오늘은 패스워드 크랙을 해볼 것이다.
패스워드 크랙이란
패스워드를 알아내는 것이다.
아이디에 대한 비밀번호를 찾아내는 것이다.
방법은
무차별 대입 공격(브루트 포스)
사전 공격
중간자대입공격 등등 이 있다.
오늘 해볼 것은 브루트포스와 사전공격이다.
브루트 포스는 무작정 가능한 비밀번호를 다 입력해보는 것이고 (무식, 하지만 컴퓨팅 파워에 따라 효과적)
사전 공격은 비밀번호 일것 같은 애들을 묶어서 그 애들만 집어 넣어 보는 것이다.
먼저 패스워드 크랙을 해보기 위해
서버 리눅스에서 간단하게 FTP 서버를 구축했다.
구축했다기 보다는 .. 프로그램을 설치했다. :)
(설치 명령어)
그 후 공격자 컴퓨터에서 정상적인 접속을 해보았다.
(정상적인 접속 화면.)
정상적으로 아이디와 비밀번호를 입력하고 접속했다.
그 후 FTP 서버가 잘 동작하는지 확인하기 위하여
파일을 다운로드 받아보기로 했다.
(다운 받는 모습)
서버에는 접속하고 이런 로그들이 다 남겨지는데
확인해보겠다.
(로그 화면)
방금 클라이언트가 로그인 한 로그와 다운로드한 로그가 기록된 것을 확인 할 수 있다.
자 이제 패스워드 공격을 우리가 구축한 FTP 서버로 시도해 보겠다.
(경고-이 공격은 불법이므로, 절대로 남의 패스워드를 크랙해서는 안된다.)
무차별 대입공격으로 hydra 라는 툴을 사용할 것이다.
패스워드 크랙 툴로써 오늘 사용해봤는데 신기하고 재밌는 툴이다.
(명령어 입력)
명령어 입력 화면이다.
-t 는 쓰레드의 개수를 설정해주는 것이고
-w 는 쓰레드의 웨이팅 타임을 설정하는 것이다.
짧으면 좋다고 했는데 너무 짧으면 패스워드를 못알아낸다...
로그인하고 응답오는 시간을 감안하는게 좋은거 같다.
-l 아이디를 입력한다.
-V 과정을 보여준다.
-f 비밀번호를 찾으면 종료한다.
-x 는 다양한 비밀번호 유형을 설정하는데 위에 설정한건 4~6자리의 소문자이다.
패스워드 크랙의 시간을 짧게하기위해 일부러
FTP서버의 비밀번호를 잠깐 abaa 로 바꾸었다.
(비밀번호를 찾은 모습)
패스워드 크랙 성공 모습이다.
이번엔 같은 툴로 사전 공격을 해보겠다.
사전 리스트를 만들어준다.
(사전 리스트)
비밀번호로 예상되는 것들의 리스트를 만들어준다.
명렁어에 pass.list를 추가해준다.
(명령어 입력)
(성공 화면)
비밀번호가 정확히 크랙된 모습을 볼 수 있다.
이번에는 다른 툴을 써보겠다.
msfconsole 이라는 툴(?) 메타스플로잇이다.
해킹툴 도구집합체?!
(msfconsole 툴 시작)
(첫 화면)
첫 화면이다.
재밌는 모양으로 생겼다 :)
ftp_login에 사용될 툴을 찾는다. search
(검색 화면)
(ftp_login)
우리는 저기 나와있는 ftp_login 을 이용할 것이다.
use 명령어로 실행한다.
(설정화면)
실행하고 설정을 해준다. (대상 아이피라던지 등등)
(크랙 성공 화면)
이 또한 순식간에 크랙된 것을 확인 할 수 있다.
