Så knäcker du lösenord

För oss som jobbar med penetrationstester så kan ett bra genomförande av lösenordsknäckning vara en vital del att ta sig vidare i ett uppdrag. Men för att lyckas att knäcka ett eller flera lösenord så är det flertalet faktorer som spelar in.

• Har du tillgång till användarnamn eller bara lösenordshashar?
• Vilken algoritm används för att hasha lösenorden? Eller är dom krypterade?
• Vad har du för hårdvara för att knäcka lösenord?

Och många gånger så kan det även vara svårt att lista ut just hur lösenorden är hashade och lösenordsknäckarverktyg såsom John the Ripper samt Hashcat kan vara rätt bra på att identifiera hashar. Och så klart finns det även verktyg för att identifiera hashar såsom hashID.

Men så klart är det alltid bäst att även skapa lösenordslistor som är unika för kunden, systemet eller personen (med exempelvis cewl.rb, se nedan).

Även kan Wikipedia vara en bra källa till underlag för lösenordslistor, för du kan ladda hem Wikipedia-databasen för olika länder här.

Givetvis är även bra prestanda såsom GPU-kluster och liknande också bra att ha och har du inte det så kan du alltid hyra från Amazon för några få $/timme. Och skriver man om lösenordsknäckning så måste jag även passa på att tipsa om rainbow-tables (regnbågstabeller) och där kan du använda Ophcrack eller ladda hem tabeller för LM, Md5 osv här.

När du använt öppna källor för att skapa listor så bör du även sedan göra varianter på dessa lösenord som du vill testa. Säg exempelvis att du identifierat att någon heter Lejon på organisationen du testar, du vill du även testa Lejon!, Lejon1 Lejon123 osv. Och för att göra det kan du använda John The Ripper samt olika typer av regelverk.

Här använder jag KoreLogics regler:

# ./john -w:storalistan.txt --format:md5 --rules:KoreLogicRulesPrependJustSpecials /etc/shadow

Här finns listor bra lösenordslistor med sammanställda läckta lösenord som är knäckta: https://download.g0tmi1k.com/wordlists/large/ och kan även rekommendera verktyget cewl.rb för att använda öppen information för att skapa lösenordslistor.

Läste du inte inlägget från förra veckan om kartläggning på LinkedIn så rekommenderar jag det också, eftersom utdata från LinkedIn också kan användas för att generera lösenord.

Sist men inte minst så bör du även försöka få reda på hur lösenorden är skapade. För finns det en speciell policy som måste följas så kan du minska sökrymden och bli effektivare.