---

## Варианты использования

### Тестирование на проникновение
- Проверка обнаруженных учетных данных в нескольких службах во время внутренних оценок
- Тестирование шаблонов повторного использования паролей в службах баз данных и общих файловых ресурсах
- Выявление учетных данных по умолчанию на вновь развернутой инфраструктуре

### Операции Red Team
- Быстрая проверка учетных данных после утечек паролей или фишинговых кампаний
- Тестирование возможностей бокового перемещения по сетевым службам
- Проверка скомпрометированных учетных данных в гетерогенных средах

### Распыление закрытых ключей

Нашли закрытый ключ на скомпрометированной системе? Распылите его по сети, чтобы узнать, где еще он предоставляет доступ:```bash
# Discover SSH services and spray a found private key
naabu -host 10.0.0.0/24 -p 22 -silent | \
  nerva --json | \
  brutus creds -u root,admin,ubuntu,deploy -k /path/to/found_key --json

### Проверка безопасности
- Тестирование стандартных учетных данных на вновь развернутых службах
- Проверка соблюдения политики паролей на разных платформах
- Создание журналов аудита для соответствия требованиям и оценки безопасности

---

## Установка

### Предварительно собранные двоичные файлы (рекомендуется)

Скачать из [GitHub Releases](https://github.com/praetorian-inc/brutus/releases):```bash
# Linux (amd64)
curl -L https://github.com/praetorian-inc/brutus/releases/latest/download/brutus-linux-amd64.tar.gz | tar xz
sudo mv brutus /usr/local/bin/

# macOS (Apple Silicon)
curl -L https://github.com/praetorian-inc/brutus/releases/latest/download/brutus-darwin-arm64.tar.gz | tar xz
sudo mv brutus /usr/local/bin/

# macOS (Intel)
curl -L https://github.com/praetorian-inc/brutus/releases/latest/download/brutus-darwin-amd64.tar.gz | tar xz
sudo mv brutus /usr/local/bin/

### Установка Go```bash
go install github.com/praetorian-inc/brutus/cmd/brutus@latest

Каждая подкоманда имеет псевдонимы для удобства поиска:

| Подкоманда | Псевдонимы |
|------------|---------|
| `creds` | `services`, `defaults`, `credentials` |
| `web` | `http`, `panels` |
| `snmp` | `community` |
| `badkeys` | `keys`, `ssh-keys`, `badkey` |
| `logon` | `stickykeys`, `sticky-keys`, `utilman`, `sethc`, `winlogon`, `accessibility` |
| `enum` | *(нет)* |```bash
# Test SSH credentials
brutus creds --target 192.168.1.100:22 --protocol ssh -u root -p toor

# Test HTTP web panel with AI credential detection
brutus web --target 192.168.1.1:80 --experimental-ai

# Test HTTP web panel with manual credentials
brutus web --target 192.168.1.1:80 -c "admin:admin,root:toor"

# Test SNMP community strings
brutus snmp --target 192.168.1.1:161 --mode aggressive

# Detect Windows logon-screen backdoors
brutus logon --target 10.0.0.50:3389

# Pipeline mode: creds skips HTTP/SNMP, web skips non-HTTP, snmp skips non-SNMP
naabu -host 10.0.0.0/24 -silent | nerva --json | brutus creds -P passwords.txt
naabu -host 10.0.0.0/24 -p 80,443,8080 -silent | nerva --json | brutus web --experimental-ai
naabu -host 10.0.0.0/24 -p 161 -silent | nerva --json | brutus snmp --mode aggressive

### Пример вывода```
$ brutus creds --target 192.168.1.100:22 --protocol ssh -u root,admin -p toor,password,admin
[+] VALID: ssh root:toor @ 192.168.1.100:22 (1.23s)

Вывод JSON для интеграции с конвейером (выводятся только успешные учётные данные):```
$ brutus creds --target 192.168.1.100:22 --protocol ssh -u root -p toor --json
{"protocol":"ssh","target":"192.168.1.100:22","username":"root","password":"toor","duration":"1.234567ms","banner":"SSH-2.0-OpenSSH_8.9p1"}

#### Сценарий 2: Разведка баг-баунти на целевом домене```bash
# Full pipeline against a single target
naabu -host target.example.com -top-ports 1000 -silent | \
  nerva --json | \
  brutus creds

