Afin de garantir la solidité de votre infrastructure informatique face aux diverses menaces cybernétiques, notamment les attaques par force brute, il est crucial de disposer de moyens concrets pour évaluer votre niveau de sécurité.
Qu’est-ce qu’une attaque par force brute ?
Une attaque par force brute représente l’une des menaces les plus sérieuses pour la sécurité de vos systèmes. Elle vise les fondations de votre site web ou de vos appareils, cherchant à compromettre vos mots de passe ou clés de chiffrement. Les attaquants utilisent une méthode d’essais et d’erreurs itérative pour tenter de déchiffrer ces accès.
Les attaques par force brute se manifestent de diverses manières, notamment :
- Attaques hybrides : l’attaquant teste une combinaison de mots de passe courants, de mots de dictionnaire et de séquences aléatoires.
- Attaques par force brute inversée : cette technique tente de déduire la clé de dérivation du mot de passe en effectuant une recherche exhaustive.
Pourquoi utiliser des outils de test d’intrusion ?
Les pirates emploient différents outils pour mener des attaques par force brute. Vous pouvez utiliser ces mêmes outils à des fins de test de pénétration, également appelé « pentesting » ou « test d’intrusion ».
Le test de pénétration consiste à simuler une attaque contre vos propres systèmes informatiques, en utilisant des techniques similaires à celles des cybercriminels. Cette approche permet de déceler les vulnérabilités potentielles.
Important : Les outils suivants peuvent générer de nombreuses requêtes. Il est impératif de les utiliser uniquement dans votre environnement de test.
Gobuster
Gobuster est un outil de force brute très puissant et rapide, qui ne nécessite pas d’exécution complexe. Il fonctionne comme un scanner de répertoire, programmé en langage Go, ce qui lui confère une vitesse et une flexibilité supérieures aux scripts interprétés.
Caractéristiques :
- Gobuster est réputé pour sa capacité à gérer un grand nombre de tâches simultanément, tout en conservant une vitesse de traitement élevée.
- C’est un outil léger qui fonctionne en ligne de commande, sans interface graphique Java, et qui est compatible avec de nombreuses plateformes.
- Il inclut une aide intégrée pour faciliter son utilisation.
Modes d’opération :
- dir : le mode de scan de répertoire classique.
- dns : le mode d’énumération de sous-domaines DNS.
- s3 : le mode d’énumération de compartiments S3 ouverts, permettant de vérifier leur existence et d’afficher leur contenu.
- vhost : le mode d’analyse d’hôtes virtuels.
Cependant, Gobuster présente une faiblesse dans la recherche récursive de répertoires, ce qui limite son efficacité lorsqu’il s’agit de structures à plusieurs niveaux.
BruteX
BruteX est un outil open-source polyvalent, idéal pour les attaques par force brute. Il permet de cibler divers éléments :
- Ports ouverts
- Noms d’utilisateur
- Mots de passe
Son fonctionnement repose sur la soumission systématique d’un grand nombre de mots de passe potentiels.
Il intègre les fonctionnalités de plusieurs outils, tels que Nmap, Hydra et DNS enum. Cela permet de rechercher les ports ouverts, de lancer des attaques par force brute contre FTP et SSH, et de déterminer automatiquement le service exécuté sur le serveur cible.
Dirsearch
Dirsearch est un outil de force brute en ligne de commande destiné à scanner les chemins d’accès web. Il permet d’identifier les répertoires et fichiers présents sur un serveur web.
Intégré récemment aux packages officiels de Kali Linux, Dirsearch fonctionne également sur Windows, Linux et macOS. Développé en Python, il est facilement compatible avec d’autres projets et scripts existants.
Il est plus rapide que l’outil traditionnel DIRB et propose de nombreuses fonctionnalités supplémentaires :
- Support des proxys
- Multithreading
- Randomisation de l’agent utilisateur
- Support de plusieurs extensions
- Capacité de scan en profondeur
- Délai entre les requêtes
Dirsearch excelle dans l’analyse récursive, remontant dans l’arborescence des répertoires pour en explorer de nouveaux. Il est considéré comme un outil performant et simple d’utilisation pour les testeurs d’intrusion.
Inexpérimenté
Inexpérimenté est un outil d’attaque par force brute convivial et personnalisable, écrit en Python 3. Il est conçu pour répondre aux besoins spécifiques des débutants.
Il offre une expérience utilisateur flexible, permettant une gestion simple des erreurs, ce qui le rend accessible aux utilisateurs novices.
BLU
Secure Shell Bruteforcer (SSB) est un outil rapide et simple pour les attaques par force brute contre les serveurs SSH.
L’utilisation du shell sécurisé de SSB permet de disposer d’une interface intuitive, contrairement à d’autres outils qui ne font que deviner le mot de passe d’un serveur SSH.
Thc-Hydra
Hydra est un outil bien connu pour les tentatives de connexion par force brute, compatible avec Linux, Windows (via Cygwin), Solaris, FreeBSD/OpenBSD, QNX (Blackberry 10) et macOS. Il prend en charge une variété de protocoles, tels que AFP, HTTP-FORM-GET, HTTP-GET, HTTP-FORM-POST, HTTP-HEAD, HTTP-PROXY, etc.
Préinstallé sur Kali Linux, Hydra est disponible en ligne de commande et en interface graphique. Il permet de tester un ou plusieurs noms d’utilisateur et mots de passe par force brute.
Parallélisé, Hydra est un outil rapide et flexible, permettant de tenter des accès non autorisés à distance à votre système.
