levieublereau

Merci

Dchhdd

Trop bien

Pas mal je vais essayer de tester

Tutoriels Tutoriel Le bruteforce (pour les débutants Bonjour/Bonsoir la communauté d'omerta ! Pour mon premier poste (donc ne vous attendez pas à un truc de malade mais je vais essayer de faire un truc propre) je vais un peu vous parler du bruteforce afin de comprendre ce que c'est (pour ceux qui ne savent pas encore bien que cela est connu), je ferai un "tuto" pour montrer son utilisation dans un cas réel et enfin je dirai les points forts et points faibles de cette attaque selon moi. Vous pourrez trouver à la fin de ce poste tout ce qu'il vous faut pour devenir un expert du bruteforce et pouvoir pratiquer en toute l'égalité. II. Définition Le bruteforce (aussi appelé attaque par force brute attaque par dictionnaire (dictionary attack en anglais)) c'est un peu une technique de "bourrin" qui consiste à "deviner" en testant toutes les possibilités en considérant plusieurs paramètres comme les gouts de la personnes, son âge, des événements marquants, etc pour trouver mot de passe (ou autre). Bien sûr, comme on a la flemme de tester ce nombre casi infini de possibilités on va automatiser cela et demander à un robot de le faire. On peut bruteforcer un compte sur un site mais aussi des services comme ssh, ftp, etc. III. Vocabulaire Avant d'entrer dans les détails de cette attaque il faut connaitre quelques mots de vocabulaire de base : Wordlist : liste de mots de passe créée par nous même, récupérée sur le web ou générée par un robot grâce aux informations qu'on lui a indiqué comme les dates de naissances et autres informations qu'on a pu voir. Si vous êtes sous kali linux normalement dans le dossier /usr/share/worldlists . Vous avez la célèbre wordlist rockyou.txt qui contient les mots de passes les plus faibles et encore utilisés par exemple. Bypass : C'est un mot qui n'est pas exclusivement destiné à cette attaque, il désigne une méthode qui permet de contourner un moyen de protection. A2F : Authentification à deux facteurs, en gros quand vous vous connectez à un compte avec une autre adresse ip que d'habitude on va vous demander un mot de passe et un code qui vous aura été envoyé par mail ou par message. IV. Pirater quelqu'un avec le bruteforce ? Avant de bruteforce il faut déjà essayer de mettre toutes les chances de notre coté pour ce faire il faut analyser la victime : Ses connaissances en sécurité car c'est sûr que si elle même à quelques compétences en sécu elle va pas mettre 123456 ou le nom de son chien (quoique). Pour cette exemple on va dire qu'elle a 0 notions pour faciliter les choses mais il faut savoir que ce n'est pas impossible de trouver le mot de passe d'une personne avec ces notions même si il vaudrait mieux utiliser d'autres types d'attaques. Enfin bref, pour les personnes qui n'ont pas beaucoup de compétences je dirai qu'il y a deux types de mots de passe que j'ai vu très fréquemment : Le mot de passe universel type 123456, azerty (ou qwerty), unicorn etc. Le mot de passe facilement trouvable grâce à la personne comme son nom + date de naissance, nom de l'animal de compagnie, ville, personnage préféré dans x série. Comme dit tout à l'heure ces mots de passe on va pas tous les tester et trouver à la main pour ça on a des outils. Avant de les citer je vais vous expliquer comment ça marche, c'est relativement simple : On donne une On indique le site dont on veut récupérer les identifiants de la personne ainsi que le champ (on indique l'email/nom d'utilisateur si on l'a). On lance le robot et on attends qu'il dit avoir trouvé un mot de passe (ou non). Notez que dans cet exemple on part du principe que le site n'a aucune protection contre le bruteforce (comme un captcha), après si dans votre cas il y en a vous pouvez toujours chercher sur internet des bypass ou les trouver vous même. Sachez aussi que dans beaucoup d'outils de bruteforce il y a des options pour bypass ces protections. Pour réaliser une attaque par force brute l'outil le plus connu est Hydra (https://github.com/vanhauser-thc/thc-hydra) je vous laisse faire la commande hydra -h pour voir la globalité de ses options/possibilités. Donc après avoir récupérer le plus d'informations sur la cible et avoir trouver son mot de passe il faut sécuriser le tout et voir un peu le butin. Déjà on essaie de se connecter à son compte à une heure où on a le plus de chances qu'il ne soit pas connecté, ensuite on prend un vpn, proxy pour pas se faire remonter si on se fait cramer. Si le compte n'a pas A2F on peut avoir accès à ce dernier très facilement sinon il faut tenter un coup de SE pour lui soutirer le code envoyé par mail/téléphone. Une fois qu'on a complétement accès à son compte on fait ce qu'on à faire et on peut essayer à se connecter à d'autres de ses comptes par exemple facebook s'il en a un ou un mail et qu'il réutilise. Aussi, on peut changer son mot de passe (si on a accès à son mail) afin qu'il n'a plus accès à ce dernier mais cela reste facultatif, on ne fait rien si on ne veut pas qu'il s'en rende compte. V. (Dés)Avantages du bruteforce Je vais commencer avec les désavantages : 1. Le temps En fait cette technique ne réussit pas toujours et quand vous avez une wordlist avec 10000 mots de passe à tester avec un pc lent et que vous n'avez aucun résultat c'est plus une perte de temps qu'autre chose. 2. Les protections Les sites s'acharnent de plus en plus à se protéger de ses attaques et leurs méthodes sont de plus en plus perfectionnées, il y aura toujours un moyen de les contourner mais il faudra redoubler d'ingénéositer. 3. Type de cible Comme je l'ai mentionné bien plus en haut si la cible a un minimum de connaissances ce sera dur de trouver son mot de passe et il faudra opter pour une autre attaque. Même si beaucoup de personnes n'ont pas de mots de passe sécurisés (même des sysadmin). Maintenant les avantages : 1. La furtivité Si pour pirater le compte de votre victime vous aurez utilisé le phishing après que celle-ci s'est rendu compte qu'elle s'est fait piratée elle se doutera surement que c'est à cause du mail chelou qu'on lui a envoyé, en plus de cela elle aura une petite chance de pouvoir vous retrouver par contre avec l'attaque par force brute il lui faudra un peu creuser. 2. La simplicité Pour réaliser cette attaque il suffit juste d'avoir une wordlist et d'un bot qui fait le taff rien de plus, et si vous avez un bon pc vous pouvez faire autre chose à coté pendant que le bot trouve le mot de passe. VI. Conclusion et liens Du coup c'est la fin de ce tutoriel n'hésitez pas à le critiquer vu que c'est mon premier je sais pas trop si il est bien. Enfin bref comme promis voici des liens qui vous permettrons de vous entraîner et de creuser à fond le sujet : Utiliser Hydra : https://www.tryhackme.com/room/hydra Bruteforce (hackthebox) : https://academy.hackthebox.com/course/preview/login-brute-forcing Explications : https://www.oracle.com/fr/cloud/attaque-brute-force/ Le lien qui vous permettra d'être un expert : https://google.com ou https://duckduckgo.com (qui ne revend pas les données).