Penetrasyon Testi için 11 Kaba Kuvvet Saldırı Aracı

Şirketinizin BT sistemi için, çevrimiçi işinizin çeşitli siber saldırılara, özellikle de kaba kuvvet saldırılarına karşı sağlam olduğunu göstermek için bir parça somut kanıta ihtiyacınız var.

Kaba Kuvvet Saldırısı nedir?

Kaba kuvvet saldırısı, yüzleşmek için hiçbir numaranız olmayan en tehlikeli siber saldırılardan biridir! Bir kaba kuvvet saldırısı, web sitenizin kalbini veya cihazınızın güvenliğini, oturum açma parolasını veya şifreleme anahtarlarını hedefler. Bunları kararlı bir şekilde keşfetmek için sürekli deneme yanılma yöntemini kullanır.

Kaba kuvvet saldırısının yolları çeşitlidir, başlıca şu şekildedir:

• Hibrit kaba kuvvet saldırıları: binlerce beklenen ve sözlük kelimesini, hatta rastgele kelimeleri denemek veya göndermek.
• Ters kaba kuvvet saldırıları: kapsamlı araştırma kullanarak parolanın türetme anahtarını almaya çalışmak.

Neden sızma testi araçlarına ihtiyacımız var?

Kaba kuvvet saldırganları bu amaca ulaşmak için çeşitli araçlar kullanır. Bu kaba kuvvet saldırı araçlarını Penetrasyon için kullanabilirsiniz. Bu test aynı zamanda “pentesting” veya “kalem testi” olarak da adlandırılır.

Penetrasyon testi, bilgisayar korsanlarının yaptığı gibi kendi BT sistemlerinizi hacklemeye çalışma uygulamasıdır. Bu, herhangi bir güvenlik açığını belirlemenizi sağlar.

Not : Aşağıdaki araçlar, yalnızca uygulama ortamınıza karşı yapmanız gereken birçok istek oluşturabilir.

gobuster

Gobuster, çalışma zamanına ihtiyaç duymayan en güçlü ve hızlı kaba kuvvet araçlarından biridir. Go dili tarafından programlanmış bir dizin tarayıcı kullanır; yorumlanmış komut dosyasından daha hızlı ve daha esnektir.

Özellikleri

• Gobuster, aynı zamanda, hızlı işlemesini koruyarak birden fazla görevi ve uzantıyı yönetmesini sağlayan şaşırtıcı eşzamanlılık desteği ile bilinir.
• Java GUI'si olmayan hafif bir araç, birçok platformda yalnızca komut satırında çalışır.
• Dahili Yardım

modlar

• dir – klasik dizin modu
• dns – DNS alt etki alanı modu
• s3 – Açık S3 paketlerini numaralandırın ve varlık ve paket listelerini arayın
• vhost – sanal ana bilgisayar modu

Bununla birlikte, bir hatadan muzdariptir, özyinelemeli dizin araması için zayıflık, bu da çok seviyeli dizinler için etkinliğini azaltır.

BruteX

BruteX, hedefe ulaşmak için tüm ihtiyaçlarınız için harika bir hepsi bir arada kaba kuvvet kabuğu tabanlı ve açık kaynaklı bir araçtır.

• Açık bağlantı noktaları
• kullanıcı adları
• Şifreler

Sistematik yollarla çok sayıda olası parola gönderme gücünü kullanır.

Nmap, Hydra ve DNS enum gibi diğer bazı araçlardan toplanan birçok hizmeti içerir. Bu, açık bağlantı noktalarını taramanıza, kaba kuvvet FTP, SSH başlatmanıza ve hedef sunucunun çalışan hizmetini otomatik olarak belirlemenize olanak tanır.

Arama

Dirsearch, bir komut satırına dayalı gelişmiş bir kaba kuvvet aracıdır. Bu bir AKA web yolu tarayıcısıdır ve web sunucularındaki dizinleri ve dosyaları kaba kuvvet uygulayabilir.

Dirsearch son zamanlarda resmi Kali Linux paketlerinin bir parçası oldu, ancak aynı zamanda Windows, Linux ve macOS üzerinde de çalışıyor. Mevcut projeler ve komut dosyalarıyla kolayca uyumlu olması için Python'da yazılmıştır.

Ayrıca geleneksel DIRB aracından çok daha hızlıdır ve daha birçok özellik içerir.

