Einführung
Ein aus einem stillgelegten Portal wiederhergestelltes Passwort beweist nicht, dass es das aktuelle Personalarchiv noch öffnet. Du musst den alten Datensatz einer autorisierten aktuellen Identität zuordnen und genau diese Beziehung prüfen.
Erstelle eine passwortfreie Auswirkungsübersicht, die aktuelle Wiederverwendung, abgelehnte alte Zugangsdaten, eine Person außerhalb des erlaubten Umfangs und einen ungeklärten Datensatz unterscheidet. John führt echte Offline-Wiederherstellung aus; Hydra prüft begrenzt die Online-Authentifizierung; SSH zeigt dir die akzeptierte Kontoidentität. Synthetisches Ziel und Kali-Prüfumgebung sind isolierte Container mit dem gemeinsamen Kernel einer VM.
Absolviere das vorige Lab oder kenne dessen Ablauf mit John, privaten Dateien und stabilen IDs. Diese Einheit erklärt Hydra und die Auswirkungsbewertung. Die neue Umgebung enthält keine Ergebnisse aus der vorigen VM. Plane einschließlich Lesen und gewöhnlicher Fehler etwa 50 Minuten ein; dies ist eine Schätzung des Autors.
Erstelle die Belege in dieser neuen Umgebung erneut
In diesem Schritt stellst du normalen Zugriff fest und rekonstruierst den Originalexport dieser Einheit. Öffne Auditor unter /home/auditor/project. Aus der vorigen VM muss nichts kopiert werden. Beginne mit der bekannten Demoanmeldung:
ssh -o UserKnownHostsFile=/etc/reuse/known_hosts -o StrictHostKeyChecking=yes -p 12222 demo@staff-archive whoami
Gib am Passwort-Prompt welcome-7 ein; erwartet werden demo und die Rückkehr zum lokalen Prompt. Die Passworteingabe bleibt unsichtbar. Damit bestätigst du normalen Zugriff vor der Prüfung alter Zugangsdaten. Brich nach einem Tippfehler mit Strg+C ab und wiederhole den Befehl. Verbindungs- oder Hostschlüsselfehler sind keine Ablehnung von Zugangsdaten; lasse die strenge Schlüsselprüfung eingeschaltet.
Erstelle private Ergebnisse und wiederhole den bereits gelernten Wiederherstellungsablauf. umask gilt pro Sitzung; wiederhole es nach dem Wiederverbinden. Falls findings schon existiert, behalte es und fahre fort.
umask 077
mkdir -m 700 findings
cat inputs/legacy.txt
cat inputs/candidates.txt
OMP_NUM_THREADS=2 john --format=sha512crypt --wordlist=inputs/candidates.txt --pot=/home/auditor/project/findings/audit.pot --session=/home/auditor/project/findings/recovery inputs/legacy.txt
john --show --format=sha512crypt --pot=/home/auditor/project/findings/audit.pot inputs/legacy.txt > findings/recovered.txt
cat findings/recovered.txt
Erwarte portal-17:cedar42, portal-23:pebble7, portal-41:birch81 und die Zusammenfassung 3 password hashes cracked, 1 left. Ein weiterer Lauf kann die Pot-Datei wiederverwenden; prüfe --show, statt fehlende neue Wiederherstellungen als Fehler zu deuten. portal-58 bleibt mit diesem Kandidatenbudget ungeklärt.
Nutze nach einem Verzeichnisfehler pwd und cd /home/auditor/project. Korrigiere einen falsch geschriebenen Pfad und wiederhole den betroffenen Befehl. chmod 600 findings/recovered.txt korrigiert zu weit gefasste Rechte; verwende das gleiche Muster bei anderen privaten Dateien. Ändere weder Eingaben noch die aktuellen Archivpasswörter.
Prüfe nur die exakten autorisierten Paare
In diesem Schritt entscheidest du, welche wiederhergestellten Datensätze geprüft werden dürfen, und testest mit Hydra zwei exakte Paare. Bleibe in Auditor. Lies Identitätsbeziehung und aktuelle Autorisierung getrennt:
cat inputs/legacy-roster.tsv
cat inputs/scope.tsv
Verknüpfe die Dateien gedanklich über employee_id, nicht den Anzeigenamen. portal-17 ist E101 mit dem aktuellen Anmeldenamen mrivera. portal-23 ist E102, jetzt ncho. Die andere Person namens Morgan Rivera ist E103; für sie ist keine aktuelle Identität autorisiert. Erfinde keinen Anmeldenamen. E104 besitzt einen autorisierten aktuellen Anmeldenamen, aber das alte Passwort wurde nicht wiederhergestellt. Innerhalb dieses Budgets gibt es daher kein altes Paar zum Prüfen.
