học phần an toàn và bảo mật hệ thống thông tin đề tài tìm hiểu kỹ thuật crackpassword bằng phần mềm cain and abel

Nó tập trung vào những khía cạnh/điểm yếu hiện có trong các chuẩn giao thức, các phương pháp đăng nhập và các kỹ thuật đệm; mục đích chính của công cụ này là tìm ra mật khẩu và những thô

ĐẠI HỌC KINH TẾ - ĐẠI HỌC ĐÀ NẴNG

Khoa Thương Mại Điện Tử



Báo cáo giữa kì học phần An toàn và bảo mật hệ thống thông tin

Đề tài: Tìm hiểu kỹ thuật CrackPassword bằng

phần mềm Cain and Abel

GVHD: Trần Thị Thu Thảo Lớp HP: MIS3003_45K22.1 Nhóm thực hiện: Neophyte

Đà Nẵng, ngày 12 tháng 10 năm

Mục Lục

1 Giới thiệu về nhóm 3

2 Giới thiệu về phần mềm Cain Abel 3

2.1 Cain & Abel là gì? 3

2.2 Yêu cầu để cài đặt Cain Abel 4

2.3 Các tính năng 4

2.4 Các phương pháp tấn công mật khẩu: 4

3 Bẻ khoá mật khẩu bằng Cain & Abe 6

3.1 Cracking password của tài khoản window 6

4 Kết luận 11

4.1 Ưu điểm 11

4.2 Nhược điểm 12

1 Giới thiệu về nhóm

đóng góp(%)

Phân công công việc

Trần Thị

Phúc Ngân

( Nhóm trưởng)

191124022138 100% Tìm hiểu về Cain & Abel và hỗ

trợ thực hành

Tổng hợp, chỉnh sửa và hoàn thành báo cáo

Ngô Thị

Kiều Hân

191124022117 100% Tìm hiểu về Cain & Abel và hỗ

trợ thực hành

Hỗ trợ tổng hợp báo cáo và hỗ trợ làm slide

Đặng

Mai Khanh

191124022129 100% Tìm hiểu về Cain & Abel và hỗ

trợ thực hành Làm slide thuyết trình Nguyễn Hứa

Nguyên Khôi

191124022131 100% Thực hành và hỗ trợ tìm hiểu

Record các thao tác

2 Giới thiệu về phần mềm Cain Abel

2.1 Cain & Abel là gì?

- Cain & Abel là bộ công cụ trợ giúp việc dò tìm, phát hiện và giải mã các mật

khẩu trên hệ điều hành Microsoft Công cụ này được viết bởi Massimiliano

Montoro, một lập trình viên nổi tiếng với hy vọng rằng nó là công cụ đắc lực cho

quản trị mạng, nhân viên điều tra có thể dễ dàng vào các hệ thống máy tính

- Chương trình này không khai thác những lỗ hổng chưa được vá của bất kỳ phần

mềm nào Nó tập trung vào những khía cạnh/điểm yếu hiện có trong các chuẩn

giao thức, các phương pháp đăng nhập và các kỹ thuật đệm; mục đích chính của

công cụ này là tìm ra mật khẩu và những thông tin cần thiết từ nhiều nguồn, tuy

vậy, nó cũng sử dụng nhiều công cụ "phi chuẩn" đối với người sử dụng Microsoft Windows

- Cain & Abel được phát triển với mong muốn giúp đỡ những người quản trị mạng, các giáo viên, các chuyên gia/nhà tư vấn an ninh, nhân viên tòa án, các nhà phân

phối phần mềm bảo mật, các giáo viên, những nhân viên kiểm thử truy nhập

chuyên nghiệp hay bất kỳ ai có lý do sử dụng nó phù hợp với đạo đức

2.2 Yêu cầu để cài đặt Cain Abel

Các yêu cầu hệ thống cần thiết để cài đặt Cain & Abel thành công:

- Ổ cứng trống ít nhất 10MB

- Hệ điều hành Microsoft Windows

- Trình điều khiển gói Winpcap ( v2.3 trở lên)

- Trình điều khiển gói Aircap

2.3 Các tính năng

- Giải mã và khôi phục mật khẩu

- Tìm ra nhiều loại mật khẩu bằng cách dò tìm (sniffer) trên mạng

- Bẻ khóa mật khẩu theo các phương pháp Dictionary, Brute-Force and Cryptanalysis

- Hiển thị mật khẩu có trong bộ đệm

- Ghi âm các cuộc đàm thoại VoIP: hỗ trợ việc ghi âm lại cuộc đàm thoại thông qua VoIP và lưa dưới dạng mp3

- Hỗ trợ giả mạo ARP: với tính năng làm cho người sử dụng công cụ có thể liên kết với một máy tính trong mạng nội bộ mà rất khó bị phát hiện hay theo dõi

