FTP mit benutzerdefinierter Wortliste knacken

Einführung

In dieser Aufgabe werden Sie beauftragt, den FTP-Server eines unredlichen Mitarbeiters mit Hydra und einer benutzerdefinierten Wortliste zu knacken. Das Szenario beinhaltet einen schwach gesicherten FTP-Server, der im Firmennetzwerk läuft, und Ihr Ziel ist es, das Passwort zu identifizieren und den Server zu sichern.

Die Aufgabe umfasst das Einrichten eines anfälligen FTP-Servers mit vsftpd, das Erstellen eines Benutzers namens configuser mit einem bekannten Passwort und das anschließende Erstellen einer benutzerdefinierten Passwortlistendatei namens passwords.txt, die potenzielle Passwörter wie "config1", "config123" und "password" enthält. Schließlich verwenden Sie Hydra, um das FTP-Passwort für das configuser-Konto auf localhost mit Ihrer benutzerdefinierten Passwortliste per Brute-Force (Brute-Force-Angriff) zu ermitteln, um das korrekte Passwort zu identifizieren und die Schwachstelle zu demonstrieren.

Skills Graph

FTP mit benutzerdefinierter Wortliste knacken

Ein unredlicher Mitarbeiter hat einen persönlichen FTP-Server mit einem schwachen Passwort im Firmennetzwerk eingerichtet. Ihre Aufgabe ist es, mit Hydra das Passwort zu identifizieren und den Server zu sichern.

Aufgaben

• Erstellen Sie eine Passwortlistendatei namens passwords.txt im Verzeichnis ~/project, die die Passwörter "config1", "config123" und "password" enthält.
• Verwenden Sie Hydra, um das FTP-Passwort für den Benutzernamen configuser auf localhost mit Ihrer benutzerdefinierten Passwortliste zu knacken.

Anforderungen

1. Die Passwortlistendatei muss passwords.txt heißen und sich im Verzeichnis ~/project befinden.
2. Der Hydra-Befehl muss auf den FTP-Dienst abzielen, der auf localhost ausgeführt wird.
3. Der Hydra-Befehl muss den Benutzernamen configuser angeben.
4. Der Hydra-Befehl muss die von Ihnen erstellte Passwortlistendatei verwenden.
5. Die Passwortlistendatei muss die Passwörter "config1", "config123" und "password" enthalten, jedes in einer neuen Zeile.
6. Speichern Sie die Ergebnisse in einer Datei results.txt im Verzeichnis ~/project.

Beispiele

Wenn Hydra das Passwort erfolgreich knackt, sehen Sie eine ähnliche Ausgabe wie:

cat ~/project/results.txt

Sollte die folgende Ausgabe anzeigen:

[21][ftp] host: localhost   login: configuser   password: [placeholder]

Hinweise

• Verwenden Sie den Befehl echo -e oder die manuelle Bearbeitung, um die Passwortlistendatei zu erstellen.
• Beachten Sie die Labordokumentation für die korrekte Hydra-Syntax.

Zusammenfassung

In dieser Aufgabe ist es das Ziel, ein FTP-Passwort mit Hydra und einer benutzerdefinierten Wortliste zu knacken. Das Setup umfasst die Installation und Konfiguration von vsftpd und hydra, das Erstellen eines Testbenutzers (configuser) mit einem bekannten, schwachen Passwort und das Starten des FTP-Dienstes.

Die Aufgabe erfordert das Erstellen einer passwords.txt-Datei, die potenzielle Passwörter enthält, und anschließend die Verwendung von Hydra, um das FTP-Passwort für das configuser-Konto auf localhost per Brute-Force (Brute-Force-Angriff) zu ermitteln, wobei die benutzerdefinierte Passwortliste angegeben wird. Diese Übung demonstriert, wie man Hydra verwendet, um schwache Passwörter in FTP-Diensten zu identifizieren, und unterstreicht die Bedeutung starker Passwortrichtlinien.