Auditar la reutilización de contraseñas tras una filtración del portal es un proyecto práctico de Kali Linux para quienes saben introducir comandos y reconocer rutas. Una organización comunitaria ha retirado su portal de personal, pero su antigua exportación de contraseñas aún podría comprometer un archivo en funcionamiento. Tu tarea es determinar qué credenciales recuperadas permiten autenticarse realmente con una identidad actual autorizada.
Dos laboratorios guiados enseñan el proceso: recuperar contraseñas antiguas sintéticas con John the Ripper, conservar la relación con cada empleado y probar pares exactos autorizados con Hydra y SSH. Un desafío independiente aplica estos métodos a un archivo de talleres con otros registros, cuentas y puerto. Cada unidad comienza con su propio entorno preparado.
Lo que aprenderás
- Realizar una recuperación por diccionario acotada sobre hashes SHA-512 crypt reales y conservar resultados vinculados a las cuentas en archivos privados.
- Relacionar registros antiguos con usuarios actuales autorizados mediante identificadores estables de empleado, incluso si se repiten los nombres visibles.
- Probar pares exactos con Hydra y distinguir un rechazo completado de un fallo de conexión o de la herramienta.
- Observar una identidad autenticada por SSH y elaborar un inventario de impacto sin contraseñas.
- Separar la reutilización demostrada, el rechazo de credenciales antiguas, la falta de autorización y las contraseñas no recuperadas.
A quién va dirigido este curso
Está dirigido a estudiantes de Kali Linux y futuros analistas de seguridad que quieren completar una evaluación pequeña de credenciales más allá de ejecutar un comando de recuperación aislado.
Requisitos previos: Introducción básica de comandos y reconocimiento de rutas. Empieza por el primer laboratorio guiado: presenta las opciones, el manejo de archivos privados y el proceso de recuperación antes de pedirte que los apliques de forma independiente. No necesitas programar ni conocer Hydra.
Entorno de aprendizaje: LabEx proporciona el terminal Auditor en el navegador, las herramientas Kali, evidencias sintéticas y un servicio SSH real aislado. El auditor y el objetivo son contenedores que comparten el núcleo de una VM. No necesitas instalar Kali localmente, crear cuentas externas ni utilizar objetivos públicos.
Preguntas frecuentes
¿Recuperar una contraseña antigua demuestra acceso a la cuenta actual?
No. Debes relacionar el registro con un usuario actual autorizado y probar ese par exacto. El curso hace visibles ambos juicios por separado.
¿Una contraseña no recuperada es segura?
No. Solo significa que el presupuesto de candidatos proporcionado no permitió recuperarla. El proyecto registra esa incertidumbre en lugar de certificar su fortaleza.
¿Cambiaré contraseñas o atacaré sistemas públicos?
No. Todas las identidades y los objetivos pertenecen al ejercicio preparado. Conservas el servicio y sus cuentas al evaluar el impacto; la rotación de contraseñas es otra tarea.
¿Qué entregaré?
Un conjunto privado de evidencias de recuperación y pares exactos, respaldado por decisiones de autenticación reales, y un inventario sin contraseñas que distingue cuatro resultados de impacto. El desafío te pide reunir estos resultados sin una receta guiada.
