John The Ripper: attacco alle password

Nelle precedenti lezioni abbiamo visto come vengono manipolate le password dei sistemi operativi basati su Linux. Vediamo ora come ottenere le stesse informazioni dalle varie versioni di Microsoft Windows.

Utilizzando un semplice tool, abbiamo visto come ottenere le password dei sistemi Linux. In questa lezione useremo John the Ripper, un altro tool di Kali, per attaccare le password di Windows.

Ribadiamo preventivamente che appropriarsi di un file SAM, contenente le password di accesso degli utenti per un determinato PC, costituisce reato. Noi partiremo con l’acquisizione del file SAM di una nostra macchina campione.

Detto questo, procediamo con l’analisi. Il nostro file SAM di esempio contiene gli hash di quattro utenti Windows:

Administrator:500:00000000000000000000000000000000:A1F666E43A1DFFE40B96201AFDD26CF3:Account predefinito per l'amministrazione del computer/dominio::
Guest:501:00000000000000000000000000000000:00000000000000000000000000000000:Account predefinito per l'accesso come utente ospite al computer/dominio::
Gaz:1000:00000000000000000000000000000000:0130FA6701FAB7E584FBF4634EF27B76:::
Test_HTML_psw:1000:579DA0AF433BC64A3832C92FC614B7D1:B0214CFC129F0AF9AD7A992241280E3E:::

I primi due sono gli utenti creati di default dal sistema operativo in fase di installazione (lo sappiamo dal codice 500 presente dopo il nome utente). Il terzo è il mio utente mentre, ed il quarto è un utente creato appositamente per questa guida (il loro codice identificativo 1000 ci indica che sono stati creati dall’utente del PC).

Noi ci concentreremo sul quarto.

La prima stringa di zeri ci dice che abbiamo il file SAM di una machina su cui è istallata una versione di Windows 7 o superiore. La seconda stringa ci dice che l’hash è di tipo NT.

Quindi cerchiamo di usare John per attaccare l’hash della password.

Avviamo la macchina con Kali Linux, creiamo un file winhash.txt in una cartella a piacere (nel nostro esempio, l’abbiamo creata sul Desktop) e copiamo al suo interno il contenuto del file SAM relativo all’utente GAZ. Apriamo quindi una shell e digitiamo:

john --format=NT ~/Desktop/winhash.txt

Nel comando precedente:

• --format = NT indica a John con quale formato gli abbiamo fornito l’hash della password;
• ~/Desktop/winhash.txt è il path del file che contiene gli hash estratti dal file SAM.

Per velocizzare la ricerca, possiamo fornire a John il nostro dizionario, specificando l’opzione --wordlist.

Dopo pochi minuti, John mostrerà la password del nostro bersaglio.

L’utente Test_HTML_psw ha come password HTML_psw. Da questo momento, potremo accedere a questa macchina con delle credenziali lecite, senza destare sospetti e tentare una escalation di privilegi per compromettere definitivamente il PC.

Conclusioni

Come visto nella lezione precedente, se diamo accesso al nostro PC a un malintenzionato o se qualcuno viene in possesso del nostro file SAM, rischiamo di rivelare le nostre credenziali di accesso. Molti utenti utilizzano, per pigrizia, la stessa password per diversi servizi. Anche in ambiente Windows, è bene quindi evitare di utilizzare password semplici e di lasciare il PC senza averlo precedentemente bloccato. Sottolineiamo il fatto che (sia per il file SHADOW che per il file SAM) non c’è modo, se non con una attenta analisi forense, di accorgersi degli accessi fraudolenti effettuati con le nostre credenziali, in quanto risultano a tutti gli effetti accessi leciti dell’utenza.

Nota: questa lezione ha puro scopo educativo, e tutti i test sono stati eseguiti in ambiente di laboratorio. Eventuali tentativi di replica su siti web o indirizzi IP pubblici costituiscono reato informatico.