Ataques de fuerza bruta con Patator

Ataques de fuerza bruta con Patator

Ataques de fuerza bruta con Patator

 

Patator es un script en Python para ataques de fuerza bruta, el cual dada su flexibilidad incorpora una gran cantidad de módulos para diferentes tipos de ataques de fuerza bruta.

Instalación

Está disponible en github, el repositorio de lanjelot, con lo que clonamos el repo:

git clone https://github.com/lanjelot/patator
cd patator
# Con el siguiente comando se ejecuta
python patator.py

 

Underc0de - Patator

Mostrara los módulos de ataques a diferentes protocolos.

Para ver las opciones de configuración de cada modulo,basta con lanzar:

patator.py <modulo> –help
Underc0de - Ayuda patator

Patator a la obra.

Veremos un par de módulos para ver su funcionamiento.

Utilizaremos el módulo de ssh y el de ftp.

Como vemos en la captura de ayuda, la sintaxis de Patator es un poco diferente otros programas de brute force, viendo los ejemplos; es muy intuitiva.

Al utilizar el parámetro –help sobre un módulo vemos las opciones y un ejemplo:

Underc0de - ejemplos de patator

Fuerza bruta a SSH

Tenemos un servidor de pruebas el cual conocemos el usuario ‘root’ pero no sabemos la clave.

host=<ip_victima>
user=root #usuario a testar
password=File0 #variable que contendrá la ruta al wordlist
0=/root/wordlists/jonh.txt #ruta de la wordlist
-x ignore:mesg=’Authentication failed.’

El mensaje que envía el servicio cuando una clave es incorrecta.

Si no indicamos éste último parámetro, mostrará por pantalla todas las pruebas.

Underc0de - Ejemplo de salida de comandos

De desconocer el usuario y queremos usar una wordlist, añadimos otra variable quedando asi:

user=File1
1=/root/wordlists/users.txt

 

Underc0de - Patator wordlist

La columna de candidates mostrará las contraseñas que arrojaron un resultado positivo.

Underc0de - pruebas de escritorio

Fuerza bruta a FTP

Utilizaremos el módulo ftp_login del patator.

Como parámetros definiremos los siguientes:

host=<ip_victima>
user=root #usuario a testar
password=File0 #variable que contendrá la ruta al wordlist
0=/root/wordlists/jonh.txt #ruta de la wordlist
-x ignore:mesg=’Authentication failed.

El mensaje que envía el servicio cuando una clave es incorrecta.

Si no indicamos este último parámetro, se mostrara por pantalla todas las pruebas con su resultado.

-x ignore,reset,retry:code=500 #

Esta es otra condición, patator pueden encadenar varios filtros.

Underc0de - Patator encadenando filtros

Si queremos añadir una wordlist, en el parámetro usuarios añadimos:

user=File1
1=/root/wordlists/users
Patator - ftp wordlist

Consideraciones finales

Patator ofrece la opción de continuar el ataque en caso que tengamos que interrumpir, el parámetro que mostrará en la parte inferior del ataque, será la opción de –resume:

Underc0de - Patator resumen

Los parámetros serán los siguientes:

Underc0de - Parámetros de resumen

Los hilos o threads, por defecto utiliza 10 hilos, a veces debemos reducir este número de hilos para evitar errores o baneo.

-t <numero_de hilos>
<-threads <numero_de hilos>
Underc0de - Seleccion de numero de hilos

La otra opción a destacar (en naranja), es evitar que se haga un DoS y bloqueemos el servicio, evitar ciertos IDS o firewall, o restricciones de espera entre peticiones, esta opción añade un delay de los segundos que seleccionemos entre intentos.

--rate-limit <segundos_entre_intentos>

Agradecemos a ANTRAX por brindar la guía sobre el uso de PATATOR del autor Miguel Cobas Barcala.


Posts Relacionados

Comments

comments

Written By

xyz

Leave a Reply

×