Tấn công brute-force là gì?

Bạn Đang Xem: Tấn công brute-force là gì?

Ngày nay, các cá nhân có nhiều tài khoản và có nhiều mật khẩu. Mọi người có xu hướng sử dụng lại một số mật khẩu đơn giản, điều này khiến họ dễ bị tấn công bằng vũ lực. Vậy vũ phu là gì?

Những gì tôi sẽ giới thiệu với bạn hôm nay là bẻ khóa brute force hay còn gọi là bẻ khóa brute force. Đây là phương pháp tấn công cổ điển nhưng ngày nay vẫn được tin tặc ưa chuộng do tính đơn giản nhưng lại để lại hậu quả nghiêm trọng.

Bẻ khóa bằng vũ lực là một phương pháp bẻ khóa phổ biến. Một cuộc tấn công vét cạn liên quan đến việc “đoán” tên người dùng và mật khẩu để giành quyền truy cập trái phép vào hệ thống, trong đó tin tặc sẽ sử dụng phương pháp thử và sai để cố gắng đoán thông tin đăng nhập hợp lệ. Chúng ta cũng có thể sử dụng brute force để bẻ khóa otp, timestamp, cookie, v.v… nhưng bài viết này sẽ tập trung vào brute force mật khẩu để đăng nhập vào tài khoản người dùng.

Các cuộc tấn công này thường được tự động hóa bằng cách sử dụng danh sách từ gồm tên người dùng và mật khẩu phổ biến để có kết quả tốt nhất. Sử dụng các công cụ chuyên dụng cho phép tin tặc thực hiện nhiều lần đăng nhập tự động với tốc độ cao.

Brute force là một phương pháp tấn công đơn giản với tỷ lệ thành công cao. Bởi vì tùy thuộc vào độ dài và độ phức tạp của mật khẩu, việc bẻ khóa có thể mất từ ​​vài giây đến hàng năm. Do đó, các trang web chỉ sử dụng thông tin đăng nhập dựa trên mật khẩu sẽ rất dễ bị tổn thương nếu chúng không triển khai biện pháp bảo vệ chống bạo lực đầy đủ.

Các cuộc tấn công vũ phu rất dễ ngăn chặn nhưng cũng rất dễ gặp phải. Lý do cho kiểu tấn công này là:

• Đặt mật khẩu không an toàn, dễ đoán, thường được sử dụng.
• Sử dụng mật khẩu liên quan đến bản thân dễ dàng có được trên mạng xã hội, chẳng hạn như: tên, ngày sinh.
• Từ phía máy chủ, số lượng mục nhập xấu không giới hạn có thể tạo cơ hội cho tin tặc thực hiện các cuộc tấn công vũ phu.

Việc đánh cắp mật khẩu người dùng luôn để lại hậu quả vô cùng nghiêm trọng. Có thể thấy ngay rằng nạn nhân của cuộc tấn công brute force sẽ bị lộ thông tin đăng nhập và toàn bộ thông tin của tài khoản.

Xem Thêm: Cây Cao Su Công Nghiệp Và Ứng Dụng Của Mủ Cao Su Trong Cuộc Sống

Mức độ nghiêm trọng tùy thuộc vào loại thông tin bị xâm phạm. Nếu các tài khoản bị xâm phạm là quan trọng đối với tổ chức, thì toàn bộ cơ sở dữ liệu nhạy cảm của tổ chức có thể bị lộ trong một vụ vi phạm dữ liệu cấp công ty.

Ngoài ra, brute force crack với tần suất cao có thể coi như tấn công dos vào hệ thống web, nếu server yếu sẽ treo toàn bộ server.

Xem Thêm : Phân tích khổ 4, 5 bài Mùa xuân nho nhỏ (8 mẫu) – Văn 9

Đoán mật khẩu trang web mạng xã hội hoặc email của người dùng có thể là một quá trình tốn thời gian, đặc biệt nếu tài khoản có mật khẩu mạnh. Để đơn giản hóa quy trình, tin tặc đã phát triển phần mềm và công cụ giúp chúng bẻ khóa mật khẩu.

