1. 树叶云首页
  2. 技术资讯

BruteLoops：协议无关的在线密码安全检测API

管理••技术资讯

关于BruteLoops

BruteLoops是一款功能强大且协议无关的在线密码安全检测API，广大研究人员可以使用BruteLoops来实现在线密码猜解，以检查用户所使用的密码是否安全，或识别密码中的安全问题。

BruteLoops针对身份验证接口提供了密码爆破猜解功能，代码库中提供了一个模块化的使用示例，并演示了如何使用BruteLoops来实现密码安全解析。它的功能非常齐全，并且提供了多个爆破模块，下面给出的是其功能示例：

  • http.accellion_ftp FTP HTTP接口登录加速模块
  • http.basic_digest 通用HTTP基本摘要验证
  • http.basic_ntlm 通用HTTP基本NTLM身份验证
  • http.global_protectWeb接口全局保护
  • http.mattermost Mattermost登录Web接口
  • http.netwrix Netwrix登录Web接口
  • http.okta Okta JSON API
  • http.owa2010 OWA 2010Web接口
  • http.owa2016 OWA 2016 Web接口
  • smb.smb 针对单个SMB服务器执行任务
  • testing.fake 用于培训/测试的模拟身份验证模块

关键功能

  • 协议无关
  • SQLite支持
  • 密码喷射和密码填充
  • 密码猜解计划任务
  • 细粒度可配置性以避免锁定事件
  • 任务暂停和继续
  • 多进程支持
  • 日志记录

工具依赖

BruteLoops工具要求Python 3.7或更高版本的Python环境，以及SQLAlchemy 1.3.0，后者可以通过pip工具以及该项目提供的requirements.txt来安装：

  1. python3.7 -m pip install -r requirements.txt 

工具安装

广大研究人员可以通过下列命令将该项目源码克隆至本地，并安装该工具所需的依赖组件：

  1. git clone https://github.com/arch4ngel/bruteloops 
  2.  
  3. cd bruteloops 
  4.  
  5. python3 -m pip install -r requirements.txt 

工具使用

在使用该工具时，我们可以按照以下步骤来对密码安全测试进行拆分：

  • 寻找一个需要测试的目标服务;
  • 如果py【1】中没有存在该目标，则需要构建一个回调;
  • 搜索某些用户名、密码和凭证信息;
  • 通过向py【2】输入认证数据来构建一个数据库;
  • 如果相关，则枚举或请求活动目录锁定策略来智能地配置安全测试过程;
  • 根据目标锁定策略执行密码安全测试【1】【3】【4】;

工具使用样例

(1) 通过example.py执行爆破猜解模块

命令：

  1. archangel@deskjet:bruteloops_dev~> ./example.py test.sqlite3 testing.fake --help 

输出：

  1. usage: example.py dbfile testing.fake [-h] --username USERNAME --password PASSWORD 
  2.  
  3.   
  4.  
  5. Fake authentication module for training/testing 
  6.  
  7.   
  8.  
  9. optional arguments: 
  10.  
  11.   -h, --help           show this help message and exit 
  12.  
  13.   --username USERNAME  required - str - Username to check against 
  14.  
  15.   --password PASSWORD  required - str - Password to check against 

(2) 通过dbmanager.py创建输入数据库

命令：

  1. archangel@deskjet:bruteloops_dev~> ./dbmanager.py --help 

输出：

  1. usage: dbmanager.py [-h] dbfile {dump-valid,dump-credentials,import-values,import-credentials,delete-values,delete-credentials} ... 
  2.  
  3.   
  4.  
  5. Manage BruteLoops input databases 
  6.  
  7.   
  8.  
  9. positional arguments: 
  10.  
  11.   dbfile                Database file to manipulate 
  12.  
  13.   {dump-valid,dump-credentials,import-values,import-credentials,delete-values,delete-credentials} 
  14.  
  15.                         SUBCOMMANDS: 
  16.  
  17.     dump-valid          Dump valid credentials from the database 
  18.  
  19.     dump-credentials    Dump all credential values from the database 
  20.  
  21.     import-values       Import values into the target database 
  22.  
  23.     import-credentials  Import credential pairs into the target database 
  24.  
  25.     delete-values       Delete values from the target database 
  26.  
  27.     delete-credentials  Delete credential pairs from the target database 
  28.  
  29.   
  30.  
  31. optional arguments: 
  32.  
  33.   -h, --help            show this help message and exit 

