Pruebe y recupere sus contraseñas descartándolas con hashcat

Introducción

Hashcat es una herramienta robusta de descripción de contraseña que puede ayudarlo a recuperar contraseñas perdidas, auditar la seguridad de la contraseña, el punto de referencia o simplemente descubrir qué datos se almacenan en un hash.

Hay una serie de excelentes utilidades de crujido de contraseña, pero el hashcat es conocido por ser eficiente, potente y plenamente destacado. Hashcat utiliza las GPU para acelerar el grietas hash. Las GPU son mucho mejores y manejan el trabajo criptográfico que las CPU, y se pueden utilizar en cantidades mucho mayores que las CPU. Hashcat también admite una amplia gama de hash populares, para garantizar que pueda manejar descifrar casi cualquier contraseña.

Tenga en cuenta que el mal uso de este programa puede ser ilegal. Solo prueba en sistemas que posee o que haya escrito permiso para probar en. No comparta ni publique hash o resultados públicamente. Hashcat debe usarse para la recuperación de contraseñas y las auditorías de seguridad profesionales.

Obtener un poco de hashes

Si vas a probar las capacidades de grietas hash de hashcat, necesitarás algunos hash para probar con. No haga algo loco y comience a desenterrar contraseñas de usuario cifradas en su computadora o servidor. Puedes crear algunos ficticios para este propósito.

Puede usar OpenSSL para crear una serie de hash de contraseña que le gustaría probar. No tienes que volverte totalmente loco, pero deberías tener algunos para ver realmente qué puede hacer hashcat. cd en una carpeta donde le gustaría hacer sus pruebas. Luego, use el siguiente comando para hacer eco de posibles contraseñas en OpenSSL y generarlas en un archivo. El sed La porción es solo para quitarle un poco de salida de basura y obtener los hashes.

$ echo -n "mybadpassword123" | OpenSSL DGST -SHA512 | sed 's/^.*= // '>> hashes.TXT

Simplemente ejecutarlo varias veces con diferentes contraseñas, para que tenga algunas en el archivo.

Conseguir una lista de palabras

Para esta prueba, necesitará una lista de palabras de contraseñas para probar contra. Hay toneladas de estos en línea, y puedes encontrarlos todo. También puede usar una utilidad como Crunch, o simplemente hacer una escribiendo un montón de palabras en un documento de texto.

Para ahorrar tiempo, solo wget La lista a continuación.

$ wget https: // raw.githubusercontent.com/Danielmiessler/SECLISTS/Master/Passwords/500-Worst-Passwords.TXT

Agrietamiento básico

Ahora puedes probar hashcat. Eche un vistazo al siguiente comando Linux. Si lo ejecuta, hashcat intentará descifrar los hashes que creó.

$ hashcat -m 1700 -a 1 -r/usr/share/hashcat/reglas/combinator.hashes de regla/hashes.Listas de aprobación de txt/500 pasas de las palabras.TXT

Hashcat llevará algún tiempo. Si tiene un sistema lento, tomará mucho tiempo. Solo ten en cuenta eso. Si está tomando demasiado tiempo, reduzca la cantidad de hash en su lista.

Al final, hashcat debe mostrar cada uno de sus hash junto con su valor. Es posible que no los consiga a todos, dependiendo de las palabras que haya usado.

Opción

Como has visto, hashcat depende en gran medida de diferentes banderas y opciones para funcionar correctamente. Tomarlo todo a la vez puede ser desalentador, por lo que esta siguiente sección lo romperá todo.

Tipos de hash

La primera bandera que ves allí es el -metro bandera. En el caso del ejemplo, está establecido en 1700. Este es un valor en hashcat que corresponde a sha-512. Para ver la lista completa, ejecute el comando de ayuda de hashcat, $ hashcat --help. Hay muchas cosas allí, por lo que puedes ver por qué hashcat tiene una gama tan amplia de usos.

Modos de ataque

Hashcat es capaz de varios modos de ataque diferentes. Cada uno de estos modos prueba los hash contra su lista de palabras de manera diferente. Los modos de ataque se especifican con el -a bandera, y tome valores correspondientes a una lista disponible a través del comando de ayuda. El ejemplo usó una opción muy común, el ataque combinado. Los ataques combinados intentan reorganizar las palabras y agregar números comunes en los lugares que los usuarios típicamente. Para el uso básico, esta es generalmente la mejor opción.

Normas

También hay un archivo de reglas especificado con el -riñonal dominio. Los archivos de reglas se encuentran en /usr/share/hashcat/reglas, y proporcionan contexto sobre cómo hashcat podría realizar sus ataques. Debe especificar un archivo de reglas para muchos de los modos de ataque, incluido el utilizado en el ejemplo.

Producción

Aunque no se usó en el ejemplo, puede especificar un archivo de salida para hashcat. Solo agregue el -O Bandera seguida de la ubicación deseada de su archivo de salida. Hashcat guardará los resultados de su sesión de agrietamiento a medida que aparecen en la terminal en el archivo.

Pensamientos de cierre

Hashcat es una herramienta increíblemente poderosa, y se escala con las tareas que se asigna y el hardware en el que se está ejecutando. Hashcat está diseñado para manejar tareas a gran escala y trabajar a través de ellas de la manera más eficiente posible. Esta no es una herramienta de pasatiempo. Es absolutamente de grado profesional.

Si está realmente interesado en utilizar el poder completo de Hashcat, definitivamente vale la pena explorar las opciones de GPU disponibles para personas con poderosas tarjetas gráficas.

Por supuesto, recuerde usar el hashcat de manera responsable y mantener su contraseña descifrando legal.

Tutoriales de Linux relacionados:

• Prueba de referencia de unidad USB en Linux
• Una introducción a la automatización, herramientas y técnicas de Linux
• Mastering Bash Script Loops
• Manejo de la entrada del usuario en scripts bash
• Cosas para instalar en Ubuntu 20.04
• Cómo comparar el rendimiento del disco en Linux
• Bucles anidados en guiones Bash
• Comparación de Linux Apache Prefork vs Worker MPMS
• ¿Con qué frecuencia tiene que reiniciar su servidor de Linux??
• Lista de las mejores herramientas de Kali Linux para pruebas de penetración y ..