mehedi-hasan-sami98/bruteforce-attack-toolkit

# 暴力破解工具包 — 渗透测试人员参考指南     这是一份结构化、专业的参考文档，记录了在渗透测试和红蓝对抗（red team）演练期间进行**授权**暴力破解和凭据攻击测试所使用的行业标准工具、技术和方法论。 本仓库旨在作为一个**知识库和作品集展品** — 它记录了工具的*功能*、*何时*使用它们以及*如何防御它们*，而不是提供现成的 exploit 脚本。所示的所有命令均为标准的、公开记录的工具用法。 ## 📌 目的 暴力破解和凭据填充攻击仍然是现实世界数据泄露中最常见的初始访问媒介之一。了解测试人员的工具包——并将其映射到 MITRE ATT&CK 等知名框架——有助于组织构建更好的检测和防御机制。 本仓库涵盖： - ✅ 专业演练中使用的暴力破解工具的分类解析 - ✅ 用例映射（网络服务、Web 应用、哈希、目录） - ✅ MITRE ATT&CK 技术映射（T1110 及其子技术） - ✅ 法律与道德合规范围指导 - ✅ 蓝队检测与防御性对策 ## 📂 仓库结构 ``` bruteforce-attack-toolkit/ ├── README.md # This file ├── docs/ │ ├── tools-overview.md # Full tool-by-tool breakdown │ ├── mitre-attack-mapping.md # T1110 sub-technique mapping │ ├── legal-ethical-guidelines.md # Scoping & authorization rules │ └── defensive-countermeasures.md # Blue team / detection guidance ``` ## 🛠️ 涵盖的工具类别 | 类别 | 工具 | |---|---| | 网络服务登录暴力破解 | Hydra, Medusa, Ncrack, Patator, CrowBar | | 离线密码/哈希破解 | John the Ripper, Hashcat | | Web 应用暴力破解 | Burp Suite Intruder, OWASP ZAP, Wfuzz, Ffuf | | 目录 / 子域名暴力破解 | Gobuster, DirSearch, Ffuf | | 字典生成 | Crunch, CUPP, CeWL | 完整的说明、语法参考和用例记录在 [`docs/tools-overview.md`](docs/tools-overview.md) 中。 ## ⚖️ 法律与道德声明 在大多数司法管辖区（例如孟加拉国的*《2023 年网络安全法》*及全球同等的法律），对您不拥有或缺乏**明确书面授权**的系统进行暴力破解攻击是非法的。请始终在已签署的工作范围 / 交战规则文件下进行操作。 详见 [`docs/legal-ethical-guidelines.md`](docs/legal-ethical-guidelines.md) 获取完整细节。 ## 🧩 MITRE ATT&CK 映射 暴力破解技术主要映射到： - **T1110** — 暴力破解 (Brute Force) - T1110.001 — 密码猜测 - T1110.002 — 密码破解 - T1110.003 — 密码喷洒 - T1110.004 — 凭据填充 请参阅 [`docs/mitre-attack-mapping.md`](docs/mitre-attack-mapping.md) 获取包含检测说明的完整解析。 ## 🛡️ 防御要点 简短摘要 — 完整详情见 [`docs/defensive-countermeasures.md`](docs/defensive-countermeasures.md)： - 强制执行账户锁定 / 速率限制策略 - 在所有使用凭据的地方实施 MFA - 监控身份验证日志中的高频失败尝试（SIEM 关联规则） - 在 Web 登录表单上使用 CAPTCHA / 渐进式延迟 - 禁用以明文形式传输凭据的旧协议（Telnet, FTP） ## 👤 作者 **Mehedi Hasan Sami** 初级渗透测试人员 | BlackHawk & BlackVault 安全团队 [GitHub](https://github.com/mehedi-hasan-sami98) ## 📜 许可证 该项目在 MIT 许可证下授权 — 有关详细信息，请参阅 LICENSE 文件。 ## ⚠️ 免责声明 作者不对本仓库中提供的信息的任何滥用行为负责。此内容仅供教育和授权的专业测试目的使用。

标签：Cloudflare, MITRE ATT&CK, PoC, 安全知识库, 数据展示, 暴力破解, 红队, 防御加固, 防御策略