¿Es posible recuperar las credenciales SSH v2 en un esquema de autenticación de nombre de usuario / contraseña?

3

Actualmente estoy analizando una red comprometida (se ha obtenido acceso de root a una estación de trabajo y los registros muestran que se ha utilizado para escaneo de puertos y ataques de fuerza bruta en las estaciones restantes dentro de la subred) y me pregunto cuál es el ¿El ataque más efectivo que se puede lanzar en este momento?

La detección de paquetes permite una fácil recuperación de credenciales en el caso de los protocolos de texto simple, pero por lo demás es menos eficaz contra sus contrapartes encriptadas.

La fuerza bruta no es efectiva dado que se emplea una política de credenciales segura.

En este punto, estoy pensando que el ataque con el mayor impacto consistiría en la recuperación de credenciales mediante el uso del envenenamiento de arp en servicios como SSH. He encontrado un conjunto de herramientas que permitiría a un atacante recuperar los valores de nombre de usuario y contraseña para SSH v1

aquí

Las herramientas presentadas allí, sin embargo, son arcaicas y requieren numerosos ajustes para compilar en la mayoría de las distribuciones modernas.

¿Hay un equivalente para SSH v2? ¿Cuáles son los medios más adecuados de prevención / detección?

    
pregunta Sebi 13.10.2014 - 13:42
fuente

1 respuesta

2

Sí, las credenciales de la contraseña aún pueden ser robadas a través de un método de man-in-the-middle con SSHv2.

El perfil de la víctima dependerá del tipo de método de hombre en el medio utilizado. Para su ejemplo de envenenamiento de arp desde una estación de trabajo cliente, el envenenamiento de arp otorgaría un máximo de intermediarios entre los clientes en la red local cercana, o todos los clientes si el servidor está en una red local cercana.

Otros métodos intermedios, como el envenenamiento de DNS, podrían aumentar el alcance de la víctima.

La mayoría de los clientes SSH recordarán la clave pública de un servidor SSH al que se hayan conectado previamente. Por lo tanto, es probable que los usuarios habituales reciban un error o una advertencia al intentar conectarse a través de un mitm.

El uso de la autenticación de clave privada es una forma de evitar revelar la credencial secreta, incluso si la conexión es intermedia.

Aquí hay un ejemplo de descripción de la herramienta de historia. enlace

    
respondido por el Gabe 09.12.2014 - 01:26
fuente

Lea otras preguntas en las etiquetas