# Or scan a list of subdomains
cat subdomains.txt | naabu -silent | nerva --json | brutus creds

#### Сценарий 4: Тестирование SSH-ключей по всей инфраструктуре```bash
# Test embedded bad keys (Vagrant, F5 BIG-IP, ExaGrid, etc.) across a range
naabu -host 10.0.0.0/8 -p 22 -rate 1000 -silent | \
  nerva --json | \
  brutus badkeys --json -o ssh-key-findings.json

# Find systems using compromised SSH keys (key field is true)
cat ssh-key-findings.json | jq 'select(.key == true)'

### Scan Tool Import (Nmap & Masscan)

Brutus может импортировать цели непосредственно из выходных файлов сканирования **nmap** и **masscan**, устраняя необходимость в преобразовании форматов или промежуточных инструментах.

#### Nmap XML Import (`--nmap-file`)

Импорт целей из вывода nmap в формате XML (`-oX`). Nmap предоставляет идентификацию служб, поэтому Brutus автоматически сопоставляет обнаруженные службы с правильным протоколом:```bash
# Run an nmap service scan
nmap -sV -oX scan.xml 10.0.0.0/24 -p 22,3306,5432,6379,445,3389

# Feed nmap results directly to Brutus
brutus creds --nmap-file scan.xml -P passwords.txt

# Test web services from nmap scan
brutus web --nmap-file scan.xml -c "admin:admin,root:password"

# Test SNMP from nmap scan
brutus snmp --nmap-file scan.xml --mode aggressive

# JSON output for scripting
brutus creds --nmap-file scan.xml --json -o results.json

#### Комбинирование с другими рабочими процессами

Флаги `--nmap-file` и `--masscan-file` работают со всеми подкомандами и являются взаимоисключающими с `--target`, `--targets-file` и stdin:```bash
# Scan for RDP backdoors from nmap results
brutus logon --nmap-file scan.xml

# Test SSH bad keys from nmap results
brutus badkeys --nmap-file scan.xml

# Override protocol for all masscan targets
brutus creds --masscan-file scan.json --protocol redis -p "redis,password"

**Nerva URI** (стандартный вывод Nerva, `--json` не требуется):```bash
# Nerva outputs URI-scheme lines by default
$ echo "github.com:22" | nerva
ssh://github.com:22 (20.205.243.166)

# Pipe directly to Brutus — protocol is extracted from the URI scheme
echo "10.0.0.1:22" | nerva | brutus creds
echo "10.0.0.0/24:3306" | naabu -silent | nerva | brutus creds

Brutus автоматически:
- Разбирает JSON, URI-схемы и форматы чистых целей
- Сопоставляет службы с протоколами
- Тестирует соответствующие учетные данные по умолчанию
- Выводит результаты в соответствующем JSON-формате

### Формат вывода конвейера

Brutus выводит только успешные учетные данные в формате JSONL (один JSON-объект на строку):```bash
# Brutus JSON output (with --json flag) - only successful authentications
{"protocol":"ssh","target":"192.168.1.100:22","username":"root","password":"toor","duration":"1.234567ms","banner":"SSH-2.0-OpenSSH_8.9p1"}
{"protocol":"mysql","target":"192.168.1.101:3306","username":"root","password":"","duration":"890.123µs"}
{"protocol":"ssh","target":"192.168.1.103:22","username":"vagrant","key":true,"duration":"2.345678ms","banner":"SSH-2.0-OpenSSH_9.6"}

### Встроенные коллекции ключей

| Продукт | CVE | Пользователь по умолчанию | Описание |
|---------|-----|--------------------------|----------|
| Vagrant | - | vagrant, root | Небезопасный ключ HashiCorp Vagrant |
| F5 BIG-IP | CVE-2012-1493 | root | Статический ключ SSH хоста |
| ExaGrid | CVE-2016-1561 | root | Бэкдор в устройстве резервного копирования |
| Monroe DASDEC | CVE-2013-0137 | root | Системы экстренного оповещения |
| Barracuda | CVE-2014-8428 | cluster | Балансировщик нагрузки VM |
| Ceragon FibeAir | CVE-2015-0936 | mateidu | Беспроводная транспортная сеть |
| Array Networks | - | sync | Аппаратные решения vAPV/vxAG |
| Quantum DXi | - | root | Устройства дедупликации |
| Loadbalancer.org | - | root | Корпоративные балансировщики нагрузки |

