CRACKING 12 CARÁCTER Y ENCIMA DE CONTRASEÑAS

CONOCIMIENTO pertenece al mundo

El craqueo 12+ carácter de contraseña Barrera, Literalmente 12 caracteres? ¡¿En serio?! ¿Qué quiero decir por craqueo de contraseñas de 12 caracteres y por encima? Simplemente estoy diciendo que con el hardware moderno, al igual que el "presupuesto" cracking plataforma, casi podemos buscar exhaustivamente la más alta probabilidad espacio de claves para las contraseñas de candidatos, en contra de los hashes MD5 como rápidas, NTLM, SHA1, etc ..., en una cantidad de tiempo razonable . Normalmente nada por encima de 8 caracteres no es práctico y / o viable a la fuerza bruta contra algoritmos hash rápido estándar. Cuando se toma en lenguaje y peculiaridades humanas, como la palabra Inglés promedio es de sólo 4,79 caracteres de longitud y personas que prefieren varias palabras comunes al crear 10 caracteres o contraseñas más largas, que se encuentran a un agrietamiento de estas contraseñas. Para una guía de referencia rápida a las distintas herramientas de cracking y su uso echa un vistazo a la grieta Hash en Amazon.

¿Por qué son 12+ caracteres Las contraseñas vulnerables?

En la práctica, las personas que crean manualmente las contraseñas de más de 10 caracteres, en su mayor parte, utilizan palabras o frases comunes. ¿Por qué hacen esto? Debido a recordar la contraseña "horsebattery123" es mucho más fácil que "GFj27ef8% k $ 39". Es una simple ruta que exhibe el comportamiento humano de menor resistencia que siempre va a existir y, hasta la generación de gestores de contraseña Esta función resulta de la adopción masiva, esta vulnerabilidad siempre será de alrededor. Estoy de acuerdo en que la historieta de la contraseña de xkcd de cuatro palabras al azar es sonido, pero sólo para algoritmos hash no rápidos como bcrypt. En este artículo vamos a demostrar Combo y ataques híbridos utilizando Hashcat que expandirán su caja de herramientas del conocimiento de craqueo. Estos ejemplos muestran cómo un atacante puede atacar eficazmente este espacio de claves más grande, con hardware moderno, y hacer que estos llamados contraseñas fuertes sucumben a su metodología de craqueo.

Combo y Antecedentes Ataque híbrido

En primer lugar un fondo rápida de estos métodos de ataque:

Combo Ataque : todas las palabras en dos diccionarios se anexan a la otra.

EJEMPLO

dictionary2.txt dictionary1.txt

pass => contraseña, passpass, passlion

palabra => wordpass, wordword, wordlion

león => lionpass, lionword, lionlion

Ataque híbrido : un ataque de diccionario, pero con la posibilidad de anexar / anteponer una máscara de fuerza bruta.

EJEMPLO

dictionary.txt? u? l? l

pass => passAbc, passBcd, passCde

palabra => wordAbc, wordBcd, wordCde

león => lionAbc, lionBcd, lionCde

* Para la generación candidato contraseña no es completamente exacto, pero se entiende la idea

** Una explicación más detallada se puede encontrar en la página web Hashcat

Ataque combinado

Veamos cómo el ataque Combo nos puede ayudar con contraseñas que sean palabras en inglés anexas entre sí, y el mejor diccionario para conseguir el trabajo realizado es la lista de palabras más comunes de Google 10.000. Esta es una lista de las 10.000 palabras más comunes en inglés, en orden de frecuencia, según lo determinado por análisis de frecuencia n-gramo de billones de Palabra del Corpus Google. Ahora vamos a utilizar un ejemplo de dos palabras inglesas seleccionadas al azar se combinaron para formar una contraseña de 16 caracteres como shippingnovember .

Así es como nos combo atacar esta contraseña con Hashcat si se hash MD5 como:

Ejemplo

hashcat -a -m 1 0 hash.txt Google-google-10000.txt 10000.txt

Al tener Hashcat combinar todas las palabras de esta lista el uno al otro la contraseña cae en menos de 1 segundo utilizando el hardware moderno. No está mal, y este ataque seguirá funcionando razonablemente bien contra algunos de los medio a los tipos de hash más lentos también.