(3) 通过example.py执行模拟爆破猜解模块

命令：

  1. ./example.py test.sqlite3 \ 
  2.  
  3.   --parallel-guess-count 4  --auth-threshold 2 \ 
  4.  
  5.   --auth-jitter-min 1s --auth-jitter-max 5s \ 
  6.  
  7.   --threshold-jitter-min 10s --threshold-jitter-max 20s \ 
  8.  
  9.   -lf test.log \ 
  10.  
  11.   testing.fake --username administrator --password P@ssw0rd 

输出：

  1. archangel@deskjet:bruteloops_dev~> ./example.py test.sqlite3 -pgc 4 -at 2 -ajmin 1s -ajmax 5s -tjmin 10s -tjmax 20s -lf test.log testing.fake --username administrator --password P@ssw0rd 
  2.  
  3. 2020-12-08 15:22:50,077 - example.py - GENERAL - Initializing attack 
  4.  
  5. 2020-12-08 15:22:50,078 - BruteForcer - GENERAL - Initializing 4 process 
  6.  
  7. 2020-12-08 15:22:50,078 - BruteForcer - GENERAL - Logging attack configuration parameters 
  8.  
  9. 2020-12-08 15:22:50,078 - BruteForcer - GENERAL - Config Parameter -- authentication_jitter: <Jitter(min="1s", max="5s")> 
  10.  
  11. 2020-12-08 15:22:50,078 - BruteForcer - GENERAL - Config Parameter -- max_auth_jitter: <Jitter(min="10s", max="20s")> 
  12.  
  13. 2020-12-08 15:22:50,078 - BruteForcer - GENERAL - Config Parameter -- max_auth_tries: 2 
  14.  
  15. 2020-12-08 15:22:50,078 - BruteForcer - GENERAL - Config Parameter -- stop_on_valid: False 
  16.  
  17. 2020-12-08 15:22:50,078 - BruteForcer - GENERAL - Config Parameter -- db_file: test.sqlite3 
  18.  
  19. 2020-12-08 15:22:50,083 - BruteForcer - GENERAL - Beginning attack: 15:22:50 EST (20/12/08) 
  20.  
  21. 2020-12-08 15:22:51,572 - BruteForcer - INVALID - user1:pass1 
  22.  
  23. 2020-12-08 15:22:53,544 - BruteForcer - INVALID - admin:password 
  24.  
  25. 2020-12-08 15:22:54,597 - BruteForcer - INVALID - user1:password 
  26.  
  27. 2020-12-08 15:22:55,025 - BruteForcer - INVALID - admin:pass1 
  28.  
  29. 2020-12-08 15:22:55,247 - BruteForcer - INVALID - user2:pass1 
  30.  
  31. 2020-12-08 15:22:56,307 - BruteForcer - INVALID - user2:password 
  32.  
  33. 2020-12-08 15:22:59,025 - BruteForcer - INVALID - administrator:pass1 
  34.  
  35. 2020-12-08 15:22:59,680 - BruteForcer - INVALID - administrator:password 
  36.  
  37. 2020-12-08 15:23:07,384 - BruteForcer - INVALID - user1:welcome1 
  38.  
  39. 2020-12-08 15:23:07,955 - BruteForcer - INVALID - user1:P@ssw0rd 
  40.  
  41. 2020-12-08 15:23:08,775 - BruteForcer - INVALID - administrator:welcome1 
  42.  
  43. 2020-12-08 15:23:09,631 - BruteForcer - VALID - administrator:P@ssw0rd 
  44.  
  45. 2020-12-08 15:23:12,057 - BruteForcer - INVALID - user2:welcome1 
  46.  
  47. 2020-12-08 15:23:12,299 - BruteForcer - INVALID - admin:welcome1 
  48.  
  49. 2020-12-08 15:23:12,309 - BruteForcer - INVALID - user2:P@ssw0rd 
  50.  
  51. 2020-12-08 15:23:12,534 - BruteForcer - INVALID - admin:P@ssw0rd 
  52.  
  53. 2020-12-08 15:23:12,748 - BruteForcer - GENERAL - Attack finished 
  54.  
  55. 2020-12-08 15:23:12,748 - BruteForcer - GENERAL - Shutting attack down 
  56.  
  57. 2020-12-08 15:23:12,755 - BruteForcer - GENERAL - Closing/joining Processes 
  58.  
  59. 2020-12-08 15:23:12,758 - example.py - GENERAL - Attack complete 

