Common User Passwords Profiler (CUPP)

Com tots sabem els password acostumen a ser, tot i els consells en contra dels experts, combinacions de termes relacionats i molt propers de les persones que els utilitzen.  Així doncs tant els hackers com els auditors de seguretat ràpidament veuen la necessitat de utilitzar alguna eina que faciliti crear diccionaris personalitzats per atacar les credencials de usuaris o objectius concrets.

L’eina que s’utilitza de forma general, i que de fet ja fa molts anys que existeix, és CUPP (Common User Passwords Profiler).  Aquesta eina escrita en Python per Mebus, i actualitzada fa molt poc per el seu creador, ens permetrà generar diccionaris personalitzats i/o descarregar diccionaris generals que també ens poden ser de gran ajuda.

El seu ús es trivial, com tot script de python el llençarem amb la comanda:

python cupp.py

Execució de CUPP sense paràmetres mostra les opcions disponibles.

Execució de CUPP sense paràmetres mostra les opcions disponibles.

A partir d’aquí ens apareixeran les opcions del programa:

  • -h: L’ajuda, simplement.
  • -i: Qüestionari interactiu que ens permetrà anar introduint informació sobre el nostre objectiu i sobre el diccionari resultant que volem.  Aquesta és l’opció estrella del programa i la que possiblement ens emetrà aconseguir l’èxit en l’atac de diccionari.
  • -w: Ens permetrà modificar un diccionari ja existent.
  • -l: Descarregar diccionaris estàndard per temàtica o idioma (entre ells l’espanyol).
  • -a: Descarregar un diccionari general en anglès.
  • -v: Mostra la versió del programa.

Com podeu veure, el seu ús és super simple i els seus resultats son realment impressionants.   Dins del qüestionari que ens obre al opció -i ens demanarà dates, incloure nombres aleatoris, substituir vocals per nombres, combinar varies paraules, combinar majúscules amb minúscules, afegir paraules extres relacionades amb la persona, etc… el resultat, si s’ha fet una bona recollida de informació sobre l’objectiu, serà un diccionari molt extens i super complert totalment enfocat a la persona objectiu.  La delícia en tota auditoria de seguretat!

Un exemple d’aquesta funcionalitat és el següent:

Llançant CUPP amb el paràmetre -i ens permet omplir un formulari a partir del qual generarà un diccionari personalitzat.

Llançant CUPP amb el paràmetre -i ens permet omplir un formulari a partir del qual generarà un diccionari personalitzat.

Aquesta execució tan simple, i sense afegir paraules clau relacionades amb mi, ha general un diccionari en forma d’arxiu de text pla amb 23.727 contrasenyes que podrem fer servir en atacs de diccionari.

CUPP junt amb dTools poden suposar la diferència entre un atac/auditoria exitós o uns simples registres en els logs…

Advertisements

~ per madyyelf a 2 Agost 2015.