Antes de que dicen los críticos, "Bueno, podrías simplemente capitalizar las palabras o añadir un dígito o un carácter especial y que estaría bien para formar una nueva contraseña como ShippingNovember . Bueno vamos a probar esa teoría muy rápido. Vamos a combinar ese diccionario google-10000 en un solo diccionario utilizando Hashcat utils "combinator.bin". Esto nos permite manipular las palabras combinadas con reglas.

Ejemplo

combinator.bin google-10000.txt google-10000.txt> google-10000-combined.txt

Ahora que tenemos nuestro diccionario recientemente fusionada sólo podemos ejecutar un ataque basado en reglas en contra de la nueva contraseña modificada ShippingNovember usando Hashcat, como a continuación:

Ejemplo

-a -m hashcat 0 0 hash.txt google-10000-combined.txt -r best64.rule

Éste cae en 28 segundos, tanto por esa teoría. Y podríamos crear reglas para dar cuenta de caracteres añadidos especiales, la colocación no tradicional, Speek 133t, etc ... usted consigue el punto.

3 palabras

Ahora, utilizando el diccionario combinado que acabamos de crear vamos a ir después de una frase de tres palabras al azar contraseña como " securityobjectivesbulletin " ... se ve muy fuerte ¿verdad? Pero puesto que acabamos de crear el nuevo diccionario "google-10000-combined.txt" podemos usar el ataque combinado de nuevo como lo siguiente con palabras dobles en el primer diccionario y palabras individuales en el segundo diccionario:

Ejemplo

hashcat -a -m 1 0 hash.txt google-10000-combined.txt google-10000.txt

Éste podría haber sido un poco más difícil si se añade alguna variación carácter, pero como se puede ver las palabras inglesas al azar rectas caer en 2 segundos. ¿Estás viendo una tendencia aquí todavía?

4 palabras

Vamos grande y atacar a las instrucciones de contraseña xkcd de cuatro palabras inglesas al azar para crear una nueva contraseña " sourceinterfacesgatheredartists ". Esta adición de una palabra más aumentó drásticamente simplemente nuestro espacio de claves para 10,000,000,000,000,000 candidatos, pero al igual que los ataques previos caerá, sobre todo debido a mediante MD5 como la función hash. Una vez más vamos a utilizar nuestro diccionario "combinado" recién creado dos veces y decirle Hashcat para realizar un ataque combinado:

Ejemplo

hashcat -a -m 1 0 hash.txt google-10000-combined.txt google-10000-combined.txt

Este intento de craqueo podría haber tomado 4 días para completar, utilizando el hardware moderno, pero por suerte encontramos el candidato a sólo 5 horas 35 minutos en la sesión de formación de grietas. sencillas modificaciones a esta contraseña como números o caracteres especiales en el medio habrían hecho esta contraseña fuera de nuestro alcance pero de nuevo las palabras comunes al azar es ninguna coincidencia.

Ataque híbrido

Los ataques híbridos toman un poco más de creatividad para encontrar planes de ataque interesantes pero es tan divertido cuando usted encuentra que el patrón perfecto. Es como la minería de oro para las contraseñas, que cuando se pulse rica veta de los patrones y las contraseñas comienza a desplazarse por en tiempo real en su terminal, casi se podía levitar fuera de su asiento.

Google-10000 + Mascarilla

Para el primer ejemplo vamos a utilizar nuestros trabajos anteriores de la demostración Combo Ataque e incorporar la lista google-10000.txt para formar las palabras base de nuestra generación candidato. A continuación, vamos a romper PAQUETE (Contraseña Análisis y Kit Cracking) y se centran en el diccionario hashesorg251015.txt de weakpass.com. Cogí el diccionario hashesorg debido a su índice de eficiencia de 65,9 y su tamaño relativamente pequeño. Lo que vamos a hacer es analizar el conjunto de datos hashesorg y crear máscaras basadas en los patrones de contraseña más populares limitados a una determinada longitud de caracteres. Estas máscaras se añadirán / colocado al comienzo de nuestras palabras base de Google-10000.txt para formar un híbrido Ataque eficiente.

