Introducción
Recuperar una contraseña de un portal retirado no demuestra que siga abriendo el archivo actual del personal. Debes relacionar el registro antiguo con una identidad actual autorizada y probar esa relación exacta.
Elabora un inventario de impacto sin contraseñas que distinga reutilización actual, credenciales antiguas rechazadas, una persona fuera de alcance y un registro sin resolver. John realiza la recuperación real sin conexión; Hydra hace una autenticación en línea limitada; SSH permite observar la identidad aceptada. El objetivo sintético y el auditor Kali son contenedores aislados que comparten el núcleo de una VM.
Completa el laboratorio anterior o conoce su proceso de John, archivos privados e identificadores estables. Esta unidad explica Hydra y las decisiones de impacto. Su entorno nuevo no contiene resultados de la VM anterior. Calcula unos 50 minutos, incluida la lectura y los errores habituales; es una estimación del autor.
Reconstruye las evidencias en este entorno nuevo
En este paso, comprobarás el acceso normal y recuperarás la exportación original de esta unidad. Abre Auditor en /home/auditor/project. No debes copiar nada de la VM anterior. Empieza con el acceso de demostración conocido:
ssh -o UserKnownHostsFile=/etc/reuse/known_hosts -o StrictHostKeyChecking=yes -p 12222 demo@staff-archive whoami
Introduce welcome-7 en la solicitud de contraseña; espera demo y la vuelta al indicador local. La entrada de contraseña es invisible. Así confirmas el acceso normal antes de probar credenciales antiguas. Tras un error de escritura, cancela con Ctrl+C y repite. Los fallos de conexión o de clave del host no son rechazos de credenciales; mantén activa la comprobación estricta.
Crea resultados privados y repite el proceso de recuperación ya aprendido. umask solo se aplica a la sesión; repítelo tras reconectar. Si findings ya existe, consérvalo y continúa.
umask 077
mkdir -m 700 findings
cat inputs/legacy.txt
cat inputs/candidates.txt
OMP_NUM_THREADS=2 john --format=sha512crypt --wordlist=inputs/candidates.txt --pot=/home/auditor/project/findings/audit.pot --session=/home/auditor/project/findings/recovery inputs/legacy.txt
john --show --format=sha512crypt --pot=/home/auditor/project/findings/audit.pot inputs/legacy.txt > findings/recovered.txt
cat findings/recovered.txt
Espera portal-17:cedar42, portal-23:pebble7, portal-41:birch81 y el resumen 3 password hashes cracked, 1 left. Una repetición puede reutilizar el pot; inspecciona --show en lugar de interpretar la falta de recuperaciones nuevas como un fallo. portal-58 sigue sin resolverse con este presupuesto de candidatos.
Usa pwd y cd /home/auditor/project tras un error de directorio. Corrige una ruta mal escrita y repite el comando afectado. chmod 600 findings/recovered.txt repara permisos demasiado amplios; aplica el mismo patrón a otro archivo privado si hace falta. No modifiques las entradas ni las contraseñas actuales del archivo.
Prueba únicamente los pares exactos autorizados
En este paso, decidirás qué registros recuperados pueden probarse y usarás Hydra para probar dos pares exactos. Permanece en Auditor. Lee por separado la relación de identidades y la autorización actual:
cat inputs/legacy-roster.tsv
cat inputs/scope.tsv
Relaciona mentalmente los archivos mediante employee_id, no por el nombre visible. portal-17 es E101, cuyo usuario actual es mrivera. portal-23 es E102, ahora ncho. La otra persona llamada Morgan Rivera es E103; no tiene una identidad actual autorizada. No inventes un usuario para esa persona. E104 tiene un usuario actual autorizado, pero no se recuperó su contraseña antigua; por tanto, no hay un par antiguo que probar dentro de este presupuesto.
