Ох, уж эти пентесты

Никогда не перестану удивляться человеческой глупости! :) Себя я в полной мере отношу к человекам, потому и сам не редко допускаю разного рода оплошности. Довольно часто можно услышать, что однофакторная аутентификация с использованием паролей без каких-либо механизмов противодействия удаленному атакующему в контексте большого числа идентификаторов это всегда реализация успеха для (не)плохого парня. Более того на руках вполне живые метрики: " удаленный атакующий способен скомпрометировать 10-15% учетных записей системы ", " 40% паролей могут быть взломаны из-за простоты ". name='more'> Так к чему этот пост? Дело в том, что цифры цифрами, а реалии могут быть совершенно иными. Так случилось и вчера. Проводимый внутренний пентест растянулся на целый день, лишь потому, что словари не содержали некоторые комбинации слабых паролей. И каково же было удивление, когда пароли вроде обфусцированного слова "пассворд" для учетных записей с высокими привилегиями стали попадаться через череду порутанных серверов и сетевых девайсов... но это случилось уже ближе к вечеру. Мораль сей басни такова: не всегда после пары неудачных попыток перебора стоит переходить к тяжелой артиллерии вроде yersinia , мегасплоита , мегаканваса и им подобным. Иногда стоит просто включить интуицию и смекалку для получения всех желаемых привилегий в информационной системе за короткое время. А что дальше, после такого пентеста? А дальше переход от черного-ящика к белому-, но это уже другая история.