Ejemplo PAQUETE

Generar estadísticas máscara iniciales que estudian las contraseñas de longitud y 5-6 caracteres de salida a un archivo de máscaras. (Tenga en cuenta que esto puede tomar algún tiempo para generar)

pitón statsgen.py hashesorg251015.txt -minlength = 5 = 6 -maxlength -hiderare -o hashesorg_5or6.masks

Ahora vamos a la salida de las máscaras en formato Hashcat en un .hcmasks archivos, de manera que pueda usarlos sin problemas dentro de un Ataque híbrido Hashcat;

Ejemplo PAQUETE

pitón maskgen.py hashesorg_5or6.masks -optindex -o hashesorg_5or6.hcmask

Ahora podemos empezar el ataque híbrido utilizando el modo de ataque 6 en Hashcat para anexar el archivo de máscaras hashesorg recién creado. Esto lanzará un ataque secuencial comenzando con la primera máscara y trabajar su camino hacia abajo en la lista. Algunos ataques irán muy rápidamente y otros podrían tomar un poco más de tiempo. Para propósitos de prueba vamos a utilizar una contraseña aleatoria ' environmentsqaz472 "sabemos que va a golpear con el tiempo durante el ataque.

Ejemplo

hashcat -a -m 0 6 hash.txt google-1000.txt hashesorg_5or6.hcmask

Este ataque tuvo casi 20 minutos antes de que finalmente se quebró llegar a la máscara? L? L? L? D? D? D y luego se golpeó con 14 segundos de comenzar el ataque.

Rockyou + rockyou-1-60.hcmask

Ahora vamos a utilizar mascarilla incorporada de Hashcat derivada del conjunto de datos contraseña Rockyou. Las máscaras RockYou en Hashcat se han roto en pedazos más pequeños que crecen en tamaño basado en la numeración, que lo que supongo que las cuentas para el porcentaje de contraseñas que caen dentro de esta categoría de máscaras. Vamos a utilizar el archivo más pequeño .hcmask rockyou-1-60, ya que contiene las máscaras de probabilidad más alta y funciona bien con un ataque híbrido. También vamos a vincular esto con las contraseñas rockyou reales que se pueden recuperar <aquí> en Skullsecurity. Tenga cuidado cuando se enlaza una máscara con un diccionario para asegurar el diccionario no es demasiado grande, de lo contrario sus ataques tendrán un tiempo muy largo. Me gusta mantener mi híbrido tamaño del diccionario por debajo de 500 MB y aún menor en función de las máscaras que planeo anexar / prepend. Vamos a dibujar al azar de la Rockyou diccionario de la contraseña " sophia **! "Y vamos a añadir una fecha arbitraria" 1996 "al igual que lo haría un usuario en la parte delantera. Esto nos deja con la contraseña 1996sophia **! para poner a prueba en contra. Una vez más este ataque se va a ejecutar a través de las listas de máscara secuencialmente contenidos en el conjunto de datos rockyou-1-60 y anexar a ellos para cada contraseña que figura en el diccionario Rockyou.

Ejemplo

hashcat -a -m 0 7 hash.txt rockyou-1-60.hcmask rockyou.txt

Este ataque impacta en una máscara de? D? D? D? D después de sólo unos pocos minutos. De nuevo, esto es para fines de demostración, pero muestra el proceso y el poder de generar ataques híbridos. El rockyou-1-60.hcmask contiene 836 máscaras diferentes que representan los principales sucesos en el diccionario rockyou.txt, y si esa variación no es suficiente para ti Hashcat incluye todas las máscaras para el conjunto de datos rockyou.

En primer lugar cortar 5 caracteres + Mascarilla

Vamos a ser creativo y crear nuestro propio diccionario y máscaras de par con un ataque híbrido y como hemos aprendido que la palabra Inglés media es de 4,79 caracteres de longitud haremos nuestro diccionario contiene las palabras sólo hasta 5 caracteres de longitud. más vamos a utilizar el diccionario rockyou.txt para este ejemplo. Aquí es una forma en que podemos picar los 5 primeros caracteres del diccionario y ordenarla de forma única en nuestro diccionario nuevo first5_dict.txt. Dependiendo de su hardware esto puede tardar cierto tiempo en completarse. También se dará cuenta de este nuevo diccionario sale a 18MB de tamaño, que es un poco en el lado pequeña para un ataque contra MD5, pero sería perfecto para un hash más lento.

