Auditar a reutilização de palavras-passe após uma fuga no portal é um projeto prático de Kali Linux para quem sabe introduzir comandos no terminal e reconhecer caminhos de ficheiros. Uma organização comunitária desativou o portal dos funcionários, mas a antiga exportação de palavras-passe ainda pode ameaçar o arquivo em funcionamento. A sua tarefa é determinar quais credenciais recuperadas permitem realmente autenticar uma identidade atual autorizada.
Dois laboratórios guiados ensinam o processo: recuperar palavras-passe antigas sintéticas com John the Ripper, manter a relação com cada funcionário e testar pares exatos autorizados com Hydra e SSH. Um desafio independente aplica os mesmos métodos a um arquivo de oficinas com outros registos, contas e porta. Cada unidade começa com o seu próprio ambiente preparado.
O que você aprenderá
- Realizar uma recuperação por dicionário limitada sobre hashes SHA-512 crypt reais e guardar resultados associados às contas em ficheiros privados.
- Relacionar registos antigos com nomes de início de sessão atuais autorizados através de identificadores estáveis de funcionário, mesmo com nomes de apresentação repetidos.
- Testar pares exatos com Hydra e distinguir uma rejeição concluída de falhas de ligação ou da ferramenta.
- Observar uma identidade autenticada por SSH e produzir um inventário de impacto sem palavras-passe.
- Separar reutilização demonstrada, rejeição das credenciais antigas, ausência de autorização e palavras-passe não recuperadas.
Para quem é este curso
Este curso destina-se a estudantes de Kali Linux e futuros analistas de segurança que pretendem realizar uma avaliação de credenciais pequena e completa, para além de um comando isolado de recuperação.
Pré-requisitos: Introdução básica de comandos e reconhecimento de caminhos. Comece pelo primeiro laboratório guiado: ele ensina as opções necessárias, a proteção de ficheiros e o processo de recuperação antes da aplicação independente. Não é necessário programar nem conhecer Hydra.
Ambiente de aprendizagem: O LabEx fornece o terminal Auditor no navegador, ferramentas Kali, provas sintéticas e um serviço SSH real isolado. O auditor e o alvo são contentores que partilham o núcleo de uma VM. Não precisa de instalar Kali localmente, criar contas externas ou utilizar alvos públicos.
Perguntas frequentes
Recuperar uma palavra-passe antiga prova o acesso à conta atual?
Não. É necessário relacionar o registo com um nome de início de sessão atual autorizado e testar esse par exato. O curso torna estas duas decisões distintas e visíveis.
Uma palavra-passe não recuperada é segura?
Não. Significa apenas que o orçamento de candidatos fornecido não permitiu recuperá-la. O projeto regista essa incerteza em vez de certificar a sua robustez.
Vou alterar palavras-passe ou atacar sistemas públicos?
Não. Todas as identidades e alvos pertencem ao exercício preparado. Preserva o serviço e as contas atuais durante a avaliação; a rotação de palavras-passe é uma tarefa separada.
O que vou entregar?
Um conjunto privado de provas de recuperação e pares exatos, sustentado por decisões reais de autenticação, e um inventário sem palavras-passe que distingue quatro resultados de impacto. O desafio pede que reúna esses resultados sem uma receita guiada.
