Introdução
Recuperar uma palavra-passe de um portal desativado não prova que continue a abrir o arquivo atual dos funcionários. É necessário associar o registo antigo a uma identidade atual autorizada e testar essa relação exata.
Crie um inventário de impacto sem palavras-passe que distinga reutilização atual, credenciais antigas rejeitadas, uma pessoa fora do âmbito e um registo por resolver. John realiza recuperação offline real; Hydra executa autenticação online limitada; SSH permite observar a identidade aceite. O alvo sintético e o auditor Kali são contentores isolados que partilham o núcleo de uma VM.
Conclua o laboratório anterior ou conheça o processo de John, ficheiros privados e identificadores estáveis aí ensinado. Esta unidade explica Hydra e as decisões sobre o impacto. O ambiente novo não contém resultados da VM anterior. Reserve cerca de 50 minutos, incluindo leitura e erros comuns; é uma estimativa do autor.
Recrie as provas neste ambiente novo
Neste passo, vai estabelecer o acesso normal e recuperar a exportação original desta unidade. Abra Auditor em /home/auditor/project. Não é necessário copiar nada da VM anterior. Comece pelo início de sessão de demonstração conhecido:
ssh -o UserKnownHostsFile=/etc/reuse/known_hosts -o StrictHostKeyChecking=yes -p 12222 demo@staff-archive whoami
Introduza welcome-7 no pedido de palavra-passe; espere demo e o regresso ao prompt local. A introdução é invisível. Assim confirma o acesso normal antes de testar credenciais antigas. Após uma gralha, cancele com Ctrl+C e repita. Falhas de ligação ou de chave do anfitrião não são rejeições de credenciais; mantenha a verificação estrita ativa.
Crie resultados privados e repita o processo de recuperação já ensinado. umask é local à sessão; repita-o após voltar a ligar. Se findings já existir, mantenha-o e continue.
umask 077
mkdir -m 700 findings
cat inputs/legacy.txt
cat inputs/candidates.txt
OMP_NUM_THREADS=2 john --format=sha512crypt --wordlist=inputs/candidates.txt --pot=/home/auditor/project/findings/audit.pot --session=/home/auditor/project/findings/recovery inputs/legacy.txt
john --show --format=sha512crypt --pot=/home/auditor/project/findings/audit.pot inputs/legacy.txt > findings/recovered.txt
cat findings/recovered.txt
Espere portal-17:cedar42, portal-23:pebble7, portal-41:birch81 e o resumo 3 password hashes cracked, 1 left. Uma repetição pode reutilizar o pot; examine --show em vez de interpretar a falta de novas recuperações como falha. portal-58 continua por resolver com este orçamento de candidatos.
Use pwd e cd /home/auditor/project após um erro de diretório. Corrija um caminho mal escrito e repita o comando afetado. chmod 600 findings/recovered.txt corrige permissões demasiado amplas; aplique o mesmo padrão a outro ficheiro privado se necessário. Não altere as entradas nem as palavras-passe atuais do arquivo.
Teste apenas os pares exatos autorizados
Neste passo, vai decidir quais registos recuperados podem ser testados e usar Hydra para testar dois pares exatos. Permaneça em Auditor. Leia separadamente a relação entre identidades e a autorização atual:
cat inputs/legacy-roster.tsv
cat inputs/scope.tsv
Relacione mentalmente os ficheiros por employee_id, não pelo nome de apresentação. portal-17 é E101, cujo nome atual é mrivera. portal-23 é E102, agora ncho. A outra pessoa chamada Morgan Rivera é E103; não existe uma identidade atual autorizada para ela. Não invente um nome de início de sessão. E104 tem um nome atual autorizado, mas a sua palavra-passe antiga não foi recuperada, logo não há um par antigo para testar neste orçamento.
A opção -C do Hydra lê pares login:password, um por linha. Preserva cada relação em vez de combinar todos os nomes com todas as palavras-passe recuperadas. printf, \n, aspas simples e > funcionam como no laboratório anterior. Guarde só os dois pares recuperados autorizados:
printf 'mrivera:cedar42\nncho:pebble7\n' > findings/pairs.txt
cat findings/pairs.txt
No comando seguinte, -C seleciona esse ficheiro, -s escolhe a porta SSH, -t 1 limita a concorrência a uma tarefa e -w 8 limita a espera por resposta. -o guarda os resultados do Hydra. ssh://staff-archive seleciona o protocolo e o alvo exato. O tratamento habitual do anfitrião pelo Hydra difere do processo de chave fixada do SSH nativo; use apenas este alvo interno preparado. A autorização do curso abrange dois pares originais recuperados, não a expansão do processo de adivinhação.
