Tag: kali linux password

CeWL – generator spersonalizowanych haseł słownikowych…

35 komentarzy

Już raz na blogu opisaliśmy narzędzie Kali Linux o nazwie crunch do generowania słowników do ataków brute-force. Dzisiaj pora na inny dosyć ciekawie działający program od Digit Ninja. Aplikacja CeWL, czyli Custom Word List generator zasługuje na uwagę, ze względu na jej działanie.

Generator potrafi tworzyć słowniki na podstawie wyrażeń znalezionych na podanej w parametrze stronie internetowej. Użytkownik może zdefiniować głębokość poszukiwań w witrynie, minimalną liczbę znaków z których ma się składać hasło. Dodatkowo aplikacja jako narzędzie typu crawler/spider potrafi również zbierać adresy e-mail znalezione w sieci.

Jak przystało na aplikacje tego typu, umożliwia również zdefiniowania serwera proxy lub logowania się za pomocą mechanizmu HTTP Authentication. Read More

WEP lekcja #20 – SQLMAP i jSQL tutorial – narzędzia do SQL Injection w Kali Linux

22 komentarze

Dzisiaj czas na narzędzia dostępne w systemie operacyjnym Kali Linux 2016.1 dedykowane do testów bezpieczeństwa związanych z atakami SQL Injection. Na pierwszy ogień pójdzie aplikacja jSQL Injection. Program umożliwia zarówno detekcje luki typu Blind SQL Injection jak i zwykłej standardowej podatności związanej z bazą danych.

Dużą zaletą jest oczywiście interfejs graficzny i możliwość wykorzystania dodatkowych ciasteczek i nagłówków przeglądarki internetowej. Większość funkcji można po prostu wyklikać myszką. Aplikacja posiada dodatkowe możliwości w postaci modułu do wyszukiwania ciekawych plików na serwerze, a nawet umożliwia wykonanie ataku brute-force na odnalezione hashe. Kolejnym narzędziem wspomagającym jest hashidentifier pozwalający dokonania detekcji algorytmu funkcji mieszającej.

Ostatnim świetnym programem bomba jest sqlmap, służący do pełnej automatyzacji ataku SQL Injection. Na uwagę zasługuje fakt, że narzędzie umożliwia również automatyczne wyszukiwanie nazw baz danych, tabel, kolumn i dodatkowo na łamanie wartości hash np: MD5. Sqlmap dedykowany jest dla większości systemów bazodanowych. Podobnym narzędziem dedykowanym dla Microsoft SQL Server jest sqlninja.

Na samym końcu pokażemy Tobie sztuczkę umożliwiającą zapisanie złośliwego SHELLA PHP, za pomocą zapytania SQL into OUTFILE w bazach danych MySQL.
Read More

Dictionary attack na formularz HTTP POST z THC-Hydra

17 komentarzy

Dzisiaj pokażemy jak za pomocą opisywalnego już przez nas oprogramowania THC-Hydra w wersji 8.1 napastnik może zaatakować dowolny formularz na stronie internetowej z pomocą słownika (dictionary attack). Takim formularzem może być przykładowo panel logowania do systemu administracyjnego daną stroną internetową. Za pomocą tej metody w bardzo prosty sposób możemy również przetestować w praktyce siłę swojego hasła i poprawność konfiguracji serwera hostingowego. Dodatkowo możemy sprawdzić odporność naszych skryptów na ataki słownikowe lub brute-force. Naszym zdaniem właśnie w ten sposób ostatnio OurMine Team atakował konta w serwisie Instagram. Prawdopodobnie wybierali z toplisty różnych krajów tysiące kont YouTuberów i testowali ich hasła istagraowe brutalną siłą na chybił trafił. Nie był to raczej atak skierowany na konkretne osoby.  Read More