Ataques on-line versus off-line

Os ataques a senhas se dividem em dois mundos. Os ataques offline trabalham localmente com hashes capturados — são rápidos, silenciosos e limitados apenas pelo hardware. Os ataques online fazem tentativas contra um serviço ativo pela rede — são lentos, ruidosos e limitados por taxa.

O cracking offline (Hashcat, John) exige que você primeiro obtenha os hashes — de um despejo de banco de dados, de /etc/shadow ou de um handshake capturado. Depois de obtê-los, você pode fazer bilhões de tentativas por segundo, sem nenhum tráfego de rede.

Os ataques online enviam tentativas de login diretamente a um serviço: SSH, RDP, FTP, formulários web etc. A velocidade é limitada pela latência da rede e pelos limites de taxa do servidor, e cada tentativa pode ser registrada ou disparar um bloqueio.

O THC-Hydra é a ferramenta padrão para força bruta online. É compatível com muitos protocolos e paraleliza as tentativas de login. Você fornece um nome de usuário ou uma lista, uma lista de senhas, o alvo e o módulo do serviço.

Opções principais:

• -l usuário único / -L lista de usuários
• -p senha única / -P lista de senhas
• -t tarefas paralelas
• -f parar no primeiro sucesso

Para formulários de login HTTP POST, o Hydra precisa do caminho, do corpo POST com os marcadores ^USER^/^PASS^ e de uma mensagem de falha para identificar quais respostas estão erradas.

O spraying inverte a lógica da força bruta: tenta uma senha comum (por exemplo, Spring2024!) em muitas contas. Isso evita os limites de bloqueio por conta e é muito eficaz contra organizações com políticas de senha fracas.

O preenchimento de credenciais reutiliza pares de nome de usuário e senha vazados em outras violações, apostando que os usuários reutilizam suas credenciais. Não exige nenhum cracking — apenas pares válidos de um despejo anterior.

Os defensores reduzem a eficácia dos ataques online com bloqueio de contas, limitação de taxa, CAPTCHAs, MFA e monitoramento de muitas falhas. Essas medidas pouco ajudam contra o cracking offline; por isso, hashes fortes (bcrypt/Argon2) combinados com salts são importantes para a resistência offline.

Se puder roubar o banco de dados de hashes, opte pelo modo offline — é mais rápido e discreto. Se tiver apenas um endpoint de login, será obrigado a agir online — nesse caso, tente lentamente algumas senhas boas em várias contas, em vez de bombardear uma única conta.

Os ataques online podem bloquear usuários reais e disparar alertas — coordene-se com o cliente e respeite as políticas de bloqueio. Realize qualquer ataque somente no contexto de um trabalho autorizado e com escopo definido.

Diferencie os tipos de ataque.

Você comparou estratégias de ataque:

• Offline = fazer cracking de hashes capturados localmente; rápido e silencioso
• Online = fazer tentativas contra um serviço ativo; lento, ruidoso e limitado por taxa
• O Hydra faz força bruta contra protocolos e formulários web
• Spraying e preenchimento de credenciais contornam bloqueios e reutilizam vazamentos

Isso conclui o curso de Password Cracking.