Các công cụ tấn công vét cạn bao gồm các ứng dụng bẻ khóa mật khẩu giúp bẻ khóa tổ hợp tên người dùng và mật khẩu mà một cá nhân khó có thể tự bẻ khóa. Các công cụ bẻ khóa vũ phu thường được sử dụng bao gồm:

A. aircrack-ng:

Một bộ công cụ đánh giá an ninh mạng wi-fi để giám sát và xuất dữ liệu cũng như tấn công các tổ chức thông qua các phương pháp như điểm truy cập giả mạo và tiêm gói.

b. John the Ripper:

Công cụ khôi phục mật khẩu nguồn mở hỗ trợ hàng trăm mật khẩu và hàm băm, bao gồm mật khẩu người dùng macos, unix và windows, máy chủ cơ sở dữ liệu, ứng dụng web, lưu lượng truy cập internet, khóa riêng được mã hóa và tệp tài liệu.

c. Thủy:

hydra là một nền tảng mở và các mô-đun mới liên tục được phát triển bởi cộng đồng bảo mật và những kẻ tấn công. Nó có thể tấn công hơn 50 giao thức và nhiều hệ điều hành khác nhau.

d.l0phtcrack:

công cụ bẻ khóa mật khẩu windows. Nó sử dụng bảng cầu vồng, từ điển và thuật toán đa xử lý.

e. Bộ nấc:

Xem Thêm: Luyện tập: Giải bài 54 55 56 57 trang 96 sgk Toán 8 tập 1

burpsuite không phải là một công cụ dành riêng cho các cuộc tấn công vũ phu, nhưng bạn hoàn toàn có thể tùy chỉnh đầu vào bộ mật mã cho các cuộc tấn công vũ phu tùy ý.

Sau đây, tôi sẽ cố gắng sử dụng mật khẩu brute force. Tôi sẽ cố gắng thực hiện thủ công để bạn đọc hiểu cách tin tặc sử dụng vũ lực để lấy dữ liệu. Quá trình khai thác sẽ diễn ra trên portwigger và sử dụng công cụ burpsuite để khai thác. Liên kết khai thác ở đây.

Vào khai thác sẽ cho mình 1 trang đăng nhập. Nhiệm vụ mình sẽ là sử dụng kỹ thuật brute-force để lấy được username và password của người dùng và đăng nhập vào để lấy dữ liệu. Thực hiện đăng nhập với 1 giá trị bất kỳ ta được:

Kết quả trả về là Invalid username . Như vậy có thể hiểu khi nhập vào 1 username không tồn tại thì sẽ có thông báo Invalid username, nên có thể suy luận nếu mình nhập đúng username thì kết quả trả về sẽ khác. Dựa vào đó mình sẽ sử dụng brute-force để mò ra username. Sử dụng burpsuite bắt request ta được:

Chuyển request sang intruder. Tại tab Positionschọn clear$. Sau đó bôi đen giá trị username và chọn add$ sau khi ta làm xong sẽ được như sau:

Xem Thêm : Điện trở suất là gì? Ý nghĩa và công thức tính điện trở suất

Thực hiện thao tác trên sẽ khiến giá trị được truyền vào sau đó được chuyển đổi thành giá trị của tên người dùng. Tiếp theo, copy danh sách tên người dùng Danh sách tên người dùng trong bài viết trên đã bị hạn chế để dễ dàng thao tác. Danh sách có thể được lấy ở đây.

Trên thực tế, danh sách username và password thường rất dài nên bạn có thể thử nhiều trường hợp hơn, bạn có thể tạo danh sách của riêng mình hoặc tìm kiếm các danh sách username và password phổ biến trên github, ví dụ: https://github. com /duyet/bruteforce – Cơ sở dữ liệu.

