Введение
Lumen Hire готовит четыре дисплея к выставке. Службы обслуживания работают, но некоторые ещё принимают заводские логины. Найдите все такие устройства без изменения конфигурации и соберите правильные файлы передачи.
В Equipment Desk доступны список и сохранённые файлы; команды выполняются в Workstation. Это независимые локальные HTTP-службы одного учебного контейнера, не физические устройства. Нужны лишь базовый ввод в терминале, понимание путей и смена вкладок; Hydra готова. Проверяйте только четыре назначенные службы и предоставленные полные пары. Все идентификаторы и пароли синтетические.
Сопоставьте адрес службы и устройство
На этом шаге вы прочитаете исправное устройство до начала аудита. Откройте Equipment Desk. Карточка показывает устройство и адрес его службы обслуживания. Адрес службы состоит из сетевого адреса и порта; здесь разные порты ведут к разным службам.
Перейдите в Workstation, изначально в /home/labex/project/device-audit. cat выводит файл:
cat inventory.tsv
Список с разделителями-табуляциями содержит четыре идентификатора и адреса служб. Не меняйте оригинал. 127.0.0.1 — контейнер лаборатории, не ваш компьютер. Все службы предоставляют /status и /handover.json.
curl отправляет HTTP-запрос; -i включает заголовки ответа. Запросите первое устройство без учётных данных:
curl -i http://127.0.0.1:8811/status
Ожидаются 401 Unauthorized и запрос Basic-аутентификации в WWW-Authenticate. Это отказ аутентификации, не ошибка соединения. HTTP Basic передаёт пару имени и пароля, не шифруемую обычным HTTP. Этот локальный учебный канал не моделирует безопасную передачу через Интернет.
Известная пара viewer:desk-demo позволяет только читать состояние. -u задаёт пару, -o сохраняет тело ответа:
curl -u viewer:desk-demo -o reference.json http://127.0.0.1:8811/status
cat reference.json
Ожидайте D201, модель и примечание об упаковке. Эта рабочая справочная проверка — не найденный заводской вход. Аккаунт просмотра не может загружать файлы передачи. Ошибка соединения означает неправильный адрес или порт: сравните с inventory.tsv, исправьте опечатку и повторите запрос.
Завершите аудит заводских входов
На этом шаге вы проверите всю партию, сохраняя пары учётных данных. Оставайтесь в Workstation и прочитайте синтетическую заводскую справку:
cat factory-logins.txt
Каждая строка username:password — разрешённая пара. Раздельные списки имён и паролей создадут лишние комбинации вне задания. Запишите три пары в pairs.txt. Here-document с кавычками сохраняет буквальный текст; > заменяет файл, завершающий PAIRS должен стоять отдельно:
cat > pairs.txt <<'PAIRS'
admin:factory-one
operator:factory-two
service:factory-three
PAIRS
Запишите каждый назначенный адрес службы ровно раз, по одному на строку:
cat > targets.txt <<'TARGETS'
127.0.0.1:8811
127.0.0.1:8812
127.0.0.1:8813
127.0.0.1:8814
TARGETS
Hydra пробует вход в сетевую службу. -C читает полные пары, -M — адреса служб. http-get выбирает HTTP Basic, -m /status передаёт путь ресурса. -t 1 ограничивает каждую цель одной задачей, а -T 1 — весь запуск одной задачей, чтобы небольшой аудит было легко проследить. Ранняя остановка здесь не используется. Строчная -f может остановить одну цель после первой действующей пары, но другие цели ещё нужно проверить. Заглавная -F останавливает всю партию после любого успеха и может оставить устройства непроверенными.
-o сохраняет находки, -b json выбирает структурированный формат JSON. -I начинает новый запуск без восстановления прерванного. Выполните:
hydra -I -C pairs.txt -M targets.txt -t 1 -T 1 -o findings.json -b json -m /status http-get
cat findings.json
Ожидаются три записи results, каждая со своим портом, логином и паролем, и quantityfound, равное 3. JSON success: true означает завершение инструмента без ошибок выполнения, а не принятие пароля всеми устройствами. Для четвёртого нет находки в данном наборе. Это ограниченный вывод, не доказательство надёжности пароля.
Ошибка соединения — не отрицательный результат. Сравните targets.txt с исходным списком и исправьте. Перед повторным запуском удалите прежний вывод командой rm findings.json, чтобы JSON разных запусков не смешивался. rm удаляет только названный результат, не исходные файлы. Сохраняйте полные пары. Не меняйте пароли и службы устройств ради успешной проверки.
Соберите соответствующие файлы передачи
На этом шаге вы примените каждую найденную пару к реальному устройству и сохраните полный файл. Оставайтесь в Workstation. mkdir -p создаёт каталог при необходимости, не удаляя содержимое:
mkdir -p handover
Используйте три соответствия порта и логина из findings.json. curl -f завершается ошибкой при HTTP-отказе, вместо сохранения страницы ошибки как успешной загрузки:
curl -f -u admin:factory-one -o handover/asset-D201.json http://127.0.0.1:8811/handover.json
curl -f -u operator:factory-two -o handover/asset-D202.json http://127.0.0.1:8812/handover.json
curl -f -u service:factory-three -o handover/asset-D203.json http://127.0.0.1:8813/handover.json
cat handover/asset-D202.json
Проверьте идентификатор, расположение, ориентацию и упаковочное примечание. Совпадающие имена или количество файлов не доказывают правильность содержимого разных устройств. При отказе сопоставьте порт и пару с собственным результатом Hydra, исправьте команду и загрузите снова.
Откройте Equipment Desk, выберите Your handover и прочитайте три файла. Нажмите Download saved file у D202 и откройте JSON. Просмотрщик читает только локальные файлы, не загружая и не исправляя их. У D204 должно быть No saved file. Отсутствие само по себе не заключение: отрицательный результат требует проверки всего набора кандидатов.
Оставьте три оригинала в handover, собственный findings.json, оба входных списка и эталон. Сохраните все четыре службы и исходные файлы списка и справки неизменными. Это завершает ограниченный аудит стандартных входов, не полную оценку безопасности.
Резюме
Вы сопоставили идентификаторы и адреса служб, сохранили заводские пары, завершили многоцелевой аудит Hydra и независимо загрузили правильные файлы. Вы отличили ограниченный отрицательный результат от ошибки соединения и непроверенного устройства, сохранив нормальную работу.
