Теперь перейдите в Proxy - Intercept, отключите его. Кукиз, заголовки, скрытые поля, случайные данные в скрытых полях. Попытка помечается как успешная, если этот текст отсутствует в ответе сервера. Очень хорошо, что мы обратили на это внимание ведь нам нужно настроить наши программы для брутфорса так, чтобы и они отправляли куки с валидной сессией, иначе они не смогут «общаться» с внутренними страницами dvwa, которые содержат веб-форму, которую мы хотим брут-форсить. Как мы помним, серверу передаётся строка /dvwa/vulnerabilities/brute/?usernameadmin passwordpassword11 LoginLogin, которая является относительным адресом страницы. Дополнительно в задании нам сообщили о четырёх пользователях, пароли которых также нужно узнать. Попробуем использовать эту информацию. Выпишем информацию по модулю web-form, поскольку именно он применяется для брут-форса форм входа веб-сайтов. Из файла opened_names. По умолчанию: deny-signal? По умолчанию: "post? Из поведения веб-приложения мы видим, что неверный пароль возвращает код ответа 200. Кстати, то, что форма отправляет значения некоторых величин методом GET, вовсе не означает, что она одновременно не отправляет значения методом post. Для этого необходимо создать зону лимитов. Вот результат выполнения брут-форса: 03:28:56 patator info - Starting Patator.7-beta (m/lanjelot/patator) at 03:28 EDT 03:28:56 patator info - 03:28:56 patator info - code size:clen time candidate num mesg 03:28:56 patator info :30:51 patator info. Попробую с таким сочетанием:./ http_fuzz url"http localhost/dvwa/vulnerabilities/brute/?usernamefile0 passwordfile1 LoginLogin" methodGET header'Cookie: securitylow; phpsessid1n3b0ma83kl75996udoiufuvc2' 0opened_names. Второе это переменные post/GET получаемые либо из браузера, либо прокси. А в ответе при неверном пароли присутствует слово «incorrect Мы собрали достаточно данных, переходим к составлению команды для запуска брутфорса. Запрос) body : данные тела header : использовать пользовательские заголовки method : метод для использования getposthead. А перебор паролей формы, передающей данные методом post я буду показывать на примере. Fields Методы и поля для отправки веб-службе. Get Этот метод предназначен для получения требуемой информации и передачи данных в адресной строке. Действительные данные, которые отправляет форма, также должны быть определены здесь. Заполнители не указываются. Более того, гибкость patator позволяет проводить брут-форс в обстоятельствах, которые были бы не по зубам Hydra и Medusa (если бы они работали). Поэтому мы будем анализировать «живые» данные, которые непосредственно отправляет браузер. Далее после опции -h нам нужно указать адрес хоста, который будет брут-форситься: -h localhost Теперь опциями -U и -P укажем файлы с именами пользователей и паролями: -U opened_names. Связанные статьи. Host useradmin password file0 -e b64 Опции модуля http_fuzz : url : целевой url (схема хост:порт/путь? Я буду практиковаться в owasp Mutillidae II, установленной в Web Security Dojo. Txt Самую свежую версию Burp Suite можно скачать по ссылке: hx? Поэтому собрались! Patator Для подбора пароля средствами Patator используем команду: patator ssh_login host usertest passwordfile0 0/root/wordlist -x ignore:mesgAuthentication failed где: ssh_login необходимый модуль host наша цель user логин пользователя, к которои. Перед каждой попыткой требуется получить веб-страницу с формой, при этом сохранить полученные кукиз для отправки их вместе с кандидатами в логины и пароли; при каждом обновлении страницы форма может содержать скрытые поля со случайными данными. Передаем этот запрос в Intruder и там выбираем необходимые параметры для атаки. Загружаем необходимый словарь и начинаем атаку. User pass submitTrue" -m custom-header Cookie: namevalue" Если внимательно всмотреться в опции Medusa, то станет понятно, что программа patator является более гибкой и способной выполнять брут-форс веб-форм практически при любом поведении веб-приложения. ) patator предназначен для брут-форса большого количества разнообразных служб (и не только служб, кстати). Первым обязательно должно идти поле с именем пользователя, а вторым поле с паролем. Txt wc -l 721 Всего комбинаций: А теперь давайте удалим дубликаты и снова посчитаем количество комбинаций: cat namelist. Здесь же через слеш нам нужно указать адрес страницы формы ( /dvwa/vulnerabilities/brute/ передаваемые форме данные, где необходимо указать " user " и " pass ". Ну а если в дело вступают серьёьзные проактивные защиты, такие как капча, блокировка попыток входа при нескольких неудачных попытках, двухфакторная аутентификация.д., то даже у опытных пентестеров опускаются руки. Перед условием неверного входа должна стоять "F перед условиям успешного входа должна стоять "S". Этот адрес мы указываем с опцией url: url"http localhost/dvwa/vulnerabilities/brute/?usernameadmin passwordpassword11 LoginLogin" Слово admin мы заменяем на заполнитель file0 а вместо password11 указываем второй заполнитель file1. Если вы это сделали, то перезагрузитесь перед продолжением sudo apt-get install python-pycurl libcurl4-openssl-dev automake autoconf m4 perl sudo pip install -upgrade pip sudo pip install -upgrade pycurl Установим свежую версию Medusmedusa. Поскольку если ПО сервера и веб-приложения не содержит известных уязвимостей, то подбор пароля остаётся одним из немногих методов компрометации. Пусть вас не сбивает с толку формы, в которых отсутствуют атрибуты method и/или action. Использование patator для брут-форса веб-форм, передающих данные методом post Теперь давайте перейдём к брутфорсу веб-входа, когда данные передаются с использованием post.
Качество: 5
Доставка: 4
Сервис: 5