Hydras -C liest login:password-Paare, eines pro Zeile. So bleibt jede Beziehung erhalten, statt jeden Anmeldenamen mit jedem wiederhergestellten Passwort zu kombinieren. printf, \n, einfache Anführungszeichen und > funktionieren wie im vorigen Lab. Speichere nur die zwei autorisierten wiederhergestellten Paare:
printf 'mrivera:cedar42\nncho:pebble7\n' > findings/pairs.txt
cat findings/pairs.txt
Im folgenden Befehl wählt -C diese Datei und -s den SSH-Port; -t 1 begrenzt die Parallelität auf eine Aufgabe, -w 8 die Wartezeit auf Antworten. -o speichert Hydras Funde. ssh://staff-archive wählt Protokoll und exaktes Ziel. Hydras übliche Hostbehandlung unterscheidet sich von der fest hinterlegten Schlüsselprüfung des nativen SSH; nutze nur dieses vorbereitete interne Ziel. Die Kursfreigabe umfasst zwei ursprüngliche wiederhergestellte Paare, keine Ausweitung des Ratens.
hydra -C findings/pairs.txt -s 12222 -t 1 -w 8 -o findings/hydra.txt ssh://staff-archive
Warte auf den Abschluss. Erwarte eine Erfolgszeile für mrivera mit cedar42, danach 1 valid password found und eine Abschlussübersicht für das Ziel. Das Paar für ncho wird abgelehnt. Hydras Ausgabe enthält Klartextzugangsdaten und bleibt privat. Ein Exit-Status null beweist allein keine funktionierenden Zugangsdaten: Auch ein abgeschlossener Lauf ohne gültige Passwörter kann erfolgreich enden.
cat findings/hydra.txt
Ein unfertiger Lauf, ein Verbindungsfehler oder ein deaktiviertes Ziel belegt keine Passwortablehnung. Prüfe zuerst den exakten Host, Port und die Paardatei. Wenn du einen abgeschlossenen Lauf absichtlich wiederholst und Hydra nach hydra.restore fragt, verwende denselben Befehl mit -I, um die alte Wiederaufnahmedatei zu ignorieren. Das wiederholt die zwei erlaubten Versuche, ohne den Umfang zu erweitern. Nutze keine Optionen, die nach dem ersten Erfolg stoppen, denn beide Paare brauchen eine Entscheidung. Die Bewertung beobachtet echte Authentifizierungsentscheidungen für die exakten ursprünglichen Paare einschließlich Ablehnung; eine kopierte Hydra-Erfolgszeile reicht nicht.
Bestätige die Identität und dokumentiere begrenzte Auswirkungen
In diesem Schritt beobachtest du die akzeptierte Identität und schreibst eine passwortfreie Übergabe. Bleibe in Auditor und nutze natives SSH mit dem wiederhergestellten Passwort:
ssh -o UserKnownHostsFile=/etc/reuse/known_hosts -o StrictHostKeyChecking=yes -p 12222 mrivera@staff-archive whoami
Gib am Passwort-Prompt cedar42 ein. Erwarte mrivera und danach den lokalen Prompt. Der eingeschränkte Archivbefehl gibt das tatsächlich authentifizierte Konto zurück; er öffnet keine Ziel-Shell. Du hast bestätigt, welche aktuelle Identität die alten Zugangsdaten erreichen. Die hier gezeigte Auswirkung ist erfolgreiche Authentifizierung, kein Nachweis des Zugriffs auf jede Archivressource.
Deine Datei findings/impact.tsv benötigt die fünf Spalten record_id, employee_id, current_login, result, identity. Nutze - für einen nicht verfügbaren aktuellen Anmeldenamen oder eine nicht durch erfolgreiche Authentifizierung belegte Identität. Die erlaubten Ergebniswerte bedeuten:
current-reused: Das autorisierte aktuelle Konto akzeptiert das wiederhergestellte alte Passwort dieses Mitarbeiters.current-not-accepted: Genau dieses wiederhergestellte Paar erreichte den Dienst und wurde abgelehnt. Das beweist nicht, dass das Konto kein anderes schwaches Passwort besitzt.out-of-scope: Die Wiederherstellung gelang, aber es gibt keine autorisierte aktuelle Identität für die Person. Prüfe keine geratene Identität.not-recovered: Dieses Wörterbuch stellte das alte Passwort nicht wieder her. Aktuelle Wiederverwendung bleibt unbekannt.
Schreibe die Übersicht ohne Passwörter, mit einer Zeile für jeden alten Datensatz:
printf 'record_id\temployee_id\tcurrent_login\tresult\tidentity\nportal-17\tE101\tmrivera\tcurrent-reused\tmrivera\nportal-23\tE102\tncho\tcurrent-not-accepted\t-\nportal-41\tE103\t-\tout-of-scope\t-\nportal-58\tE104\tlpark\tnot-recovered\t-\n' > findings/impact.tsv
cat findings/impact.tsv
Prüfe Identitätsbeziehungen und alle vier unterschiedlichen Schlussfolgerungen. Korrigiere einen Tippfehler im Text von printf und führe es erneut aus. Die Zeilenreihenfolge darf variieren, aber jede Beziehung muss erhalten bleiben. Bewahre Pot-Datei, Klartextexport, Paardatei und Hydra-Ergebnisse privat auf; die Auswirkungsübersicht ist die passwortfreie Übergabe. Erhalte die Demoanmeldung sowie sämtliche ursprünglichen Konten und Passwörter. Rotiere bei dieser Bewertung keine Passwörter: Die Behebung ist eine spätere Aufgabe mit eigener Autorisierung und Planung.
Zusammenfassung
Du hast alte Datensätze autorisierten aktuellen Identitäten zugeordnet, exakte Zugangsdatenpaare mit Hydra getestet und das Konto mit wiederverwendetem Passwort per SSH beobachtet. Deine Übersicht unterscheidet eine nachgewiesene Wiederverwendung von einem abgelehnten Paar, einer Identität außerhalb des erlaubten Umfangs und einem ungeklärten Datensatz. Diese Aussagen beschreiben die begrenzte Bewertung; sie bescheinigen keine Sicherheit aller Passwörter oder Dienste. Die Challenge überträgt dieselbe Methode auf eine andere Workshop-Liste und ein anderes Ziel.
