Comments 14
"передала аутентификационные данные его учетной записи" - то есть там даже httpOnly на куках не стоял?
На перебор комбинаций четырехзначного кода в несколько потоков требуется около двадцати секунд, шестизначного — несколько минут.
А проверяли? Может быть же, 4-5 ошибок и бан аккаунта до разбирательства или несколько часов (если зарегистрированный пользователь подтверждает телефон) или бан номера (если СМС-атака на номер).
Достаточно было вручную подредактировать параметры from и to в теле страницы.
Я тоже люблю так иногда делать (расстановка ловушек), вот только проверяю переданные значения на правильные, согласно сессии, и вот в случае расхождения есть замечательный журнал "breaking attempt" в котором логируем модуль, где это произошло, и всё о пользователе (ID, IP, PTR...). Раз в час, при наличии событий, присылается отчет по почте.
Интересно, но проведенные в данной статье методики не рекомендовал бы использовать против финансовых организаций с приличными оборотами и развитой офлайн - инфраструктурой.
© Путеводитель юного хакера
Лучше нигде их не использовать, если нет явного разрешения со стороны владельцев инфраструктуры.
Юный хакер вряд-ли это сможет использовать. Да и рассылка "левых" писем - тут же поставит СБ организации НАУШИ ... а это одно из основных методов проникновения. Без этой, фактически и юридически РАЗРЕШЕННОЙ рассылки, ничего бы у (аффторов) не получилось бы.
Можно поподробнее методику брутфорса хэша видеокартой?
Инструменты Kali Linux - oclHashcat - https://kali.tools/?p=538
Святые 90-ые годы, развал, выживание, банкиры — вершина развития нового русского общества, на которого ровняется новое поколение. Мой отец — представитель прошлого, бывший офицер спецназа ГКБ «Вымпел», ушедший в охранный бизнес. Впрочем в 90-ые бывало по разному, одно время он подрабатывал, тем что застеклял и обшивал балконы вагонкой. Тоже честный способ прокормить семью.
Ну и вот как-то разговаривает он с одним своим знакомым, который тогда замом главы охраны крупного банка. И тот возмущается, типа безопасность через жопу и всё такое, а доказывать это руководству только словами не получается. Вы же там в «Вымпеле» вроде бы крутые, может можно там договориться, чтобы вы в банк вошли и там, например, крестик на хранилище нарисовали, я бы два ляма заплатил. Проблема только что с руководством на пинтест договориться не получится, так что надо по тихому, в обход, так сказать.
Ну отец ему объяснил, что не надо так делать, потому что охрана то боевым оружием вооружена. Мало ли что не так пойдёт и подстрелят кого-нибудь или наоборот проникающие вынуждены будут сделать, чтобы их не подстрелили, и чё потом с последствиями делать? В общем сказал что идея плохая, и так это не делается. А надо сказать, что «Вымпел» подобные учения проводил в своё время, устраивали проникновение на атомную электростанцию или на атомный ледокол. С ледоколом смешнее всего получилось. Но там, конечно, охрана была предупреждена, что могут быть учения в известные сроки и стрельбы открывать не разобравшись не надо. Впрочем всё равно никого они не заметили.
Ну и вот, буквально через неделю-две ежегодная пьянка в честь юбилея создания «Вымпела». Все свои. И отец рассказал эту историю в качестве анекдота. А после пьянки к нему в курилке подошёл один из бывших коллег, и говорит: «Мы тут прикинули, на такую операцию человек шесть надо, получается тысяч по 350 на брата получается, а времена сам знаешь какие. Я ничего не говорю, но может мы там съездим, чисто на объект поглядеть да прицениться?»
Пришлось и этих отморозков ещё убеждать, что не стоит в наше время из-за этого рисковать жизнью.
Например, подобную систему использует Microsoft.
У вас ссылка на authN Policies, это немного про другое. Точнее, совсем про другое. Это про то, что к определённым политикой сервисам контроллер выдаёт tgs определённому пулу security principals.
Наверное, вы имели ввиду вот это про словари и пароли.
Спасибо, вы нашли более подходящую ссылку (добавим в материал), но и authN Policies не совсем про другое.
Когда писали этот абзац, держали в голове несколько случаев, когда проверка паролей была реализована через политики. Там была реализация на базе silos, и уже к ним была применена политика, а к политике технология, на которую вы ссылаетесь.
«Кража» со взломом: пентест финансовой организации