Brute Force con medusa to SSH
A modo didáctico dedique unas horas a investigar como se realizaban estos ataques.
El objevito era mi servidor local con ubuntu 7.10, con ssh activado al que iba a intentar "forzar".
Para no andar enguarrando mi sistema con librerias, instalaciones y configuraciones que solo serían para la demostración me encontré con esta distribución live que ya disponía de varias herramientas.
http://www.remote-exploit.org/backtrack.html
Esta distribución live ya dispone de Jonh The Riper. Pero aún así el wordlist que utilicé para el brute force fue:
ftp://ftp.cerias.purdue.edu/pub/dict/wordlists/spanish/words.spanish.gz
Podemos ver como funciona esta herramienta en un video:
http://icaix.com/tutoriales/bruteForce.htm
En este video se puede observar como tras andar probando contraseñas contra el puerto ssh del objetivo acaba encontrando la contraseña adecuada.
Bien, tras tener las herramientas a probar y sabiendo como utilizarlas me dispuse a realizar la prueba de ataque a mi servidor local.
El resultado no fue el esperado, ya que un ataque por SSH a los 5 intentos del brute force rechazaba más intentos. Lo que primero intenté fue agregar más parametros al comando de "ataque" para así intentar hacer más intentos. Los resultados no obtuvieron éxito.
Entonces podemos confirmar que este tipo de ataques caen en el olvido y serían técnicas del "pasado". Hablo de mi ignorancia del tema y del tiempo que he podido disponer para realizar estas pruebas.
No obstante es entretenida la prueba y conocer como funciona. Esta herramienta es válida para intentar "forzar" la entrada a diferentes servicios, entre los que se incluye VNC, FTP...
Os recomiendo que probar esta herramienta, aunque eso sí, tener en cuenta que si intentáis acceder a una máquina que no sea de vuestra propiedad se considera una acción ilegal.
10 agosto, 2009 - 12:20
Los ataques por fuerza bruta a SSH NO son del pasado. En función de la configuración del servidor ( /etc/ssh/sshd_config ) se pueden establecer varios parámetros que nos protegerían de un ataque por FB:
-Retardo entre intentos
-Renovación del intercambio de claves (retrasa el ataque)
-> Denyhosts -> programa que vigila las conexiones al servidor SSH y que en función del numero de intentos, bloquea la IP del atacante.
13 abril, 2010 - 19:01
Y Cuidado, q todo esto queda más que logueado.. Tomar algunas precauciones no estaría demás