Alguém já tentou coletar senhas e logins de usuários de ataques ssh?

Question

Eu acho que deve ser facilmente possível abrir a porta ssh com um servidor ssh falso e coletar passes (eu acho que eles não são mais simples e se tornaram hashes) e logins correspondentes, por exemplo, um pote de mel. A ideia por trás disso é construir um banco de dados e testar minhas contas sobre eles. Alguém já fez isso?

Se você se perguntar qual benefício eu esperaria em testar minhas contas com essas senhas, eu diria que as senhas podem mudar durante o tempo e eu poderia eventualmente antecipar um ataque ssh "bem-sucedido".

    

Answer 1

Sim, Stephen Murdoch, da Universidade de Cambridge, fez isso no início deste ano. Você pode ler os resultados dele no blog do Security Research Group; a experiência inicial é discutida neste artigo , e mais alguns resultados aparecem neste artigo .

Meu favorito pessoal foi

For example, there was a log-in attempt for the usernames “root” and “dark” with the password “ManualulIngineruluiMecanic”, which I think is Romanian for Handbook of Mechanical Engineering.

Why would someone use this password, especially for the uncommon username “dark”? Is this book common in Romania; is it likely to be by the desk of a sys-admin (or hacker) trying to choose a password? Has the hacker found the password in use on another compromised system; is it the default password for anything?

    

Answer 2

Como os ataques SSH são ataques de dicionário com algum talento, o download de um arquivo de texto de um dicionário forneceria muitas senhas em potencial. Não faria mal configurar um honeypot, pois isso forneceria a você senhas mais comuns.

Se você se sentir preguiçoso, pode baixar um texto sem formatação de dumps de senhas dos principais sites, pois há muitos deles e (depois de filtrá-los para repetições) você deve obter um bom banco de dados de senhas comumente usadas.

Felizmente, como a natureza humana é uma coisa lenta, você será bom para ir sozinho até que as pessoas consigam uma memória melhor, ou até que alguém invente um computador que não precise de humanos para inserir coisas.