• Proxy desteği
• çoklu kullanım
• Kullanıcı aracısı rastgeleleştirme
• Çoklu uzantı desteği
• tarayıcı alanı
• erteleme isteği

Özyinelemeli tarama için Dirsearch kazanır. Herhangi bir ek dizin arayarak geri dönüyor ve sürünüyor. Hız ve basitliğin yanı sıra, her pentester için en iyi Brute-force odalarından.

Callow

Callow, kullanıcı dostu ve özelleştirilebilir bir giriş kaba kuvvet aracıdır. Python 3 ile yazılmıştır. Yeni başlayanların ihtiyaçlarını ve koşullarını karşılamak için tasarlanmıştır.

Özellikle yeni başlayanların kolayca anlaması ve sezmesi için kolay hata işleme için esnek kullanıcı deneyleri sağlanmıştır.

SSB

Secure Shell Bruteforcer (SSB), kaba kuvvet SSH sunucuları için en hızlı ve en basit araçlardan biridir.

SSB'nin güvenli kabuğunu kullanmak, bir SSH sunucusunun şifresini kıran diğer araçların aksine size uygun bir arayüz sağlar.

Thc-Hydra

Hydra, Linux veya Windows/Cygwin'de kullanılan oturum açma kırma için en ünlü araçlardan biridir. Ayrıca Solaris, FreeBSD/OpenBSD, QNX (Blackberry 10) ve macOS için. AFP, HTTP-FORM-GET, HTTP-GET, HTTP-FORM-POST, HTTP-HEAD, HTTP-PROXY ve daha fazlası gibi birçok protokolü destekler.

Kali Linux'ta varsayılan olarak yüklenen Hydra, hem komut satırı hem de grafik sürümleriyle tasarlanmıştır. Brute-forcing yöntemiyle tek bir kullanıcı adı/şifre listesini veya kullanıcı adlarını/parolalarını kırabilir.

Ayrıca, sisteminize uzaktan yetkisiz erişim olasılığını önleyebilmenizi sağlayan çok hızlı ve esnek bir araç olan paralelleştirilmiştir.

Diğer bazı oturum açma korsan araçları aynı işlev için kullanılır, ancak yalnızca Hydra birçok farklı protokolü ve paralelleştirilmiş bağlantıyı destekler.

Burp Süiti

Burp Suite Professional, web güvenliği test cihazları için önemli bir araç takımıdır ve hızlı ve güvenilir özelliklerle birlikte gelir. Ayrıca monoton test görevlerini otomatikleştirebilir. Ayrıca uzmanların manuel ve yarı otomatik güvenlik testi özellikleri ile tasarlanmıştır. Birçok uzman bunu OWASP'ın ilk on güvenlik açığını test etmek için kullanır.

Burp, tarama kapsamını artırmaktan karanlık moda kadar özelleştirmeye kadar birçok benzersiz özellik sunar. Zengin özelliklere sahip modern web uygulamalarını, JavaScript'i test edebilir/tarayabilir, API'leri test edebilir.

Diğerleri gibi bilgisayar korsanlığı için değil, gerçekten hizmetleri test etmek için tasarlanmış bir araçtır. Bu nedenle, karmaşık kimlik doğrulama dizilerini kaydeder ve son kullanıcıların doğrudan kullanımı ve paylaşımı için raporlar yazar.

Ayrıca, diğerlerinin ulaşamadığı birçok görünmez güvenlik açığına ulaşan bant dışı uygulama güvenlik testi (OAST) yapma avantajına da sahiptir. Ayrıca, sizi eğrinin önüne koyan PortSwigger Research'ün kullanımından yararlanan ilk kişidir.

Patatör

Patator, modüler bir tasarım içinde çok amaçlı ve esnek kullanım için bir kaba kuvvet aracıdır. Diğer bazı araçları ve şifre alma saldırıları komut dosyalarını kullanarak refleks hayal kırıklığı içinde görünür. Patator, eski hataları tekrarlamamak için yeni bir yaklaşım seçiyor.

Python'da yazılan Patator, penetrasyon testini atalardan daha esnek ve güvenilir bir şekilde sunmak isteyen çok iş parçacıklı bir araçtır. Aşağıdakiler dahil birçok modülü destekler.

• FTP
• SSH
• MySQL
• SMTP
• telnet
• DNS
• KOBİ
• IMAP
• LDAP
• rlogin
• Zip dosyaları
• Java Anahtar Deposu dosyaları

Pydictor

Pydictor, başka bir harika sözlük hackleme güçlü aracıdır. Uzun ve şifre gücü testleri söz konusu olduğunda, hem acemileri hem de profesyonelleri şaşırtabilir. Saldırganların cephaneliklerinden vazgeçemeyecekleri bir araçtır. Ayrıca, herhangi bir test durumunda gerçekten güçlü bir performansın keyfini çıkarmanızı sağlayan fazladan özelliklere sahiptir.

