《审计门户泄漏后的密码复用风险》是一门面向能够输入终端命令、识别文件路径的学习者的 Kali Linux 实践项目。某社区组织停用了员工门户，但旧密码导出文件可能仍会危及正在运行的档案服务。你的任务是确认：恢复出的哪些凭据确实能够访问获准测试的当前身份。
两节引导实验依次教授完整方法：使用 John the Ripper 恢复合成旧密码，保留员工对应关系，再用 Hydra 和 SSH 测试准确配对的授权凭据。一节独立挑战将这些方法迁移到记录、账户和端口均不同的工作坊档案服务。每个单元都有独立准备的环境。
你将学到什么
- 对真实 SHA-512 crypt 哈希进行限定字典范围的恢复，并在私密文件中保留与账户关联的结果。
- 通过稳定员工 ID 将旧记录对应到获准的当前登录名，即使显示名称重复也能正确区分。
- 使用 Hydra 测试准确的凭据对，区分已完成的认证拒绝、连接故障和工具故障。
- 观察 SSH 实际认证的身份，并制作不含密码的影响清单。
- 分别记录已证实的复用、旧凭据被拒绝、缺少授权映射和密码未恢复四种结论。
本课程适合谁
本课程适合希望超越单条破解命令、完成一次小而完整的凭据评估的 Kali Linux 学习者和安全分析入门者。
前置要求： 会进行基本终端输入并识别路径。请从第一节引导实验开始；它会教授所需选项、私密文件处理和恢复流程，之后再独立运用。不要求编程能力或 Hydra 使用经验。
学习环境： LabEx 提供浏览器中的 Auditor 终端、Kali 工具、合成证据和隔离的真实 SSH 服务。审计端与目标是共享一个 VM 内核的容器。无需在本地安装 Kali、注册外部账户或访问公网目标。
常见问题
恢复了旧密码就能证明当前账户可访问吗？
不能。必须先将旧记录对应到获准测试的当前登录名，再测试该准确凭据对。本课程将这两个判断分别呈现。
密码未恢复是否意味着它安全？
不是。这只说明提供的候选预算没有恢复它。项目保留这一不确定性，不据此认证密码强度。
我会修改密码或攻击公网系统吗？
不会。所有身份和目标都属于准备好的练习。你在评估影响时保留当前服务及其账户；密码轮换是另一个任务。
最终交付什么？
一组私密的恢复证据和准确凭据对，由实际认证决定支持；以及一份不含密码、区分四类影响结果的清单。挑战要求你在没有逐步配方的情况下自行组合这些成果。
