密碼破譯主流工具和口令庫(kù)

作者：suntiger 2024-01-29 00:10:00

Hydra是一個(gè)流行的登錄暴力破解工具，搭配字典可以對(duì)SSH、FTP或Web服務(wù)器等許多服務(wù)執(zhí)行登錄暴力破解，并且可以輕松添加新模塊。

1.密碼口令庫(kù)

在現(xiàn)代信息社會(huì)中, 各種密碼伴隨著我們的日常生活, 如果設(shè)置簡(jiǎn)單了, 容易被黑客破譯; 如果設(shè)置復(fù)雜了, 時(shí)間久了自己記不住, 所以很多人都選擇一種折中的方式: 使用自己熟悉、容易記憶的特征信息來(lái)作為密碼。而更多的人為了圖一時(shí)的方便, 直接使用一些簡(jiǎn)單重復(fù)的數(shù)字作為密碼, 為了防止大范圍弱口令造成的安全隱患, 現(xiàn)代網(wǎng)站注冊(cè)賬號(hào)一般都對(duì)密碼的復(fù)雜性有要求, 不滿足要求無(wú)法注冊(cè)。

根據(jù)統(tǒng)計(jì),國(guó)內(nèi)用戶使用頻率最高的25個(gè)弱密碼如下:

000000、111111、11111111、112233、123123、123321、123456、12345678、654321、666666、888888、abcdef、abcabc、abc123、a1b2c3、aaa111、123qwe、qwerty、qweasd、admin、password、p@ssword、passwd、iloveyou、5201314。

在Kali系統(tǒng)中, 已經(jīng)集成了大部分的弱口令單詞列表, 目錄為:/usr/share/wordlists, 如圖:

另一個(gè)比較流行的密碼庫(kù)是:https://github.com/danielmiessler/SecLists/tree/master/Passwords , 該開(kāi)源庫(kù)也集成了各種弱密碼,如圖:

除此之外, 還可以利用CUPP(Common User Passwords Profiler)工具,根據(jù)個(gè)人信息生成定向的單詞列表, 可以利用的信息包括:姓名、寵物的名字、生日等, 最終創(chuàng)建一個(gè)可用于字典攻擊的定制單詞列表, 該工具使用過(guò)程如下:

2.登錄暴力破解工具-Hydra

Hydra是一個(gè)流行的登錄暴力破解工具，搭配字典可以對(duì)SSH、FTP或Web服務(wù)器等許多服務(wù)執(zhí)行登錄暴力破解，并且可以輕松添加新模塊。該工具被預(yù)裝在 Kali Linux 操作系統(tǒng)上。Hydra的幫助界面如下:

以下是對(duì)DVWA靶站進(jìn)行密碼破譯的過(guò)程:

3.BurpSuite

BurpSuite是專為滲透測(cè)試而設(shè)計(jì)的 Web 應(yīng)用程序測(cè)試工具集合。它有一個(gè)名為“Intruder”的功能，允許用單詞列表中的值替換用戶名和密碼字段, Burp 的核心功能是攔截代理，允許用戶通過(guò) Burp 代理服務(wù)器重定向?yàn)g覽器流量，同時(shí)針對(duì)特定的 Web 應(yīng)用程序，使其成為識(shí)別和解決 Web 應(yīng)用程序漏洞的重要工具。

Burp Suite工具包括Proxy、Repeater、Intruder、Comparer、Extender 和Extensions等功能，可對(duì) Web 應(yīng)用程序進(jìn)行快速且多功能的測(cè)試。

Burp Suite包含社區(qū)版、專業(yè)版和企業(yè)版, 社區(qū)版是該工具的免費(fèi)版本, 包含了網(wǎng)站和Web服務(wù)手動(dòng)測(cè)試所需的基本功能。

以下是使用BurpSuite進(jìn)行密碼暴力破解并成功登錄的界面: