Introduction
Une association a fermé son portail du personnel. Une copie synthétique de son ancien export de mots de passe apparaît dans un exercice de gestion d’incident, alors que les archives actuelles fonctionnent toujours. Déterminez ce que les candidats fournis permettent réellement de récupérer, sans perdre le lien entre un ancien enregistrement et une personne.
Vous utiliserez les archives en fonctionnement, exécuterez John the Ripper dans Kali Linux et créerez un inventaire privé de récupération. Toutes les identités sont fictives. Les conteneurs d’audit et cible sont isolés et partagent le noyau d’une VM. Seuls les fichiers et le service fournis sont dans le périmètre ; aucune installation ni programmation n’est nécessaire.
Vous devez savoir saisir des commandes et reconnaître des chemins. Ce laboratoire explique ses options et ses opérations sur les fichiers. Prévoyez environ 45 minutes, lecture et erreurs courantes comprises ; il s’agit d’une estimation de l’auteur. Le laboratoire guidé suivant dispose d’un environnement indépendant et examine l’impact actuel.
Utilisez les archives et protégez vos résultats
Dans cette étape, vous observerez un accès normal avant d’étudier l’export. Ouvrez Auditor. Le terminal entre dans le conteneur Kali d’audit sous auditor, dans /home/auditor/project. Les archives s’exécutent dans un autre conteneur.
SSH est un protocole de connexion distante chiffré. Ces archives acceptent les mots de passe et renvoient uniquement le nom du compte authentifié ; elles ne fournissent pas de shell général. Commencez par le compte de démonstration non sensible. -p choisit le port du service. Les deux options -o sélectionnent le fichier préparé des clés du serveur et exigent une clé correspondante. La clé d’hôte identifie le serveur ; votre mot de passe vous authentifie. Le whoami final demande le nom de votre compte distant.
ssh -o UserKnownHostsFile=/etc/reuse/known_hosts -o StrictHostKeyChecking=yes -p 12222 demo@staff-archive whoami
À l’invite demo@staff-archive's password:, saisissez welcome-7 et appuyez sur Enter. Les caractères du mot de passe ne s’affichent pas. Attendez demo, puis l’invite locale. Ne saisissez pas le mot de passe comme commande du shell. Après une faute de frappe, annulez avec Ctrl+C et répétez la commande SSH. Une erreur de connexion ou de clé d’hôte n’est pas un refus d’identifiants ; ne désactivez pas la vérification des clés.
Lisez le périmètre autorisé. cat affiche un fichier ; les chemins relatifs partent du répertoire courant. inputs contient les originaux en lecture seule.
cat inputs/scope.tsv
Les colonnes séparées par des tabulations sont employee_id, current_login, host et port. Seules ces identités actuelles sur staff-archive:12222, ainsi que demo, peuvent être testées. Ne devinez pas d’autres utilisateurs, hôtes ou listes de candidats.
Les mots de passe récupérés restent sensibles, même ici. umask 077 retire l’accès du groupe et des autres utilisateurs aux nouveaux fichiers de cette session. mkdir -m 700 crée un répertoire accessible uniquement à son propriétaire. Exécutez séparément :
umask 077
mkdir -m 700 findings
findings est votre espace modifiable. S’il existe déjà après reconnexion, conservez-le ; répétez umask 077 dans une nouvelle session. Utilisez pwd pour afficher le répertoire courant et cd /home/auditor/project pour revenir ici en cas d’erreur de chemin relatif. Préservez tous les fichiers d’entrée, les comptes des archives et leurs mots de passe actuels pendant l’audit.
Récupérez les correspondances du dictionnaire fourni
Dans cette étape, vous testerez cinq candidats sur quatre véritables hachages de mots de passe. Un hachage est une valeur dérivée à sens unique d’un mot de passe. La récupération hors ligne calcule les hachages des candidats avec les paramètres stockés et les compare ; elle ne déchiffre pas les mots de passe et ne se connecte pas aux archives.
Restez dans Auditor, dans /home/auditor/project. Lisez chaque petite entrée :
cat inputs/legacy.txt
cat inputs/candidates.txt
Les anciennes lignes ont le format record_id:hash. $6$ indique SHA-512 crypt. La valeur stockée comprend un sel, qui fait produire des valeurs stockées différentes à des mots de passe identiques. Conservez chaque identifiant d’enregistrement. Ce minuscule dictionnaire synthétique accélère l’exercice ; sa vitesse n’estime pas la robustesse des mots de passe en production.
Dans John, --format=sha512crypt choisit le format et --wordlist lit les candidats fournis. Un pot conserve les paires hachage/mot de passe récupérées. --pot sélectionne un fichier privé plutôt qu’un fichier partagé par défaut. --session choisit l’emplacement des fichiers de reprise et de journalisation de l’exécution. OMP_NUM_THREADS=2 limite les threads de travail pour cette seule commande. Ces chemins ne contiennent pas d’espaces et ne nécessitent pas de guillemets.
OMP_NUM_THREADS=2 john --format=sha512crypt --wordlist=inputs/candidates.txt --pot=/home/auditor/project/findings/audit.pot --session=/home/auditor/project/findings/recovery inputs/legacy.txt
Attendez le retour de l’invite. Trois hachages doivent être récupérés ; le temps et l’ordre varient. Lors d’une répétition, No password hashes left to crack peut signifier que le pot contient déjà les résultats, pas que l’entrée était vide. --show lit les résultats enregistrés sans lancer de nouvelle récupération :
john --show --format=sha512crypt --pot=/home/auditor/project/findings/audit.pot inputs/legacy.txt
Attendez-vous aux relations suivantes, éventuellement dans un autre ordre :
portal-17:cedar42
portal-23:pebble7
portal-41:birch81
3 password hashes cracked, 1 left
Exportez la sortie réelle. > redirige la sortie standard dans un fichier et remplace ce fichier de résultats si la commande est répétée. Il ne modifie pas les hachages.
john --show --format=sha512crypt --pot=/home/auditor/project/findings/audit.pot inputs/legacy.txt > findings/recovered.txt
cat findings/recovered.txt
L’export doit conserver les identifiants d’enregistrement et les mots de passe récupérés. Après une erreur de chemin, corrigez puis répétez la commande concernée. Si un résultat est lisible par d’autres, chmod 600 findings/recovered.txt rétablit la lecture et l’écriture réservées au propriétaire ; la même réparation convient à un autre fichier de résultats. Ne partagez pas le pot ou l’export en clair comme résumé de l’incident.
Préservez les identités et l’incertitude
Dans cette étape, vous créerez un inventaire de récupération sans mots de passe. Restez dans Auditor et lisez l’ancien registre du personnel :
cat inputs/legacy-roster.tsv
Il relie record_id à un employee_id stable et à un nom affiché. Deux personnes se nomment Morgan Rivera : portal-17 appartient à E101 et portal-41 à E103. Un nom ne permet pas de relier sûrement un ancien enregistrement à un identifiant de connexion actuel.
Ici, recovered signifie qu’un hachage original correspond à un candidat fourni. not-recovered signifie qu’aucun candidat ne correspond dans cette exécution limitée et terminée. Cela ne signifie pas robuste, sûr, absent ou non réutilisé. L’acceptation par le service actuel reste inconnue pour chaque enregistrement.
Créez findings/recovery.tsv avec les colonnes record_id, employee_id, recovery. printf interprète \t comme une tabulation et \n comme un saut de ligne. Les apostrophes préservent ces séquences jusqu’à leur lecture par printf ; > crée ou remplace cet inventaire sans mots de passe.
printf 'record_id\temployee_id\trecovery\nportal-17\tE101\trecovered\nportal-23\tE102\trecovered\nportal-41\tE103\trecovered\nportal-58\tE104\tnot-recovered\n' > findings/recovery.tsv
cat findings/recovery.tsv
Vérifiez que les quatre enregistrements apparaissent une seule fois avec les identifiants du registre : trois récupérés et un non résolu au-delà de ce budget. Pour corriger une valeur, modifiez le texte de printf et exécutez-le à nouveau. Le pot et l’export privés permettent de poursuivre le travail autorisé ; cet inventaire communique le résultat sans révéler les mots de passe.
Résumé
Vous avez utilisé un service SSH opérationnel, récupéré trois anciens mots de passe synthétiques avec John et préservé leurs identités d’origine. Vos résultats privés et votre inventaire sans mots de passe distinguent les correspondances hors ligne réussies des limites d’un dictionnaire épuisé. Aucun mot de passe récupéré n’a encore été démontré comme fonctionnant sur un compte actuel du personnel. Le laboratoire guidé suivant établit ce jugement distinct avec des paires exactes autorisées.