Quay lại bài đăng, chuyển sang tab tải trọng và trong tùy chọn tải trọng, hãy chọn dán tên người dùng mà chúng tôi có:

Xem Thêm: 135 Hình ảnh Anime Nữ lạnh lùng ngầu chất Đen trắng-ảnh Nữ Anime cute-ảnh anime nữ vô cảm buồn-vẽ tranh dáng người anime nữ đẹp-cách vẽ anime nữ đơn giản bằng bút chì-tải hình ảnh anime nữ ngầu-cách vẽ anime nữ đơn giản ma kết anime nữ hình nền anime nữ – taytou

Tiếp tục chuyển sang tab Options. Tại Grep-Match chọn clear, sau đó ta thêm Invalid username vào và chọn Add:

Việc này sẽ khiến kết quả trả về thực hiện kiểm tra trong response có ký tự Invalid username hay không. Thực hiện attack và đợi kết quả trả về:

Để ý cột Invalid username tại kết quả trả về, nếu trong response có ký tự Invalid username thì kết quả sẽ có dấu tích, như vậy là không đúng username. Suy ra username=antivirus theo kết quả trên sẽ là username đúng. Thực hiện tương tự để lấy password:

Lấy danh sách mật khẩu tại đây:

Thực hiện attack ta thu được kết quả:

Thông thường khi đăng nhập thành công thì trang web sẽ tự động chuyển hướng sang trang chủ khai thác. Vì thế kết quả tại cột Status sẽ trả về là 302. Dựa vào đó ta thu được password=andrew. Thực hiện đăng nhập với username=antivirus&password=andrew ta được:

Vì vậy, sử dụng vũ lực để đăng nhập thành công vào tài khoản của nạn nhân.

Các bản sửa lỗi vũ phu có thể đến từ hai nguồn: người dùng và quản trị viên trang web.

A. Đối với người dùng, để tránh bị bẻ khóa vũ phu, bạn có thể làm như sau:

• Không sử dụng thông tin cá nhân như tên, ngày sinh, v.v…
• Càng nhiều ký tự càng tốt: Sử dụng 10 ký tự trở lên có thể khiến brute-forceing rất tốn thời gian, có thể lên đến một năm.
• Sự kết hợp của các chữ cái, số và các ký hiệu đặc biệt.
• Tránh sử dụng các mật khẩu đơn giản như: 123456, mật khẩu…
• Ngoài ra, tránh làm mất mật khẩu của bạn bằng cách không sử dụng cùng một mật khẩu cho nhiều tài khoản khác nhau.

b. Sử dụng quản trị viên, bạn có thể triển khai các phương pháp để bảo vệ người dùng khỏi mật khẩu cưỡng bức:

• Yêu cầu mật khẩu mạnh: Bạn có thể buộc người dùng xác định mật khẩu dài và phức tạp. Bạn cũng nên thay đổi mật khẩu định kỳ.
• Giới hạn số lần đăng nhập sai: Việc giới hạn số lần đăng nhập cũng làm giảm khả năng xảy ra các cuộc tấn công vũ phu. Đồng thời, thời gian cho phép nhập tăng lên khi có quá nhiều lần nhập sai.
• Xác thực hai yếu tố: Quản trị viên có thể yêu cầu xác thực hai yếu tố và cài đặt hệ thống phát hiện xâm nhập để phát hiện các cuộc tấn công. Điều này yêu cầu người dùng sử dụng yếu tố thứ hai để theo dõi các lần thử đăng nhập, chẳng hạn như khóa USB vật lý hoặc quét sinh trắc học dấu vân tay.
• captcha: Các công cụ như recaptcha yêu cầu người dùng hoàn thành các tác vụ đơn giản để đăng nhập vào hệ thống. Điều này có thể ngăn chặn các công cụ vũ phu tự động.