Грубая сила – силища страшная!

Одним из механизмов, который использует сканер уязвимостей в ходе оценки защищенности узла, является подбор паролей. Зачастую администраторы совершенно необоснованно пренебрегают проверкой стойкости паролей, полагая, что подбор паролей является трудоемким и малоэффективным механизмом. Однако статистика, полученная экспертами Positive Technologies в ходе работ по аудиту безопасности и тестированию на проникновение, позволяет утверждать, что более чем половина сетей может быть скомпрометирована путем подбора паролей для различных сетевых служб.

Обзор возможностей

На момент написания статьи в XSpider поддерживал подбор паролей для следующих групп сетевых служб и протоколов:

* Протоколы электронной почты
o SMTP
o POP3
* Службы передачи файлов
o NetBIOS/SMB
o FTP
o HTTP
* Протоколы удаленного управления
o Telnet
o SNMP
o Microsoft RDP
o SSH
* Базы данных
o MS SQL
o Oracle
o MySQL

Механизмы подбора паролей для протоколов POP3 и HTTP в настоящее время поддерживают только методы передачи имени пользователя и пароля в открытом виде, такие как Basic для HTTP. Работа с механизмами NTLM и DIGEST будет добавлена в восьмой версии продукта.

Настройка профиля

Чтобы задействовать механизм подбора паролей той или иной службы необходимо явно указать это в профиле сканирования. Для этого в окне настройки параметров сканирования выбирается соответствующий протокол. Если функции подбора паролей для него реализованы, то в окне настройке будут присутствовать связанные опции, например «использовать расширенные словари логинов и паролей».



Расширенные словари представляют собой текстовые файлы, содержащие имена пользователей и пароли. При запуске процесса сканирования файлы словарей считываются из папки Passwds (например, C:Program FilesPositive TechnologiesXSpider 7.5Passwds).



Для большинства протоколов файлы учетных записей и паролей разнесены. Исключением являются SNMP (в протоколе не предусмотрено использование имени пользователя) и Oracle в связи со спецификой работы данной группы проверок. Подробнее об оценке защищенности баз данных можно будет узнать из следующих статей цикла. При необходимости в файле rdp-logins.txt может явно указываться имя домена (например, Этот e-mail адрес защищен от спам-ботов, для его просмотра у Вас должен быть включен Javascript ).

Для некоторых служб можно отключать поддержку расширенных словарей. В этом случае подбор будет осуществляться по встроенным базам данных паролей. Данный механизм является атавизмом и будет исключен из восьмой версии продукта. Вместо этого будет использоваться механизм подключения со стандартными именами пользователей и паролями для данного типа служб.

Логика сканирования

Если в ходе идентификации приложений XSpider обнаруживает сетевую службу, для которой реализован механизм подбора паролей, система строит список учетных записей, подлежащих перебору. Список учетных записей формируется на основе встроенных данных, файлов словарей (если эта опция задействована) и ранее обнаруженных логинов.

Для поиска учетных записей пользователей используются различные механизмы, такие как «NULL Session» в Windows.

Затем определяется поддерживаемый сервером механизм аутентификации. Если сервер поддерживает несколько методов, выбирается наиболее эффективный с точки зрения подбора.

Следующим этапом является непосредственно подбор пароля. В результате работы в отчете могут появляться подобранные имена пользователей и паролей. В некоторых случаях XSpider указывает в отчете только имя пользователя. Это означает, что по тем или иным причинам аутентификация была успешна, но войти в систему не удалось. Характерной ситуацией является попытка удаленного подключения в Windows XP Service Pack 2 от учетной записи с пустым паролем.



Результаты проверок передаются между модулями подбора для различных протоколов. Например, если при работе с NetBIOS был получен список пользователей и подобран пароль пользователя user, эти данные будут использованы в ходе подбора паролей к службе RDP данного сервера.

Подводные камни

Использование подбора паролей в ходе сканирования может вызывать негативные последствия. Наиболее распространенной ситуацией является блокирование учетных записей в доменах Active Directory. Если сканер сумел получить список пользователей, и количество тестируемых паролей превышает максимальное число неудачных входов в систему, то заблокированными могут оказаться все учетные записи кроме администратора.

В сканер встроены механизмы, позволяющие определить, что в системе задействован механизм блокировки учетных записей. Не смотря на это, в подобной ситуации рекомендуется отключать функции подбора паролей.



