Passwortwiederverwendung nach einem Portal-Leck prüfen ist ein praktisches Kali-Linux-Projekt für Lernende, die Terminalbefehle eingeben und Dateipfade erkennen können. Eine gemeinnützige Organisation hat ihr Personalportal stillgelegt, doch der alte Passwortexport könnte weiterhin ihr laufendes Archiv gefährden. Du ermittelst, welche wiederhergestellten Zugangsdaten tatsächlich eine autorisierte aktuelle Identität erreichen.
Zwei angeleitete Labs vermitteln den Ablauf: synthetische alte Passwörter mit John the Ripper wiederherstellen, die Zuordnung zu den Beschäftigten bewahren und anschließend exakte autorisierte Paare mit Hydra und SSH prüfen. Eine eigenständige Challenge überträgt diese Methoden auf ein Workshop-Archiv mit anderen Datensätzen, Konten und einem anderen Port. Jede Einheit beginnt mit einer eigenen vorbereiteten Umgebung.
Was du lernen wirst
- Echte SHA-512-crypt-Hashes mit einem begrenzten Wörterbuch prüfen und kontobezogene Ergebnisse in privaten Dateien speichern.
- Alte Datensätze über stabile Mitarbeiter-IDs autorisierten aktuellen Anmeldenamen zuordnen, auch bei gleichen Anzeigenamen.
- Exakte Zugangsdatenpaare mit Hydra testen und eine abgeschlossene Ablehnung von Verbindungs- oder Werkzeugfehlern unterscheiden.
- Eine durch SSH authentifizierte Identität beobachten und eine passwortfreie Übersicht der Auswirkungen erstellen.
- Nachgewiesene Wiederverwendung, abgelehnte alte Zugangsdaten, fehlende Autorisierung und nicht wiederhergestellte Passwörter getrennt bewerten.
Für wen dieser Kurs geeignet ist
Der Kurs richtet sich an Kali-Linux-Lernende und angehende Sicherheitsanalysten, die über einen einzelnen Wiederherstellungsbefehl hinaus eine kleine, vollständige Zugangsdatenprüfung durchführen möchten.
Voraussetzungen: Einfache Terminaleingaben und das Erkennen von Pfaden. Beginne mit dem ersten angeleiteten Lab. Es erklärt Optionen, den Umgang mit privaten Dateien und den Wiederherstellungsablauf vor der eigenständigen Anwendung. Programmierkenntnisse oder Hydra-Erfahrung sind nicht erforderlich.
Lernumgebung: LabEx stellt das Terminal Auditor im Browser, Kali-Werkzeuge, synthetische Belege und einen isolierten echten SSH-Dienst bereit. Prüfumgebung und Ziel sind Container mit einem gemeinsamen VM-Kernel. Eine lokale Kali-Installation, externe Konten oder öffentliche Ziele werden nicht benötigt.
Häufig gestellte Fragen
Beweist ein wiederhergestelltes altes Passwort den Zugriff auf das aktuelle Konto?
Nein. Du musst den Datensatz einem autorisierten aktuellen Anmeldenamen zuordnen und genau dieses Paar testen. Der Kurs macht beide Entscheidungen getrennt sichtbar.
Ist ein nicht wiederhergestelltes Passwort sicher?
Nein. Das bereitgestellte Kandidatenbudget hat es lediglich nicht wiederhergestellt. Das Projekt hält diese Unsicherheit fest, statt Passwortstärke zu bescheinigen.
Ändere ich Passwörter oder greife öffentliche Systeme an?
Nein. Alle Identitäten und Ziele gehören zur vorbereiteten Übung. Bei der Prüfung bleiben der aktuelle Dienst und seine Konten erhalten; ein Passwortwechsel wäre eine eigene Aufgabe.
Was liefere ich ab?
Private Wiederherstellungsbelege und exakte Zugangsdatenpaare, gestützt durch echte Authentifizierungsentscheidungen, sowie eine passwortfreie Übersicht mit vier unterschiedlichen Ergebnissen. In der Challenge stellst du diese Ergebnisse ohne angeleitete Rezeptfolge zusammen.
