Ataques de fuerza bruta con Patator

 

Patator es un script en Python para ataques de fuerza bruta, el cual dada su flexibilidad incorpora una gran cantidad de módulos para diferentes tipos de ataques de fuerza bruta.

Instalación

Está disponible en github, el repositorio de lanjelot, con lo que clonamos el repo:

 

Underc0de - Patator

Mostrara los módulos de ataques a diferentes protocolos.

Para ver las opciones de configuración de cada modulo,basta con lanzar:

Underc0de - Ayuda patator

Patator a la obra.

Veremos un par de módulos para ver su funcionamiento.

Utilizaremos el módulo de ssh y el de ftp.

Como vemos en la captura de ayuda, la sintaxis de Patator es un poco diferente otros programas de brute force, viendo los ejemplos; es muy intuitiva.

Al utilizar el parámetro –help sobre un módulo vemos las opciones y un ejemplo:

Underc0de - ejemplos de patator

Fuerza bruta a SSH

Tenemos un servidor de pruebas el cual conocemos el usuario ‘root’ pero no sabemos la clave.

El mensaje que envía el servicio cuando una clave es incorrecta.

Si no indicamos éste último parámetro, mostrará por pantalla todas las pruebas.

Underc0de - Ejemplo de salida de comandos

De desconocer el usuario y queremos usar una wordlist, añadimos otra variable quedando asi:

 

Underc0de - Patator wordlist

La columna de candidates mostrará las contraseñas que arrojaron un resultado positivo.

Underc0de - pruebas de escritorio

Fuerza bruta a FTP

Utilizaremos el módulo ftp_login del patator.

Como parámetros definiremos los siguientes:

El mensaje que envía el servicio cuando una clave es incorrecta.

Si no indicamos este último parámetro, se mostrara por pantalla todas las pruebas con su resultado.

Esta es otra condición, patator pueden encadenar varios filtros.

Underc0de - Patator encadenando filtros

Si queremos añadir una wordlist, en el parámetro usuarios añadimos:

Patator - ftp wordlist

Consideraciones finales

Patator ofrece la opción de continuar el ataque en caso que tengamos que interrumpir, el parámetro que mostrará en la parte inferior del ataque, será la opción de –resume:

Underc0de - Patator resumen

Los parámetros serán los siguientes:

Underc0de - Parámetros de resumen

Los hilos o threads, por defecto utiliza 10 hilos, a veces debemos reducir este número de hilos para evitar errores o baneo.

Underc0de - Seleccion de numero de hilos

La otra opción a destacar (en naranja), es evitar que se haga un DoS y bloqueemos el servicio, evitar ciertos IDS o firewall, o restricciones de espera entre peticiones, esta opción añade un delay de los segundos que seleccionemos entre intentos.


Agradecemos a ANTRAX por brindar la guía sobre el uso de PATATOR del autor Miguel Cobas Barcala.


Posts Relacionados

Comments

comments

Deja una respuesta

Tu email no será publicado. Los campos requeridos estan marcados con *
Puedes usar tags HTML y los atributos: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code class="" title="" data-url=""> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong> <pre class="" title="" data-url=""> <span class="" title="" data-url="">