- Phân tích các giao thức định tuyến

2.4 Các phương pháp tấn công mật khẩu:

● Dictionary Attack

- Là cách tấn công đơn giản và nhanh nhất trong các loại hình tấn công

- Nó được sử dụng để xác định một mật khẩu từ thực tế và mật khẩu có thể được tìm thấy trong từ điển

- Thông thường, cuộc tấn công sử dụng một tập tin từ điển các từ có thể, sau đó

sử dụng một thuật toán được sử dụng bởi quá trình xác thực

- Các hàm băm (hash) của các từ trong từ điển được so sánh với hàm băm của mật khẩu người dùng đăng nhập vào, hoặc với các mật khẩu được lưu trữ trong một tập tin trên máy chủ

- Dictionary Attack chỉ làm việc nếu mật khẩu là một thực thể có trong từ điển

- Điểm hạn chế là nó không thể được sử dụng với các mật khẩu mạnh có chứa số hoặc ký hiệu khác

● Brute Force Attack

- Là cách tấn công bằng thuật toán brute-force, mà mọi cố gắng kết hợp có thể

có của chữ hoá và chữ thường, chữ cái, số, và biểu tượng

- Một cuộc tấn công vì có thể kết hợp nhiều ký tự trong mật khẩu Tuy nhiên, cách này có hiệu quả, cần có đủ thời gian và sức mạnh xử lý tất cả

● Cryptanalysis:

- Là kỹ thuật cố gắng giải mã các tin nhắn được mã hoá mà không sử dụng khoá

đã được sử dụng để mã hoá các tin nhắn

- Sử dụng phân tích toán học và các thuật toán để giải mã các mật mã

- Nó được sử dụng để vi phạm các hệ thống bảo mật để có được quyền truy cập vào nội dung và thông điệp được mã hoá ngay cả khi khoá mật mã không được biết đến

- Sự thành công của các cuộc tấn công phân tích mật mã phụ thuộc :

+ Khoảng thời gian có sẵn

+ Điện toán có sẵn

+ Dung lượng lưu trữ có sẵn

- Sử dụng kiểu tấn công bảng cầu vồng: so sánh văn bản mật mã với các hàm băm được tính toán trước để tìm các kết quả phù hợp

3 Bẻ khoá mật khẩu bằng Cain & Abe

3.1 Cracking password của tài khoản window

B1: Cấu hình đúng Network Adapter trên máy

B2: Trên menu của Cain chọn Configure > lựa chọn Network Adapter phù hợp > Click Start Sniffer

B3: Vào Cracker > LM & NTLM Hashes > Import hashes from local system

B4: Tiến hành crack password của username khoi bằng phương pháp tấn công mật khẩu Dictionary Attack

B5: Tiến hành crack password của username khoi2 bằng phương pháp tấn công mật khẩu Brute-Force Attack

Crack thành công

3.2 Cracking password của Website: http://elearning.due.udn.vn

B1: Scan địa chỉ ip các máy

B2: Chọn các máy đầu độc

B3: Bắt đầu đầu độc

B4: Thử đăng nhập

B5: Các thông tin có được sau khi đầu độc

 Thành công crack password

Link video record:

https://drive.google.com/file/d/1qQ_28yLIlMwgl7nOK0ILP74XTpuaoTOT/ view?usp=drivesdk

3.3 Cách phòng tránh

- Đặt mật khẩu phức tạp, bao gồm chữ thường, chữ in hoa, số, ký tự đặc biệt

- Bật xác thực 2 bước khi đăng nhập ở 1 thiết bị khác

- Định kỳ thay đổi mật khẩu

- Đối với công ty và doanh nghiệp, cần tránh những giao thức thiếu an toàn như HTTP, FTP và Telnet và thay vào đó bằng SSH, HTTPS, SFTP Tất cả các dữ liệu gửi ra ngoài cần được mã hoá, nhiều doanh nghiệp họ triển khai thêm VPN để tăng thêm 1 lớp bảo mật nữa

- Đối với cá nhân thì cần cẩn thận và chú ý, chỉ nhập thông tin vào những website

có HTTPS Khi truy cập vào 1 điểm wifi công cộng, cần dùng VPN

4 Kết luận

4.1 Ưu điểm

- Công cụ khôi phục mật khẩu hoàn toàn miễn phí

- Một số phương pháp có thể được sử dụng để crack mật khẩu

- Khôi phục mật khẩu rất nhanh

4.2 Nhược điểm

- Bây giờ các website đa số đã sử dụng HTTPS nên Cain&Abel cũng bị hạn chế về

sử dụng, cùng với đó thì Cain&Abel hiện tại bị đánh giá là lỗi thời nên ít người sử dụng