreading
• Randomisation utilisateur-agent
• Prise en charge de plusieurs extensions
• Arène de scanner
• Demande de retard

Pour l'analyse récursive, Dirsearch est le gagnant. Il parcourt et explore, à la recherche de répertoires supplémentaires. Outre la rapidité et la simplicité, il s'agit des meilleures salles Brute-force pour chaque pentester.

Inexpérimenté

Inexpérimenté est un outil de connexion par force brute convivial et personnalisable. Écrit en python 3. Il est conçu pour répondre aux besoins et aux circonstances des débutants.

Des expériences utilisateur flexibles ont été fournies pour faciliter la gestion des erreurs, en particulierally pour que les débutants comprennent et intuitivent facilement.

SSB

Bruteforcer à coque sécurisée (SSB) est l'un des outils les plus rapides et les plus simples pour les serveurs SSH par force brute.

L'utilisation du shell sécurisé de SSB vous donne uneate interface, contrairement aux autres outils qui crackent le mot de passe d'un serveur SSH.

Thc-Hydra

Hydra est l'un des outils les plus connus pour pirater les connexions, utilisé sous Linux ou Windows/Cygwin. De plus, pour Solaris, FreeBSD/OpenBSD, QNX (Blackberry 10) et macOS. Il prend en charge de nombreux protocoles tels que AFP, HTTP-FORM-GET, HTTP-GET, HTTP-FORM-POST, HTTP-HEAD, HTTP-PROXY, etc.

Installé par défaut sur Kali Linux, Hydra est conçu avec des versions en ligne de commande et graphiques. Il peut déchiffrer un seul ou une liste de noms d'utilisateur / mots de passe par la méthode de forçage brutal.

En outre, il est parallélisé, l'outil très rapide et flexible qui vous permet de limiter la possibilité d'accès non autorisé à votre système à distance.

Certains autres outils de piratage de connexion sont utilisés pour la même fonction, mais seul Hydra prend en charge de nombreux protocoles différents et des connexions parallélisées.

Suite Burp

Burp Suite Professionnel est une boîte à outils essentielle pour les testeurs de sécurité Web, et elle est dotée de fonctionnalités rapides et fiables. Et aussi, il peut automatiserate tâches de test monotones. De plus, il est conçu par des experts manuel et semi-automatique.ated fonctionnalités de tests de sécurité. De nombreux experts l'utilisent pour tester les dix meilleurs de l'OWASP. vulnérabilités.

Burp offre de nombreuses fonctionnalités uniques, de l'augmentation de la couverture de numérisation à la personnalisation en passant par le mode sombre. Il peut tester / analyser des applications Web modernes riches en fonctionnalités, JavaScript, tester des API.

C'est un outil conçu pourally pour tester les services, pas pour le piratage, comme beaucoup d'autres. Ainsi, il enregistre des séquences d’authentification complexes et rédige des rapports pour une utilisation et un partage directs par les utilisateurs finaux.

Il a également l'avantage de réaliser des tests de sécurité applicative hors bande (OAST) qui atteignent de nombreuses vulnérabilités invisibles que d'autres ne peuvent pas. De plus, c'est le premier à bénéficier de l'utilisation de PortSwigger Research, qui vous place en tête de la courbe.

Patateur

Patateur est un outil de force brute pour une utilisation polyvalente et flexible dans une conception modulaire. Il apparaît dans une frustration réflexe en utilisant d'autres outils et scripts d'attaques de mot de passe. Patator choisit une nouvelle approche pour ne pas répéter d'anciennes erreurs.

Écrit en Python, Patator est un outil multi-thread qui veut servir les tests d'intrusion d'une manière plus flexible et plus fiable que les ancêtres. Il prend en charge de nombreux modules, dont les suivants.