---

## Режимы агрессивности

Глобальный флаг `--mode` (`-m`) управляет агрессивностью во всех подкомандах. Он задаёт предустановки настройки производительности, балансируя между покрытием и безопасностью:

| Режим | Потоки | Тайм-аут | Лимит запросов | Джиттер | Повторы | Сценарий использования |
|------|---------|----------|----------------|---------|---------|------------------------|
| `cautious` | 5 | 15s | 2 запр/с | 500мс | 1 | Рабочие среды, избегание блокировок |
| `default` | 10 | 10s | Без лимита | Нет | 2 | Стандартное тестирование |
| `aggressive` | 20 | 10s | Без лимита | Нет | 3 | Лабораторные/CTF среды, максимальное покрытие |

Предустановки режимов применяются в первую очередь, затем любой явный аргумент CLI переопределяет их:```bash
# Safe mode for production Active Directory (low concurrency, rate-limited)
brutus creds --target dc.corp.local:445 --protocol smb -m cautious -U users.txt -P passwords.txt

# Maximum coverage for a CTF
brutus creds --target 10.10.10.100:22 --protocol ssh -m aggressive -U users.txt -P rockyou.txt

# Cautious mode but override threads
brutus creds --target 192.168.1.100:22 --protocol ssh -m cautious --threads 20

Supported schemes:
- `socks5://` — Стандартный SOCKS5-прокси (разрешение DNS на стороне клиента)
- `socks5h://` — SOCKS5 с удаленным разрешением DNS (полезно при работе с внутренними именами хостов)

---

## Тестирование SNMP Community String

Подкоманда `snmp` предоставляет специализированное тестирование community strings для SNMP v1/v2c с многоуровневыми списками слов, управляемыми глобальным флагом `--mode`:

| Режим | Строки | Охват |
|------|---------|----------|
| `cautious` | ~25 | Распространенные строки (public, private, community и т.д.) |
| `default` | ~25 | То же, что и cautious |
| `aggressive` | 200+ | Всесторонний (уникальные для вендоров, SCADA, IP-камеры, хранилища и т.д.) |```bash
# Test with default community strings (~25)
brutus snmp --target 192.168.1.1:161

# Aggressive mode for comprehensive testing (200+)
brutus snmp --target 10.0.0.1:161 --mode aggressive

# Custom community strings
brutus snmp --target 192.168.1.1:161 -c "mycommunity,secretstring"

# Custom community string file
brutus snmp --target 192.168.1.1:161 -C community-strings.txt

# Pipeline mode
naabu -host 10.0.0.0/24 -p 161 -silent | nerva --json | brutus snmp --mode aggressive

Please provide the Markdown content to translate.```go
package main

import (
    "fmt"
    "time"

    "github.com/praetorian-inc/brutus/pkg/brutus"
    _ "github.com/praetorian-inc/brutus/pkg/builtins" // registers all protocols and analyzers
)

func main() {
    config := &brutus.Config{
        Target:        "192.168.1.100:22",
        Protocol:      "ssh",
        Usernames:     []string{"root", "admin"},
        Passwords:     []string{"password", "admin", "toor"},
        Timeout:       5 * time.Second,
        Threads:       10,
    }

    results, err := brutus.Brute(config)
    if err != nil {
        panic(err)
    }

    for _, r := range results {
        if r.Success {
            fmt.Printf("[+] Valid: %s:%s\n", r.Username, r.Password)
        }
    }
}

**Как это работает:**

1. **Обнаружение** — Brutus проверяет HTTP-цели для определения типа аутентификации (Basic Auth или форма)
2. **Идентификация устройства** — Claude Vision анализирует скриншоты для определения устройства/приложения
3. **Предложения учётных данных** — Claude предлагает стандартные учётные данные из своих обучающих данных
4. **Опциональный веб-поиск** — Perplexity (если настроен) ищет дополнительные учётные данные в интернете
5. **Тестирование** — Проверяет найденные учётные данные на целевой системе

**Для целей с HTTP Basic Auth:**
- Проверяет `/` для захвата HTTP-заголовков
- Определяет устройство по заголовку Server, области WWW-Authenticate и т.д.
- Claude предлагает вероятные стандартные учётные данные
- Автоматически тестирует пары учётных данных