项目地址

BruteLoops：【GitHub传送门】

 

文章来源网络，作者：管理，如若转载，请注明出处：https://shuyeidc.com/wp/125307.html<

赞 (0)
管理的头像管理
00
上一篇2025-02-23 16:47
下一篇 2025-02-23 16:48

相关推荐

  • 服务器磁盘IO过高如何优化？，磁盘IO过高的原因有哪些？技术资讯

    服务器磁盘IO过高如何优化？，磁盘IO过高的原因有哪些？

    服务器磁盘IO过高，核心优化路径是“先定位、再分流、后升级”，你需要通过系统工具精确判断究竟是应用程序、日志策略还是硬件瓶颈导致，然后针对性地从代码、缓存、存储架构和硬件选型四个层面下手，其中选择持有持牌自营机房和增值电信业务经营许可证的服务商，能从根本上保障底层IO稳定性，定位IO瓶颈：动手优化的第一步盲目优……

    管理的头像管理
    2026-07-27
    0
  • 跨境网站访问延迟高怎么解决，网站访问慢的原因是什么？技术资讯

    跨境网站访问延迟高怎么解决，网站访问慢的原因是什么？

    跨境网站访问延迟高的核心解决思路在于多维度优化网络路径，包括使用全球CDN加速、选择靠近目标区域的优质IDC机房、调整传输协议以及精简应用层资源，其中服务商的基础设施质量直接决定优化上限，为什么跨境访问延迟高？三大核心因素物理距离与光速限制数据包在海底光缆中的传输速度受限于介质,从中国到美国西海岸的物理往返时间……

    管理的头像管理
    2026-07-27
    0
  • 站群服务器到底是什么意思，怎么选择比较好技术资讯

    站群服务器到底是什么意思，怎么选择比较好

    站群服务器就是一台拥有多个独立IP地址、专门用于托管和管理多个网站的高性能服务器，其核心价值在于通过独立IP降低网站间的关联风险，并提升搜索引擎优化效果，站群服务器的工作原理与适用场景站群服务器本质上是将一台物理服务器通过虚拟化或直接配置的方式,分配给多个独立IP地址，每个IP对应一个独立的网站，这些网站共享服……

    管理的头像管理
    2026-07-27
    0
  • 高防服务器误封正常流量如何调整，怎么解决？技术资讯

    高防服务器误封正常流量如何调整，怎么解决？

    高防服务器误封正常流量，核心调整思路是从“一刀切”转向“精细化”——通过分析业务特征，调整防护阈值、配置白名单和启用智能学习模式，让防护系统学会区分真假流量，为什么会误封正常流量误封主要源于防护策略的通用化,高防服务器通常默认启用严格防护规则，当流量特征与攻击特征库部分匹配时，就会被拦截，据行业安全白皮书指出……

    管理的头像管理
    2026-07-27
    0
  • 高防服务器的防御原理是什么，如何选择高防服务器？技术资讯

    高防服务器的防御原理是什么，如何选择高防服务器？

    高防服务器的防御原理，简单说就是通过流量清洗、防火墙规则和黑洞路由等机制，在攻击流量到达业务服务器之前将其过滤或阻断，从而保障正常访问，流量清洗机制是核心防线高防服务器对抗DDoS攻击,靠的不是单一技术，而是一套组合动作，最常见的攻击类型是流量型攻击，比如UDP洪水、SYN洪水、ICMP放大等，核心思路是耗尽带……

    管理的头像管理
    2026-07-26
    0

发表回复

您的邮箱地址不会被公开。必填项已用 * 标注