• Ftp
• SSH
• MySQL
• SMTP
• Telnet
• DNS
• SMB
• IMAP
• LDAP
• connexion
• Fichiers zip
• Fichiers Java Keystore

Pydicteur

Pydicteur est un autre excellent outil puissant de piratage de dictionnaire. Lorsqu’il s’agit de tests longs et de tests de force de mot de passe, cela peut étonner aussi bien les novices que les professionnels. C'est un outil dont les attaquants ne peuvent pas disposer dans leur arsenal. En outre, il dispose d'un surplus de fonctionnalités qui vous permettent de profiter deally une solide performance dans n’importe quelle situation de test.

• Assistant permanent : permet de créerate une liste de mots générale, un ingénierie sociale liste de mots, une liste de mots spéciale utilisant le contenu Web, etc. De plus, elle contient un filtre pour vous aider à concentrer votre liste de mots.
• Hautement personnalisé: vous pouvez personnaliser les attributs de la liste de mots selon vos besoins en utilisant le filtre par longueur, le mode leet et plus de fonctionnalités.
• Flexibilité et compatibilité : il est capable d'analyser le fichier de configuration, avec la possibilité de fonctionner sans problème soit sur Windows, Linux ou Mac.

Dictionnaires Pydictor

• Dictionnaire numérique
• Dictionnaire alphabétique
• Dictionnaire alphabétique en majuscules
• Numérique couplé à l'alphabet majuscule
• Majuscules couplées à l'alphabet minuscule
• Chiffre couplé à l'alphabet minuscule
• Combinaison de majuscules, minuscules et chiffres
• Ajout d'une tête statique
• Manipulation du filtre de complexité du dictionnaire

ncraquer

ncraquer est une sorte d'outil de craquage de réseau avec des performances à haut débit. Il est conçu pour que les entreprises les aident à tester leurs périphériques réseau pour les mots de passe faibles. De nombreux professionnels de la sécurité recommandent d'utiliser Ncrack pour auditer la sécurité des réseaux système. Il a été publié en tant qu'outil autonome ou dans le cadre du Kali Linux.

Par une approche modulaire et un moteur dynamique, Ncrack conçu avec une ligne de commande peut adapter son comportement en fonction du retour réseau. Et il peut effectuer un audit large et fiable pour de nombreux hôtes en même temps.

Les fonctionnalités de Ncrack ne se limitent pas à une interface flexible mais garantissent un contrôle total des opérations réseau pour l'utilisateur. Cela permet d'être incroyablement sophistiquéated attaques par force brute, interaction d'exécution et timingplates pour faciliterate l'utilisation, comme Nmap.

Les protocoles pris en charge incluent SSH, RDP, FTP, Telnet, HTTP (S), WordPress, POP3 (S), IMAP, CVS, SMB, VNC, SIP, Redis, PostgreSQL, MQTT, MySQL, MSSQL, MongoDB, Cassandra, WinRM, OWA et DICOM, ce qui le qualifie pour un large éventail d'industries.

Hashcat

Hashcat est un outil de récupération de mot de passe. Il peut fonctionner sous Linux, OS X et Windows et prennent en charge de nombreux algorithmes Hashcat pris en charge par hashcat, tels que MD4, MD5, la famille SHA, les hachages LM et les formats Unix Crypt.

Hashcat est devenu bien connu car ses optimisations dépendent en partie du logiciel que le créateur de Hashcat a découvert.

Hashcat a deux variantes:

• Outil de récupération de mot de passe basé sur le processeur
• Outil de récupération de mot de passe basé sur GPU

L'outil GPU peut déchiffrer certains héritages de hashcat en un temps plus court que l'outil CPU (MD5, SHA1 et autres). Mais tous les algorithmes ne peuvent pas être craqués plus rapidement par les GPU. Cependant, Hashcat avait été décrit comme le pirate de mots de passe le plus rapide au monde.

Conclusion

Après ce spectacle détaillé, vous disposez d'un arsenal varié d'outils à remplacer. Choisissez ce qui vous convient le mieux pour chaque situation et circonstance que vous rencontrez. Il n'y a aucune raison de croire qu'il n'y a pas de diversité dans les alternatives. Dans certains cas, les outils les plus simples sont les meilleurs, et dans d'autres cas, le contraire.

Ensuite, explorez certains des outils d'enquête médico-légale.