**Для целей с аутентификацией через HTML-формы:**
- Использует headless Chrome для рендеринга и создания скриншота страницы
- Claude Vision определяет форму входа, тип устройства и предлагает учётные данные
- Perplexity (опционально) ищет дополнительные стандартные учётные данные
- Автоматизация браузера заполняет и отправляет форму

**Требования:**
- `ANTHROPIC_API_KEY` — **Обязательно** для Claude Vision (идентификация устройства + предложение учётных данных)
- `PERPLEXITY_API_KEY` — *Опционально* для дополнительного веб-поиска
- Установленный Chrome/Chromium (только для аутентификации через формы)

**Не-HTTP протоколы (SSH, MySQL и т.д.) не затрагиваются параметром `--experimental-ai`** — они продолжают использовать стандартную проверку учётных данных.

---

## RDP: Обнаружение и эксплуатация бэкдора залипания клавиш

Brutus включает автоматическое обнаружение **бэкдора залипания клавиш** (MITRE ATT&CK [T1546.008](https://attack.mitre.org/techniques/T1546/008/)) на RDP-целях. Эта проверка выполняется до аутентификации на RDP-целях без NLA — учётные данные не требуются.

**Как это работает:**

1. Подключается к RDP-цели и устанавливает сеанс без NLA
2. Захватывает изображение экрана входа в систему в качестве базового
3. Отправляет 5-кратное нажатие Shift (триггер залипания клавиш)
4. Захватывает изображение ответа
5. Эвристический анализ определяет, появилось ли окно терминала (cmd.exe, PowerShell и т.д.)
6. Опционально подтверждает через API Claude Vision (если задан `ANTHROPIC_API_KEY`)```bash
# Detection only — no brute force
brutus logon --target 10.0.0.50:3389

# Detection + Vision API confirmation
brutus logon --target 10.0.0.50:3389 --experimental-ai

**Результат обнаружения:**```
[CRITICAL] Sticky keys backdoor CONFIRMED (confidence: 85%)
sethc.exe has been replaced with cmd.exe or similar.
SYSTEM-level unauthenticated access available via 5x Shift.

Это подключается, запускает бэкдор, вводит команду, нажимает Enter, ожидает вывода и сохраняет скриншот результата в формате PNG.

### Интерактивный веб-терминал (`--web`)

Запустите браузерный RDP-просмотрщик для живого взаимодействия с командной строкой бэкдора:```bash
# Start interactive web terminal
brutus logon --target 10.0.0.50:3389 --web

**Техническая реализация:** поддержка протокола RDP использует [IronRDP](https://github.com/Devolutions/IronRDP) (Rust), скомпилированный в WebAssembly и выполняемый через [wazero](https://github.com/tetratelabs/wazero), что сохраняет нулевую зависимость от CGO и однофайловую архитектуру Brutus.

---

## Перечисление учётных записей

Подкоманда `enum` перечисляет, какие оракулы существования учётных записей работают для организации (и перечисляет электронные письма по ним) или перечисляет пользователей Active Directory, всё это без отправки паролей.

### Перечисление оракулов существования учётных записей

Определите, какие неаутентифицированные оракулы существования учётных записей (microsoft365, google, github, а также оракул Microsoft Teams) работают для организации, проверьте их на известном действительном пользователе, затем перечислите кандидатов электронных писем по работающим оракулам. DNS TXT разведка выявляет кандидатов оракулов; проверка с помощью `--known-valid` является основным моментом. `--known-valid` обязателен, и перечисление выполняется только по оракулам, которые подтверждают его:```bash
# Discover candidate oracles via DNS and report which ones work
brutus enum active oracles --domain example.com --known-valid [email protected]

# Enumerate specific emails against the working oracles
brutus enum active oracles --domain example.com -e [email protected],[email protected] --known-valid [email protected]

# Enumerate emails from file
brutus enum active oracles --domain example.com -E emails.txt --known-valid [email protected]

# Generate emails from embedded name lists and enumerate against working oracles
brutus enum active oracles --domain example.com --generate --format flast --known-valid [email protected]

# Discover working oracles with a known-valid email before large-scale enumeration
brutus enum active oracles discover --domain example.com --known-valid [email protected]

