Онлайн- и офлайн-атаки

Атаки на пароли делятся на два направления. Офлайн-атаки работают с полученными хэшами локально — они быстрые, незаметные и ограничены только возможностями оборудования. Онлайн-атаки проверяют варианты через сеть against работающий сервис — они медленные, заметные и ограничены частотой запросов.

Для офлайн-взлома (Hashcat, John) сначала необходимо получить хэши — из дампа базы данных, /etc/shadow или перехваченного рукопожатия. Получив их, можно проверять миллиарды вариантов в секунду без единого сетевого запроса.

Онлайн-атаки отправляют попытки входа непосредственно сервису: SSH, RDP, FTP, веб-формам и т. д. Скорость ограничивается задержкой сети и лимитами частоты запросов на сервере, а каждая попытка может быть записана в журнал или вызвать блокировку.

THC-Hydra — стандартный инструмент для онлайн-перебора паролей. Он поддерживает множество протоколов и выполняет попытки входа параллельно. Вы указываете имя пользователя или список имён, список паролей, цель и модуль сервиса.

Основные параметры:

• -l один пользователь / -L список пользователей
• -p один пароль / -P список паролей
• -t параллельные задачи
• -f остановка после первого успеха

Для форм входа HTTP POST Hydra нужны путь, тело запроса POST с заполнителями ^USER^/^PASS^ и строка ошибки, чтобы инструмент мог определить, какие ответы соответствуют неверным данным.

Распыление меняет принцип перебора: один распространённый пароль (например, Spring2024!) проверяется для множества учётных записей. Это позволяет обойти порог блокировки отдельных учётных записей и особенно эффективно против организаций со слабыми правилами паролей.

Подстановка учётных данных повторно использует пары имени пользователя и пароля, утёкшие в результате других взломов, рассчитывая на повторное использование данных. Взлом вообще не требуется — нужны только действительные пары из предыдущего дампа.

Защитники противодействуют онлайн-атакам с помощью блокировки учётных записей, ограничения частоты запросов, CAPTCHA, MFA и отслеживания многочисленных неудачных попыток. Против офлайн-взлома эти меры малоэффективны, поэтому для защиты важны стойкие алгоритмы хэширования (bcrypt/Argon2) и соль.

Если Вы можете похитить базу хэшей, выбирайте офлайн-атаку — она быстрее и незаметнее. Если у Вас есть только конечная точка входа, придётся работать онлайн — тогда медленно проверяйте несколько хороших паролей, а не отправляйте множество запросов к одной учётной записи.

Онлайн-атаки могут заблокировать настоящих пользователей и вызвать оповещения — согласуйте действия с клиентом и соблюдайте правила блокировки. Проводите любые атаки только в рамках разрешённого и чётко определённого задания.

Различайте типы атак.

Вы сравнили стратегии атак:

• Офлайн = локальный взлом полученных хэшей; быстро и незаметно
• Онлайн = проверка вариантов against работающий сервис; медленно, заметно и с ограничением частоты
• Hydra выполняет перебор протоколов и веб-форм
• Распыление и подстановка учётных данных помогают обойти блокировку и использовать утечки повторно

На этом курс «Взлом паролей» завершён.