La opción -C de Hydra lee pares login:password, uno por línea. Así conserva cada relación en lugar de combinar todos los usuarios con todas las contraseñas recuperadas. printf, \n, las comillas simples y > funcionan como en el laboratorio anterior. Guarda solo los dos pares autorizados recuperados:
printf 'mrivera:cedar42\nncho:pebble7\n' > findings/pairs.txt
cat findings/pairs.txt
En el siguiente comando, -C selecciona ese archivo, -s el puerto SSH, -t 1 limita la concurrencia a una tarea y -w 8 limita la espera de respuesta. -o guarda los hallazgos de Hydra. ssh://staff-archive selecciona el protocolo y el objetivo exacto. El tratamiento habitual del host por Hydra difiere del flujo con clave fijada de SSH nativo; usa exclusivamente este objetivo interno preparado. La autorización del curso abarca dos pares originales recuperados, no ampliar las conjeturas.
hydra -C findings/pairs.txt -s 12222 -t 1 -w 8 -o findings/hydra.txt ssh://staff-archive
Espera a que termine. Se espera una línea de éxito para mrivera con cedar42, seguida de 1 valid password found y un resumen de finalización del objetivo. El par de ncho se rechaza. La salida de Hydra contiene credenciales en texto claro y debe permanecer privada. Un estado de salida cero por sí solo no demuestra una credencial válida: una ejecución completada sin contraseñas válidas también puede finalizar correctamente.
cat findings/hydra.txt
Una ejecución incompleta, un error de conexión o un objetivo deshabilitado no demuestra que una contraseña haya sido rechazada. Comprueba primero el host, el puerto y el archivo de pares exactos. Si repites deliberadamente una ejecución completada y Hydra pregunta por hydra.restore, usa el mismo comando con -I para ignorar el archivo de restauración antiguo. Repite los dos intentos autorizados sin ampliar el alcance. No uses opciones que se detengan tras el primer éxito: ambos pares necesitan una decisión. La evaluación observa decisiones de autenticación reales para los pares originales exactos, incluido el rechazo; no basta con copiar una línea de éxito de Hydra.
Confirma la identidad y registra un impacto acotado
En este paso, observarás la identidad aceptada y redactarás una entrega sin contraseñas. Permanece en Auditor y usa SSH nativo con la contraseña recuperada:
ssh -o UserKnownHostsFile=/etc/reuse/known_hosts -o StrictHostKeyChecking=yes -p 12222 mrivera@staff-archive whoami
Introduce cedar42 cuando se solicite la contraseña. Espera mrivera y después el indicador local. El comando restringido del archivo devuelve la cuenta autenticada real; no abre un shell del objetivo. Has confirmado qué identidad actual alcanza la credencial antigua. El impacto demostrado es la autenticación correcta, no el acceso a todos los recursos del archivo.
Tu findings/impact.tsv debe tener las cinco columnas record_id, employee_id, current_login, result, identity. Usa - para un usuario actual no disponible o una identidad no establecida mediante autenticación correcta. Los valores permitidos significan:
current-reused: la cuenta actual autorizada acepta la contraseña antigua recuperada de ese empleado.current-not-accepted: el par recuperado exacto llegó al servicio y fue rechazado. Esto no demuestra que la cuenta carezca de otras contraseñas débiles.out-of-scope: la recuperación tuvo éxito, pero el empleado no tiene una identidad actual autorizada. No pruebes una inventada.not-recovered: este diccionario no recuperó la contraseña antigua. La reutilización actual sigue siendo desconocida.
Escribe el inventario sin contraseñas, con una fila por cada registro antiguo:
printf 'record_id\temployee_id\tcurrent_login\tresult\tidentity\nportal-17\tE101\tmrivera\tcurrent-reused\tmrivera\nportal-23\tE102\tncho\tcurrent-not-accepted\t-\nportal-41\tE103\t-\tout-of-scope\t-\nportal-58\tE104\tlpark\tnot-recovered\t-\n' > findings/impact.tsv
cat findings/impact.tsv
Comprueba las relaciones de identidad y las cuatro conclusiones distintas. Corrige un error editando el texto de printf y repitiéndolo. El orden de las filas puede cambiar, pero todas las relaciones deben mantenerse. Conserva privados el pot, la exportación en texto claro, el archivo de pares y los resultados de Hydra; el inventario es la entrega sin contraseñas. Mantén el acceso de demostración y todas las cuentas y contraseñas originales. No cambies contraseñas durante esta evaluación: la corrección es una tarea posterior con su propia autorización y plan.
Resumen
Has relacionado registros antiguos con identidades actuales autorizadas, probado pares exactos con Hydra y observado mediante SSH la cuenta que reutiliza una contraseña. Tu inventario distingue una reutilización demostrada de un par rechazado, una identidad fuera de alcance y un registro sin resolver. Estas conclusiones describen esta evaluación acotada; no certifican que todas las contraseñas o servicios sean seguros. El desafío transfiere el mismo método a otra plantilla de taller y otro objetivo.