Особо хотелось бы остановиться на анализе защищенности Web-приложений. Уже встречались ситуации, когда XSpider, подобрав пароль к Web-серверу удаленного управления маршрутизатора Cisco, начинал «нажимать на все кнопки» с привилегиями level 15. Последствия были самыми печальными. В связи с этим хотелось бы особо предупредить об аккуратности администраторов, сканирующих с помощью такого мощного инструмента как XSpider критические компоненты ИТ-инфраструктуры.

В случае возникновения проблем в ходе подбора паролей, можно обратиться к системным журналам сканера. Журналы сохраняются в папке BinLog (например, C:Program FilesPositive TechnologiesXSpider 7.5BinLog) и содержат детальную информацию о работе того или иного компонента системы. Журнал работы механизмов подбора сохраняется в файле system.log.



На рисунке приведена копия экрана протокола подбора пароля для службы SMB.

Заключение

И в заключение статьи приведем сводную таблицу, содержащую информацию о поддерживаемых методах подбора пароля.

В XSpider реализованы механизмы подбора паролей для большинства из популярных сетевых протоколов, что повышает эффективность использование его в ходе контроля защищенности и тестов на проникновение. Естественно, активный подбор паролей является не единственным, и далеко не самым эффективным механизмом парольного аудита. Активные проверки должны комбинироваться с такими методами, как анализ сетевого трафика и анализ баз данных учетных записей пользователей.

Статьи по теме

Обратный отсчет для криптографии: когда квантовые компьютеры станут угрозой?

Современная криптография служит основой защиты цифровых данных, обеспечивая конфиденциальность и целостность информации. Однако с�...

2025-10-24

SSL и HTTPS: как обеспечить безопасность сайта и сохранить доверие клиентов

В условиях современного цифрового пространства защита информации превратилась из опциональной функции в насущную потребность. Фу...

2025-10-10

Персональные данные: где граница между заботой о клиенте и алгоритмическим контролем

К 2025 году вопросы цифровой этики в маркетинге вышли на первый план. Под цифровой этикой понимается ответственное и уважительное от�...

2025-10-10

Ваша цифровая тень: что о вас знает сеть и как это используют

Каждый ваш шаг в интернете оставляет два типа следов. Осознанные действия — посты, лайки, комментарии — формируют ваш актив�...

2025-10-03

Резервное копирование — это не скучно: история о том, как один бэкап спас бизнес стоимостью в миллионы

Вам может повезти, и вашему бизнесу никогда не потребуется использовать резервные копии данных. Однако полагаться на удачу в это...

2025-09-26

Многофакторная аутентификация: защита бизнеса с помощью USB-токенов

Безопасность информационных ресурсов сегодня – не опция, а базовое требование для ведения бизнеса Утечка конфиденциальных д...

2025-09-25

Утечка данных стоит дороже, чем их защита: почему вам нужна грамотная ИТ-инфраструктура

Содержание Что относится к персональным данным О законодательстве Ответственность за отсутствие зашит...

2025-07-04

Скликивание рекламы: как от него защититься?

С каждым годом интернет-реклама становится всё популярнее. Далеко не все компании готовы конкурировать честно, поэтому распространённы...

2021-05-26

Интернет-тролли: как с ними бороться и не подмочить репутацию?

Интернет-тролли: как с ними бороться и не подмочить репутацию? Управление репутацией в сети − важная и сложная задача, которая стоит пе...

2020-09-28

Куки-стаффинг: особенности и методы борьбы с ним

Куки-стаффинг представляет собой мошенническую разработку, инструмент, который используется в рамках партнёрского интернет-маркетинг�...

2019-11-05

Вирусы на сайте: особенности поиска и способы лечения

Одной из распространённых проблем, с которой сталкиваются владельцы сайтов, является вирусная атака. Её негативные последствия очевидн...

2017-08-24

Скрытая угроза: веб-атаки 24x7

Обычно про безопасность и защиту сайтов владельцы и вебмастера задумываются слишком поздно, когда уже возникают видимые и очевидные пр�...

2016-06-14

Manul — бесплатный антивирус для вашего сайта

Manul — бесплатный антивирус для вашего сайта Manul легко установить. Ему не нужен доступ к учётным записям администратора. После окончания ...

2015-08-15

Что если плагины безопасности CMS не защищают сайт от взлома?

Для надежной и бесперебойной работы сайту нужно обеспечить комплексную безопасность. В одной связке должны работать WebApplicationFirewall (WAF) и�...

2015-08-04

Защита сайта от взлома и заражения

Взлом сайта – очень неприятная ситуация, угрожающая его работоспособности. От этого не застрахован ни один ресурс в сети. Совершая подо�...

2015-03-02