Теоретски, brute force се напади каде се пробуваат сите можни комбинации на бројки, букви, специјални знаци и симболи за да се пробие една криптографска шема. Практично, овие напади без разлика дали разчно изведени или со помош на програми, скрипти или пак цели машини се поставува обид да се открие Вашата лозинка.

Би можело да се каже дека овие напади се скоро секогаш успешни. Пробивањето на Вашата лозинка и користење на Вашето корисничко име се "загарантирани". Звучи малку нелогично и страшно нели? Објаснувањето следи...

Колку и да имате доволно добра лозинка brute force нападот само ќе трае со години доколку е извршуван од нормален компјутер но сепак на крај ќе ја пробие Вашата лозинка бидејќи користи комбинации на сите букви, симболи, знаци и бројки. Јасно е дека скоро никој нема да ја бара Вашата лозинка толку многу време. Значи едноставна превенција од овој вид на напади е користење на "добри" лозинки. Пример за тоа што се подразбира под поимот:

Лозинка од над 15 карактери и сложена содржина, пример:
Fnn*3KjNN88*347aa&&kzk!#9q

Користете слична лозинка на оваа и јас Ви гарантирам дека таа никогаш нема да биде пробиена со вид на напад за кој зборуваме (секако зборуваме во рамките на користење на реален компјутер). И повеќе од јасно е дека проблемот во оваа лозинка е тоа што е навистина тешка за да се запамти, но мојот совет е да потрошите неколку дена на запомнување на лозинката отколку на средување на проблемите и последиците кои може да следат со пробивање на Вашата лозинка, односно акаунти.

Сега да се вратиме на техничката страна на brute force нападите. За да се убрзаат овие напади, напаѓачите користат голема листа на зборови или модифицирани зборови од типот p4sw0rd,1ime2prezime#, затоа што многу поголема е веројатноста луѓето да користат логични зборови, најчесто од нивниот мајчин јазик што е уште една слаба точка, отколку лозинки како горенаведената. Нападот со користење на вакви методи е познат како "речник" (dictionary) brute force напад.

Овие напади се уште посериозни знаејќи го фактот дека постојат голем број на лесно достапни алатки како THC Hydra, Brutus, C-Force, AccessDriver, John The Ripper... ова беа оние попознатите, а постојат уште многу други brute forcer-и за најразлични намени, како на пример за Excel, PowerPoint, Zip и друго.

За користење на повеќето од алатките, односно за добивање на побрзи резултати е потребна голема и доволно добра листа на зборови. Тука ќе Ви презентирам и алатка со чија помош може да се создаде листа на зборови.

Алатката е наречена Wud, а нејзини автори се Макс Мосер и Мартин Муенч. Идејата за оваа алатка дошла од неколку неуспешни обиди за време на пен-тестирање при кое било потребно да се пробие лозинка со веќе постоечки, готови листи на зборови и исто така со идејата дека за време на форензичка криминална истрага едноставно некои фајлови мора да се отворат, а за тоа е потребно да се погоди лозинката со која во многу случаи фајловите се заштитени.

Алатката е напишана во Пeрл што значи за да ја стартувате потребен ви е Перл интерпретер. Кодот е еднсотавен и чист и алатката работи доволно брзо, односно има добри перформанси.

Алатката чита текст од обични фајлови(html,doc,pdf,ppt,mp3) и ги запишува најдените зборови во нов фајл.

Кога прв пат го видов веднаш си помислив дека има голема маана и дека ги запишува сите зборови кои што ќе ги најде, без разлика дали тие веќе се во листата, но по тестот увидов дека такво нешто не постои и дека во новиот фајл се запишуваат сите зборови без повторувања.

[stefan@itcommk wyd]$perl wyd.pl

*
* wyd.pl 0.1. by Max Moser and Martin J. Muench
*

Usage: wyd.pl [OPTIONS] <file(s)|directory>
    Options:
    -o <file> = Write wordlist to <file>
    -t = Separate wordlist files by type, e.g. '<file>.doc'
    -s <min-len> = Use 'strings' for unsupported files
    -b = Disable removal of non-alpha chars at beginning of word
    -e = Disable removal of non-alpha chars at end of word
    -f = Disable inclusion of filenames in wordlist
    -v = Show debug/verbose output

Значи командата би изгледала:
perl -o pass.txt [folder]

Со ова скриптата поминува низ сите текст фајлови во фолдерот и зборовната листа pass.txt ја запишува во фолдерот каде што се наоѓа wyd.pl фајлот.

Можеби ќе сакате да ги инсталирате перл модулите, кои доаѓаат заедно во tarball-от во /lib на перл директориумот за да избегнете било какви грешки.

Тоа е тоа, сега може да создадете Ваша листа на зборови и со горенаведените програми да си ги тестирате ВАШИТЕ лозинки. Во никој случај не го искористувајте овој пост, тој е наменет за едукативни цели. За Вашите постапки одговарате само Вие и би Ве советувал да не ги прекршувате законитe.