Ejemplo

cortar -c 1-5 rockyou.txt | sort -u> first5_dict.txt

Vamos a vincular este nuevo diccionario first5_dict.txt de nuevo con los RockYou-1-60 máscaras construidas en Hashcat. Ahora sé que algunos candidatos generados estará por debajo de 12 caracteres pero siempre se puede solucionar las máscaras que están por debajo de 7 caracteres y crear un nuevo archivo .hcmask. Ahora, de nuevo vamos a crear una contraseña aleatoria de la lista que nosotros eligió Alty5 de los dígitos al azar y first5_dict.txt 9402847 combinarlos en Alty59402847

Ejemplo

hashcat -a -m 0 6 hash.txt first5_dict.txt rockyou-1-60.hcmask

Este ataque es especialmente eficaz contra los usuarios que les gusta que utilizan las mismas palabras base o dígitos para sus contraseñas, sino añadir al principio o al final "aleatoriedad" de las contraseñas basadas en la cuenta. Esta contraseña está dentro de un total de 30 minutos.

Ataque Máscara recta 12 Caracteres +

Sé que esto no es un ataque híbrido, pero vale la pena mencionar que los ataques de máscara de 12 caracteres siguen siendo razonables, especialmente si usted formula utilizando una herramienta de PAQUETE. Un ataque de 1 día (86.400 segundos) se puede formular utilizando la velocidad de su equipo de perforación contra un cierto tipo de hash, que se puede medir mediante la realización de un #TYPE -m hashcat -b desde el terminal. Vamos a mostrar rápidamente cómo seguir estos pasos para crear un ataque de la máscara para las contraseñas de 12 - 15 caracteres de longitud que utiliza el paquete. Vamos de nuevo utilice el diccionario rockyou.txt como un ejemplo para generar estas máscaras, pero primero vamos a estimar la velocidad de nuestra plataforma de formación de grietas en contra de los hashes MD5.

Ejemplo (MD5)

hashcat -b -m 0

Ahora que sabemos que nuestros equipos tomando medidas de velocidad es de 76 millones de dólares (76 mil millones c / s) vamos a crear las nuevas máscaras que utiliza el paquete del diccionario rockyou.txt.

Ejemplo

pitón statsgen.py rockyou.txt -o rockyou.masks

Ahora podemos crear nuestro archivo hcmask Hashcat adaptada a una velocidad de ataque agrietamiento de 1 día (86.400 segundos) que cubre longitudes de caracteres de 12-15.

Ejemplo

pythong maskgen.py rockyou.masks -optindex -minlength = 12 = 15 -maxlength -targettime = 86400 -pps = 76000000000 -o rockyou_12-15.hcmask

Ahora podemos ejecutar una serie de máscaras que usan ataques contra rockyou_12-15.hcmask hash MD5 que conocemos completará dentro de 1 días de tiempo. Bastante impresionante ¿no ?!

Ejemplo

hashcat -a 3 -m 0 hash.txt rockyou_12-15.hcmask

conclusión

Así como se puede ver las contraseñas de 12 caracteres no es inconcebible que a agrietarse. Solo se necesita un poco de sutileza y un poco de creatividad para formular la estrategia correcta. También pueden no coincidir exactamente suponer que, dado que la contraseña está por encima de 11 caracteres que el servicio en línea confiaste con esta contraseña se va a hash de forma adecuada, gracias $ 4.8billion empresa Yahoo. Espero haber demostrado que necesita palabras únicas, dígitos y no sólo cuatro palabras comunes al azar todo en minúsculas, y si necesita más convincente cheque hacia fuera mi amigo de Troy caza relato <aquí>. Si usted es muy inteligente va a comenzar a usar un gestor de contraseñas como KeePass o 1Password para generar la base de datos y sus contraseñas a través de dispositivos. Me gustaría conectar feed de Twitter de Dumpmon como un buen lugar para encontrar hashes para practicar con fines de investigación. Puedes seguirme en Twitter @netmux, y por último para una buena guía de referencia de bolsillo de craqueo uso de la herramienta y la sintaxis echa un vistazo a hash grieta.

Fuente: http: //www.netmux.com/

CONOCIMIENTO pertenece al mundo