samedi 2 mai 2009

Cracker un mot de passe avec Cain & Abel

Pour faire suite à l'article sur les clefs USB, imaginons que nous avons récupéré en suivant la méthode décrite dans l'article "La clef USB: le maillon faible?" du 02/04/2009 les fichiers suivants sur la machine de la victime
  • C:\WINDOWS\repair\system
  • C:\WINDOWS\repair\sam


A quoi servent ces fichiers?

Eh bien le fichier "sam" contient les noms d'utilisateurs et les mots de passe utilisés sur la machine (utilisateurs locaux). Mais le fichier "sam" est encrypté en utilisant une clef appelé SYSKEY que l'on retrouve par l'intermédiaire du fichier "system". Avec ces deux fichiers et l'outil approprié nous avons la possibilité de retrouver le nom et le mot de passe de la machine "cible".

Vous trouverez plus d'informations sur le rôle de ces fichiers à l'adresse suivante: http://en.wikipedia.org/wiki/Security_Accounts_Manager.


Cain & Abel: une autre vision de l'ancien testament!

L'objectif de cet article est de décrire l'utilisation de Cain & Abel pour retrouver le nom et le mot de passe de l'utilisateur.
L'outil peut être téléchargé à l'adresse suivante: http://www.oxid.it/cain.html.


L'utilisation de Cain & Abel permet de réaliser une attaque "brute-force" pour trouver le mot de passe. On note immédiatement que plus le mot de passe est complexe et plus le temps nécessaire à Cain & Abel pour retrouver le mot de passe sera important.



Action


Afin de limiter dans le temps la recherche du mot de passe, nous avons réduit l'ensemble des caractères utilisés pour l'attaque "brute force" aux minuscules et non avons fixé la longueur du mot de passe à 7 (ce qui correspond à la longueur du mot de passe que nous recherchons). Bien entendu ces contraintes permettent uniquement de limiter le temps de recherche qui peut être très (voir trop) élévé pour des mots de passe complexes.


Comme toujours vous trouverez la vidéo décrivant l'utilisation de Cain & Abel ICI.


En conclusion

On comprend alors mieux l'intérêt d'avoir des mots de passe qui suivent les règles de base suivantes:

  • supérieur ou égal à 8 caractères
  • incluant des chiffres
  • incluant des lettres minuscules et majuscules
  • incluant des caractères spéciaux


A bon entendeur...

Aucun commentaire:

Enregistrer un commentaire

Partager avec...