Действительно ли атака Bruteforce действительно достижима?

Question

Я пытаюсь пройти тест на проникновение на один из моих сайтов. Имя пользователя и пароль неизвестны мне. Я пытаюсь сломать имя пользователя и пароль, используя грубую силу.

Хотя, эта стратегия должна быть прямой, поскольку мне нужно постоянно генерировать новую буквенно-цифровую комбинацию переменной длины и размещать ее с помощью собственной самозанятой программы.

Но для этой стратегии требуется много времени на обработку и мощность. Мое простое сомнение заключается в том, что эта стратегия достаточно хороша для нарушения имени пользователя и пароля или, как ожидается, будет выполнена какая-то другая задача.

Я много слышал о атаке словаря, но для этого также требуются предопределенные и ожидаемые списки имен пользователей и паролей.

Должен ли я идти за зверюшкой (но это не сработало для меня) или самостоятельной программой? Каков правильный способ зачисления имени пользователя и паролей?

Answer 1

Не только это достижимо, с современными подходами, использующими графические процессоры и ПЛИС, это невероятно жизнеспособный подход. Обратите внимание, что это не обязательно относится к моделям клиент-сервер. Однако, если вы зашифрованные данные, защищенные чем-то вроде PBKDF2, можно с достаточной вычислительной мощностью, чтобы пароль и, следовательно, ключ могли быть восстановлены. Соответствующий подход зависит от того, что вы пытаетесь атаковать. Нападение на сайты намного сложнее, так как без распределенной атаки сайт может просто отбросить свои ответы, замедляя время атаки.

Answer 2

Атаки на грубую силу против живой системы не являются жизнеспособными, так как это слишком медленно: ограниченная полоса пропускания, латентность, дросселирование, возможно, Captchas и т. Д. Можно попробовать атаку по словарю, но, вероятно, только с очень коротким списком пароли.

Но для атак с использованием пароля, когда злоумышленник владеет хэшем пароля, единственным ограничивающим фактором является аппаратное и программное обеспечение его собственной системы. Однако часто атаки с применением грубой силы по-прежнему являются жизнеспособными только в отношении целевых показателей высокой стоимости из-за соотношения затрат и выгод.