Bien qu’il existe d’autres outils similaires, Hydra se distingue par la prise en charge de nombreux protocoles et de connexions parallélisées.
Burp Suite
Burp Suite Professionnel est une boîte à outils indispensable pour les testeurs de sécurité web. Il offre des fonctionnalités rapides et fiables, et permet d’automatiser les tâches de test répétitives. Il est conçu pour les experts en test de sécurité, avec des fonctionnalités manuelles et semi-automatisées. De nombreux experts l’utilisent pour tester les dix principales vulnérabilités de l’OWASP.
Burp propose des fonctionnalités uniques, comme l’augmentation de la couverture de scan, la personnalisation et le mode sombre. Il peut tester et analyser des applications web modernes, riches en JavaScript et des API.
C’est un outil conçu pour tester les services, et non pour le piratage. Il enregistre les séquences d’authentification complexes et rédige des rapports à destination des utilisateurs finaux.
Il a également la capacité d’effectuer des tests de sécurité des applications hors bande (OAST), permettant de détecter des vulnérabilités invisibles pour d’autres outils. Son utilisation est optimisée par la recherche de PortSwigger, ce qui lui confère un avantage.
Patator
Patator est un outil de force brute flexible et polyvalent, doté d’une conception modulaire. Il a été créé en réponse aux frustrations rencontrées lors de l’utilisation d’autres outils et scripts d’attaque par mot de passe. Patator adopte une nouvelle approche pour éviter de reproduire les erreurs du passé.
Développé en Python, Patator est un outil multithread qui vise à rendre les tests d’intrusion plus flexibles et fiables que ses prédécesseurs. Il prend en charge de nombreux modules, notamment :
- FTP
- SSH
- MySQL
- SMTP
- Telnet
- DNS
- PME
- IMAP
- LDAP
- Connexion
- Fichiers zip
- Fichiers Java Keystore
Pydictor
Pydictor est un autre outil performant de création de dictionnaires de mots de passe. Il se distingue par son efficacité dans les tests de force brute et les tests de mots de passe longs, impressionnant aussi bien les novices que les professionnels. Il s’agit d’un outil incontournable pour les attaquants, doté de fonctionnalités permettant de réaliser des performances exceptionnelles dans diverses situations de test.
- Assistant permanent : permet de générer des listes de mots de passe génériques, des listes d’ingénierie sociale, ou des listes personnalisées à partir de contenu web. Il intègre également un filtre pour cibler votre liste.
- Hautement personnalisable : il est possible d’ajuster les attributs de la liste de mots de passe à l’aide de filtres par longueur, du mode leet et d’autres options.
- Flexible et compatible : il peut analyser les fichiers de configuration et fonctionner sur Windows, Linux et Mac.
Dictionnaires Pydictor :
- Dictionnaire numérique
- Dictionnaire alphabétique
- Dictionnaire de l’alphabet en majuscules
- Chiffres combinés avec l’alphabet en majuscules
- Majuscules combinées avec l’alphabet en minuscules
- Chiffres combinés avec l’alphabet en minuscules
- Combinaison de majuscules, de minuscules et de chiffres
- Ajout d’un en-tête statique
- Manipulation du filtre de complexité du dictionnaire
Ncrack
Ncrack est un outil de test de sécurité réseau rapide et performant. Il est conçu pour aider les entreprises à vérifier la solidité des mots de passe de leurs périphériques réseau. De nombreux professionnels de la sécurité le recommandent pour l’audit de la sécurité des réseaux. Il est disponible en tant qu’outil autonome ou intégré à Kali Linux.
Fonctionnant avec une approche modulaire et un moteur dynamique, Ncrack en ligne de commande peut ajuster son comportement en fonction des retours du réseau. Il est capable de réaliser des audits larges et fiables sur de nombreux hôtes simultanément.
Ncrack offre une interface flexible et un contrôle complet des opérations du réseau. Cela permet des attaques sophistiquées par force brute, des interactions d’exécution et des modèles de synchronisation facilitant son utilisation, à l’image de Nmap.
Les protocoles pris en charge incluent SSH, RDP, FTP, Telnet, HTTP(S), WordPress, POP3(S), IMAP, CVS, SMB, VNC, SIP, Redis, PostgreSQL, MQTT, MySQL, MSSQL, MongoDB, Cassandra, WinRM, OWA et DICOM, ce qui le rend adapté à un large éventail de secteurs.
Hashcat
Hashcat est un outil de récupération de mots de passe. Il fonctionne sous Linux, OS X et Windows, et prend en charge de nombreux algorithmes de hachage tels que MD4, MD5, la famille SHA, les hachages LM et les formats Unix Crypt.
Hashcat a gagné en popularité grâce à ses optimisations, basées en partie sur les découvertes du créateur de Hashcat.
Hashcat existe en deux versions :
- Outil de récupération de mot de passe basé sur le processeur (CPU)
- Outil de récupération de mot de passe basé sur le processeur graphique (GPU)
L’outil GPU peut casser certains hachages hérités plus rapidement que l’outil CPU (MD5, SHA1, etc.). Cependant, tous les algorithmes ne peuvent pas être déchiffrés plus rapidement par les GPU. Hashcat est souvent considéré comme le briseur de mots de passe le plus rapide au monde.
Conclusion
Après cette présentation détaillée, vous disposez d’un arsenal d’outils variés. Il est important de choisir ceux qui conviennent le mieux à chaque situation rencontrée. Il existe une grande diversité d’alternatives, et les outils les plus simples peuvent parfois être les plus efficaces, et inversement.
Maintenant, explorez les outils d’investigation médico-légale.