• Kalıcı asistan: genel bir kelime listesi, bir sosyal mühendislik kelime listesi, web içeriğini kullanan özel bir kelime listesi vb. oluşturmanıza olanak sağlar. Ayrıca, kelime listenize odaklanmanıza yardımcı olacak bir filtre içerir.
• Son derece özelleştirilmiş: Uzunluğa, leet moduna ve daha fazla özelliğe göre filtre kullanarak kelime listesi özelliklerini ihtiyaçlarınıza göre özelleştirebilirsiniz.
• Esneklik ve uyumluluk: Windows, Linux veya Mac üzerinde sorunsuz çalışma yeteneği ile yapılandırma dosyasını ayrıştırabilir.

Pydictor Sözlükler

• Sayısal Sözlük
• alfabe sözlüğü
• Büyük Harf Alfabe Sözlüğü
• Büyük Harf Alfabesiyle Birleştirilmiş Sayısal
• Küçük Harf Alfabesiyle Birleştirilmiş Büyük Harf
• Küçük Harf Alfabesiyle Birleştirilmiş Rakam
• Büyük Harf, Küçük Harf ve Rakamın Birleştirilmesi
• Statik Başlık Ekleme
• Sözlük Karmaşıklık Filtresini Değiştirme

ncrack

Ncrack, yüksek hızlı performansa sahip bir tür ağ kırma aracıdır. Şirketlerin ağ cihazlarını zayıf parolalar için test etmelerine yardımcı olmak için tasarlanmıştır. Birçok Güvenlik uzmanı, sistem ağlarının güvenliğini denetlemek için Ncrack'i kullanmanızı önerir. Bağımsız bir araç olarak veya Kali Linux'un bir parçası olarak piyasaya sürüldü.

Modüler bir yaklaşım ve dinamik bir motorla, bir komut satırı ile tasarlanan Ncrack, davranışını ağ geri bildirimine göre ayarlayabilir. Ve aynı anda birçok ana bilgisayar için güvenilir geniş denetim gerçekleştirebilir.

Ncrack'in özellikleri esnek bir arayüzle sınırlı değildir, ancak kullanıcı için ağ operasyonlarının tam kontrolünü güvence altına alır. Bu, Nmap gibi kullanımı kolaylaştırmak için inanılmaz karmaşık kaba kuvvet saldırıları, çalışma zamanı etkileşimi ve zamanlama şablonları sağlar.

Desteklenen protokoller arasında SSH, RDP, FTP, Telnet, HTTP(S), WordPress, POP3(S), IMAP, CVS, SMB, VNC, SIP, Redis, PostgreSQL, MQTT, MySQL, MSSQL, MongoDB, Cassandra, WinRM, OWA ve onu çok çeşitli endüstriler için nitelendiren DICOM.

hashcat

Hashcat bir şifre kurtarma aracıdır. Linux, OS X ve Windows üzerinde çalışabilir ve MD4, MD5, SHA ailesi, LM karmaları ve Unix Crypt biçimleri gibi birçok hashcat destekli Hashcat algoritmasını destekleyebilir.

Hashcat, optimizasyonları kısmen Hashcat'in yaratıcısının keşfettiği yazılıma bağlı olduğu için iyi bilinir hale geldi.

Hashcat'in iki çeşidi vardır:

• CPU tabanlı şifre kurtarma aracı
• GPU tabanlı şifre kurtarma aracı

GPU aracı, bazı hashcat mirasını CPU aracından (MD5, SHA1 ve diğerleri) daha kısa sürede kırabilir. Ancak her algoritma GPU'lar tarafından daha hızlı kırılamaz. Ancak Hashcat, dünyanın en hızlı şifre kırıcısı olarak tanımlanıyordu.

Çözüm

Bu ayrıntılı gösteriden sonra, aralarında değiştirebileceğiniz çok çeşitli araçlara sahipsiniz. Karşılaştığınız her durum ve durum için size en uygun olanı seçin. Alternatiflerde çeşitlilik olmadığına inanmak için hiçbir sebep yok. Bazı durumlarda, en basit araçlar en iyisidir ve diğer durumlarda tam tersidir.

Ardından, bazı adli inceleme araçlarını keşfedin.