### Генерация email/имен пользователей

Генерируйте email-адреса или имена пользователей из встроенных списков имен/фамилий:```bash
# Generate emails: [email protected]
brutus enum generate --domain example.com --format flast

# Generate usernames only (no domain): jsmith
brutus enum generate --format flast

# Available formats: first.last, flast, firstl, f.last, lastf, last.first, lastfirst, first
brutus enum generate --domain example.com --format first.last

### Microsoft Teams / Entra ID Аутентификация

Получите OAuth2 access token, refresh token и ID token от Microsoft Entra ID (Azure AD) с помощью [device code flow](https://learn.microsoft.com/en-us/entra/identity-platform/v2-oauth2-device-code) (RFC 8628). Полученные токены можно использовать для вызовов Microsoft Graph API, перечисления Teams и аудита с помощью таких инструментов, как [ROADtools](https://github.com/dirkjanm/ROADtools) или пользовательских Graph запросов.```bash
# Authenticate against the common endpoint (any Microsoft tenant)
brutus enum active teams auth

# Authenticate against a specific tenant by domain or GUID
brutus enum active teams auth --tenant contoso.com
brutus enum active teams auth --tenant 00000000-0000-0000-0000-000000000000

# Request a different resource scope (space-separated). The default targets the
# Skype/Teams resource (api.spaces.skype.com); the Teams client is NOT
# authorized for Microsoft Graph (Graph yields AADSTS65002).
brutus enum active teams auth --scope "offline_access https://api.spaces.skype.com/.default"

# Use a custom app registration (your own Azure app client ID)
brutus enum active teams auth --client-id 00000000-0000-0000-0000-000000000000

# Capture the full token set as JSONL for piping to other tools
brutus enum active teams auth -o tokens.jsonl
brutus enum active teams auth --json

#### Перечисление пользователей Teams

После аутентификации перечислите корпоративных пользователей Teams по адресу электронной почты. Каждый результат: `exists`, `blocked` (клиент запрещает внешний поиск, но пользователь может существовать), `not found` или `unknown` (ошибка аутентификации/передачи). Личные/аккаунты Live не поддерживаются — только корпоративные клиенты.```bash
# Device-code auth inline, then enumerate a couple of emails
brutus enum active teams users -e [email protected],[email protected]

# Generate candidate emails for a domain and enumerate the most-likely 5000
# (presence and out-of-office are gathered by default; use --no-presence to skip)
brutus enum active teams users --domain target.com --format first.last --limit 5000

# Enumerate emails from a file
brutus enum active teams users -E emails.txt

# Reuse a token captured earlier and route through a SOCKS5 proxy
brutus enum active teams auth -o token.jsonl
brutus enum active teams users -E emails.txt --token-file token.jsonl --proxy socks5://127.0.0.1:1080

# Provide an access token directly
brutus enum active teams users -e [email protected] --access-token "$TOKEN"

`--domain` повторно использует тот же генератор имен/фамилий с ранжированием по частоте, что и
`enum generate`; `--format` выбирает макет имени пользователя, а `--limit` ограничивает
генерацию первыми N (наиболее вероятными) кандидатами. `--domain` может комбинироваться
с `-e`/`-E`.

---

## Известные ограничения

### Эвристическое обнаружение залипания клавиш

- **Чередующиеся ложноотрицательные результаты:** Эвристическое обнаружение (`brutus logon` без `--experimental-ai`) может выдавать ложноотрицательные результаты при повторных сканированиях одной и той же цели. После успешного обнаружения окно cmd.exe остается открытым на сервере. Последующие подключения видят cmd.exe в базовом кадре, и поскольку отправка 5x Shift не создает нового окна, разница в пикселях минимальна — в результате выносится вердикт «чисто». Это не влияет на режим `--experimental-ai`, который использует анализ кадра ответа напрямую через Vision API (а не разницу между базовым и ответным кадром) и надежно идентифицирует окно терминала независимо от предыдущего состояния.
- **Обходной путь:** Используйте `--experimental-ai` с установленным `ANTHROPIC_API_KEY` для надежного обнаружения при повторных сканированиях или дайте RDP-сессии сброситься между сканированиями.

### Плагин браузера

- Требуется локально установленный Chrome/Chromium
- Безголовый режим может работать не на всех системах
- Некоторые страницы входа с большим количеством JavaScript могут требовать дополнительного времени ожидания