Ataques en línea frente a fuera de línea

Los ataques contra contraseñas se dividen en dos ámbitos. Los ataques offline trabajan localmente con hashes capturados: son rápidos, silenciosos y están limitados únicamente por el hardware. Los ataques online prueban contraseñas contra un servicio activo a través de la red: son lentos, ruidosos y están sujetos a límites de frecuencia.

El cracking offline (Hashcat, John) requiere que primero obtenga los hashes, ya sea de un volcado de base de datos, de /etc/shadow o de un handshake capturado. Una vez que los tiene, puede probar miles de millones de combinaciones por segundo sin generar tráfico de red.

Los ataques online envían intentos de inicio de sesión directamente a un servicio: SSH, RDP, FTP, formularios web, etc. La velocidad está limitada por la latencia de la red y los límites del servidor, y cada intento puede quedar registrado o activar un bloqueo.

THC-Hydra es la herramienta estándar para realizar fuerza bruta online. Es compatible con muchos protocolos y paraleliza los intentos de inicio de sesión. Debe proporcionar un nombre de usuario o una lista, una lista de contraseñas, el objetivo y el módulo del servicio.

Parámetros principales:

• -l usuario individual / -L lista de usuarios
• -p contraseña individual / -P lista de contraseñas
• -t tareas paralelas
• -f detenerse tras el primer éxito

Para formularios de inicio de sesión HTTP POST, Hydra necesita la ruta, el cuerpo POST con los marcadores ^USER^/^PASS^ y una cadena de error que le permita identificar qué respuestas son incorrectas.

El spraying invierte el enfoque de la fuerza bruta: prueba una contraseña común (por ejemplo, Spring2024!) en muchas cuentas. Esto evita los umbrales de bloqueo por cuenta y resulta muy eficaz contra organizaciones con políticas de contraseñas débiles.

El credential stuffing reutiliza pares de usuario y contraseña filtrados en otras brechas, suponiendo que las personas reutilizan sus credenciales. No requiere crackear nada: solo necesita pares válidos procedentes de un volcado anterior.

Los defensores mitigan los ataques online mediante el bloqueo de cuentas, la limitación de frecuencia, los CAPTCHAs, la MFA y la supervisión de numerosos fallos. Estas medidas ofrecen poca protección contra el cracking offline, por lo que el uso de hashes robustos (bcrypt/Argon2) junto con salts es importante para resistir ataques offline.

Si puede robar la base de datos de hashes, trabaje offline: es más rápido y discreto. Si solo dispone de un endpoint de inicio de sesión, está obligado a trabajar online; en ese caso, pruebe lentamente unas pocas contraseñas buenas en muchas cuentas en lugar de bombardear una sola.

Los ataques online pueden bloquear a usuarios reales y activar alertas; coordínese con el cliente y respete las políticas de bloqueo. Realice cualquier ataque únicamente dentro de un trabajo autorizado y con un alcance definido.

Distinga los tipos de ataque.

Ha comparado las estrategias de ataque:

• Offline = crackear localmente hashes capturados; rápido y silencioso
• Online = probar contraseñas contra un servicio activo; lento, ruidoso y limitado por frecuencia
• Hydra realiza fuerza bruta contra protocolos y formularios web
• El spraying y el credential stuffing evitan los bloqueos y aprovechan filtraciones reutilizadas

Con esto finaliza el curso de Password Cracking.