Hoja de Referencia de Credenciales Predeterminadas (By @ihebski)

Un lugar para todas las credenciales predeterminadas para ayudar a los pentesters durante un compromiso, este documento tiene varias credenciales predeterminadas de productos que se recopilan de varias fuentes.

Siempre que vemos una nueva pieza de tecnología empresarial o de consumo, el primer paso típico es ver qué tan segura es. Por ejemplo, cuando vemos un nuevo teléfono inteligente o una computadora portátil nueva, tratamos de ver qué tan difícil es ingresar al dispositivo o qué tan fácil es pasar por alto la pantalla de inicio de sesión. Encontramos credenciales predeterminadas simplemente porque es la primera cosa lógica que intentamos. ¿Cómo empezar? Para esta tarea, necesitarás una lista de blogs relacionados con tu área de estudio. Por suerte, contamos con esta Default Credentials Cheat Sheet.

P.D : La mayoría de las credenciales se extraen de los proyectos changeme,routersploit y Seclists, puedes utilizar estas herramientas para automatizar el proceso:

Dark Mode

changeme (este enlace se abre en una nueva ventana) por ztgrace (este enlace se abre en una nueva ventana)

A default credential scanner.

64 suscriptores 1397 observadores 265 forks Echa un vistazo a este repositorio en GitHub.com (este enlace se abre en una nueva ventana)

Dark Mode

routersploit (este enlace se abre en una nueva ventana) por threat9 (este enlace se abre en una nueva ventana)

Exploitation Framework for Embedded Devices

627 suscriptores 11809 observadores 2294 forks Echa un vistazo a este repositorio en GitHub.com (este enlace se abre en una nueva ventana)

Motivación

• Un documento para las credenciales por defecto de los proveedores más conocidos
• Ayudar a los pentesters durante un compromiso de pentest/red teaming
• Ayudar a los teamers Red/Blue a asegurar la infraestructura de la empresa descubriendo este fallo de seguridad para mitigarlo. Ver OWASP Guide

Breves estadísticas del conjunto de datos

Fuentes

• Changeme
• Routersploit
• betterdefaultpasslist
• Seclists
• Documentación/blogs de los proveedores

Script Creds

Puedes convertir la hoja de trucos en un comando CLI y realizar consultas de búsqueda de un producto específico.

# Uso
➤ python3 creds search tomcat                                                                                                      
+----------------------------------+------------+------------+
| Product                          |  username  |  password  |
+----------------------------------+------------+------------+
| apache tomcat (web)              |   tomcat   |   tomcat   |
| apache tomcat (web)              |   admin    |   admin    |
...
+----------------------------------+------------+------------+

Si no encuentras la contraseña de un producto concreto, envía una pull request para actualizar el conjunto de datos.

Algunos ejemplos:

Dark Mode

DefaultCreds-cheat-sheet (este enlace se abre en una nueva ventana) por ihebski (este enlace se abre en una nueva ventana)

One place for all the default credentials to assist the Blue/Red teamers activities on finding devices with default password 🛡️

89 suscriptores 5155 observadores 654 forks Echa un vistazo a este repositorio en GitHub.com (este enlace se abre en una nueva ventana)