hydra -C findings/pairs.txt -s 12222 -t 1 -w 8 -o findings/hydra.txt ssh://staff-archive
Espere pela conclusão. É esperada uma linha de sucesso para mrivera com cedar42, seguida de 1 valid password found e um resumo de conclusão do alvo. O par de ncho é rejeitado. A saída do Hydra contém credenciais em texto simples e permanece privada. Um estado de saída zero não prova, por si só, uma credencial funcional: uma execução concluída sem palavras-passe válidas também pode terminar com sucesso.
cat findings/hydra.txt
Uma execução incompleta, um erro de ligação ou um alvo desativado não estabelece rejeição de uma palavra-passe. Verifique primeiro o anfitrião, a porta e o ficheiro exato de pares. Se repetir intencionalmente uma execução concluída e o Hydra perguntar por hydra.restore, use o mesmo comando com -I para ignorar o ficheiro antigo de retoma. Isso repete as duas tentativas autorizadas sem alargar o âmbito. Não use opções que parem ao primeiro sucesso, pois ambos os pares precisam de uma decisão. A avaliação observa decisões reais de autenticação dos pares originais exatos, incluindo rejeição; copiar uma linha de sucesso do Hydra é insuficiente.
Confirme a identidade e registe um impacto limitado
Neste passo, vai observar a identidade aceite e escrever uma entrega sem palavras-passe. Permaneça em Auditor e use SSH nativo com a palavra-passe recuperada:
ssh -o UserKnownHostsFile=/etc/reuse/known_hosts -o StrictHostKeyChecking=yes -p 12222 mrivera@staff-archive whoami
Introduza cedar42 no pedido de palavra-passe. Espere mrivera e depois o prompt local. O comando restrito do arquivo devolve a conta realmente autenticada, sem abrir uma shell do alvo. Confirmou qual identidade atual é alcançada pela credencial antiga. O impacto demonstrado é a autenticação bem-sucedida, não o acesso a todos os recursos do arquivo.
O seu findings/impact.tsv deve ter as cinco colunas record_id, employee_id, current_login, result, identity. Use - para um nome atual indisponível ou uma identidade não estabelecida por autenticação bem-sucedida. Os valores permitidos significam:
current-reused: a conta atual autorizada aceita a palavra-passe antiga recuperada desse funcionário.current-not-accepted: aquele par recuperado exato chegou ao serviço e foi rejeitado. Isso não prova que a conta não tenha outra palavra-passe fraca.out-of-scope: a recuperação resultou, mas o funcionário não tem identidade atual autorizada. Não teste uma identidade adivinhada.not-recovered: este dicionário não recuperou a palavra-passe antiga. A reutilização atual permanece desconhecida.
Escreva o inventário sem palavras-passe, com uma linha para cada registo antigo:
printf 'record_id\temployee_id\tcurrent_login\tresult\tidentity\nportal-17\tE101\tmrivera\tcurrent-reused\tmrivera\nportal-23\tE102\tncho\tcurrent-not-accepted\t-\nportal-41\tE103\t-\tout-of-scope\t-\nportal-58\tE104\tlpark\tnot-recovered\t-\n' > findings/impact.tsv
cat findings/impact.tsv
Verifique as relações de identidade e as quatro conclusões diferentes. Corrija uma gralha alterando o texto de printf e repetindo-o. A ordem das linhas pode variar, mas todas as relações têm de permanecer intactas. Guarde privados o pot, a exportação em texto simples, o ficheiro de pares e os resultados Hydra; o inventário de impacto é a entrega sem palavras-passe. Preserve o início de sessão de demonstração e todas as contas e palavras-passe originais. Não altere palavras-passe durante esta avaliação: a correção é uma tarefa posterior com autorização e plano próprios.
Resumo
Associou registos antigos a identidades atuais autorizadas, testou pares exatos com Hydra e observou por SSH a conta que reutiliza a palavra-passe. O inventário distingue uma reutilização demonstrada de um par rejeitado, uma identidade fora do âmbito e um registo por resolver. Estas conclusões descrevem esta avaliação limitada; não certificam a segurança de todas as palavras-passe ou serviços. O desafio transfere o mesmo método para outra lista de oficina e outro alvo.
