Não. O que você está pedindo é
Devido ao protocolo TCP (que usa HTTP, e por proxy metasploit , usa), alterar o endereço IP de origem tornará impossível para o servidor enviar mensagens de status HTTP de volta para você.
Portanto, mesmo que você altere o endereço IP de origem, será completamente inútil para você. O servidor não será capaz de dizer nada a você, e não há como consertar esse problema específico antes de reinventar o TCP e / ou o HTTP.
Se você é realmente empregado por alguém como um pentester freelancer, pode entrar em contato com o administrador do sistema para colocar na lista de permissões seu endereço IP de teste.
Mas, do ponto de vista da pessoa de segurança cibernética, vamos investigar um pouco mais, porque não.
-
Brute-Forcing é uma maneira terrível de testar a segurança
Se você está testando segurança adivinhando literalmente qualquer senha possível, você está apenas desperdiçando o tempo de todos. A detecção do Pentesting e da vulnerabilidade é sobre encontrar problemas no código que permitem ignorar a autenticação ou, de outra forma, mexer com o sistema. Ninguém está indo realisticamente para forçar a maioria dos sistemas. -
Se você não consegue forçar, é seguro assim!
Veja o ponto 1. De fato, você pode checar "senhas podem ser forçadas por brute" fora da sua lista de verificação. Se o sistema estiver bloqueando usuários após 20 tentativas malsucedidas, isso é bom. Está razoavelmente seguro lá. Ninguém será capaz de adivinhar uma senha em 20 tentativas (a menos que a senha seja muito ruim ). -
Se você pode verificar uma força bruta de origem forjada, está procurando no lugar errado
Mais uma vez, uma extensão do ponto # 1. Se você está apenas procurando logins bem sucedidos no log (o que você pode), você tem acesso ao sistema. E, portanto, você pode verificar as ameaças reais em vez de uma ameaça que nunca será explorada de forma realista e já esteja corrigida (consulte o item 2).
Meu conselho: não tente forjar o IP de origem. Encontre algo mais que seja um risco de segurança. Como distribuir credenciais de segurança para uma pessoa aleatória na Internet com o propósito de pentesting.
Quero dizer, com certeza, um atacante persistente poderia usar Tor / um grande número de servidores proxy, mas isso é um grande desperdício de recursos do atacante (ver # 1, novamente) devido ao fato de que O forçamento brutal de HTTP é lento . Você precisa gerar um POST para o servidor HTTP, esperá-lo para calcular e construir uma página da Web, retornar essa página para você e processar essa página da web. Não é nada como atacar um hash conhecido que você tem localmente, onde é possível testar milhares de valores por segundo.