Hashes knacken

Bei einem Auftrag finden Sie häufig Passwort-Hashes in Datenbanken, Konfigurationsdateien oder Speicherabbildern. Das Knacken dieser Hashes bestätigt schwache Passwörter und zeigt dem Kunden die konkreten Auswirkungen.

Denken Sie daran: Hashing ist nicht umkehrbar. Sie können einen Hash nicht direkt zurückrechnen. Stattdessen raten Sie Eingaben, hashen jeden geratenen Wert und vergleichen ihn mit dem Zielwert.

Vor dem Knacken müssen Sie wissen, welcher Algorithmus den Hash erzeugt hat. Hinweise liefern Länge und Format:

• 32 Hexadezimalzeichen deuten wahrscheinlich auf MD5 hin.
• 40 Hexadezimalzeichen deuten wahrscheinlich auf SHA-1 hin.
• 64 Hexadezimalzeichen deuten wahrscheinlich auf SHA-256 hin.
• Der Beginn mit $2b$ bedeutet bcrypt; $argon2 bedeutet Argon2.

Werkzeuge automatisieren die Identifizierung von Hashes, sodass Sie nicht raten müssen. hashid und hash-identifier analysieren das Format und schlagen wahrscheinliche Algorithmen vor.

Die Ausgabe zeigt, welche mode-Nummer Sie an Ihr Cracking-Tool übergeben müssen.

Bei einem Wörterbuchangriff (Wordlist-Angriff) wird jedes Wort einer Liste ausprobiert, gehasht und verglichen. Das geht schnell und erfasst die große Zahl von Benutzern, die häufige Passwörter wählen.

Die bekannte Wortliste rockyou.txt enthält Millionen echter, durch Datenlecks bekannt gewordener Passwörter und ist für die meisten Cracking-Versuche der übliche Ausgangspunkt.

Bei einem Brute-Force-Angriff wird jede mögliche Zeichenkombination ausprobiert. Der Angriff führt garantiert irgendwann zum Erfolg, ist aber mit exponentiell steigendem Aufwand verbunden.

Sie schränken den Suchraum mit einer Maske ein, zum Beispiel auf genau 8 Zeichen aus Kleinbuchstaben und Ziffern. Wenn Sie die Passwortrichtlinie kennen, machen Masken gezieltes Brute-Forcing praktikabel.

Menschen verändern Grundwörter auf vorhersehbare Weise: Aus „password“ wird „Password1!“. Regelbasierte Angriffe wenden auf jeden Eintrag einer Wortliste Transformationen an, etwa Großschreibung, das Anhängen einer Jahreszahl oder das Ersetzen von Buchstaben durch Zahlen.

Damit lassen sich realistische menschliche Passwörter finden, ohne den Aufwand eines vollständigen Brute-Force-Angriffs. Das Regelwerk best64 ist ein beliebter, effizienter Ausgangspunkt.

hashcat ist das führende GPU-beschleunigte Cracking-Tool. Es verwendet numerische Mode-Codes für die einzelnen Algorithmen sowie ein Flag für den Angriffsmodus (-a 0 Wörterbuch, -a 3 Brute Force).

Bei schnellen Hashes wie MD5 und SHA sind GPUs mit hashcat sehr viel schneller als das Knacken auf der CPU.

John the Ripper ist ein weiteres klassisches Cracking-Tool, das auf CPUs leistungsfähig ist und zahlreiche Formate unterstützt. Häufig erkennt es den Hash-Typ automatisch.

John verfügt über nützliche Hilfswerkzeuge wie unshadow, mit denen Sie die Linux-Dateien /etc/passwd und /etc/shadow zu einer knackbareren Datei zusammenführen.

Die Cracking-Geschwindigkeit hängt stark vom Algorithmus ab:

• Eine GPU kann Milliarden MD5-Kandidaten pro Sekunde ausprobieren.
• bcrypt oder Argon2 erlauben konstruktionsbedingt möglicherweise nur einige Tausend Versuche pro Sekunde.

Salts zwingen Sie außerdem dazu, jeden Hash einzeln zu knacken, und beseitigen so die Abkürzung über Rainbow-Tabellen. Genau deshalb verwenden Verteidiger gesaltete, langsame Hashes.

Für ungesaltete schnelle Hashes enthalten Onlinedatenbanken wie CrackStation vorberechnete Zuordnungen, mit denen sich häufige Hashes oft sofort knacken lassen.

Ethik: Knacken Sie nur Hashes, deren Prüfung Sie autorisiert sind. Das Knacken echter Zugangsdaten ohne Erlaubnis ist illegal. Dokumentieren Sie geknackte Passwörter in Aufträgen als Beleg für eine schwache Richtlinie, verwenden Sie sie aber niemals für böswillige Zwecke erneut.

Schätzen Sie die Machbarkeit ein, bevor Sie stundenlang versuchen, einen Hash zu knacken:

• Algorithmusgeschwindigkeit: MD5 lässt sich schnell knacken; bcrypt ist absichtlich langsam.
• Passwortkomplexität: Länge und Zeichensatz vergrößern den Schlüsselraum enorm.
• Hardware: Ein leistungsfähiges GPU-System übertrifft die CPU eines Laptops deutlich.

Wenn ein gesaltetes bcrypt-Passwort mit großer Länge und zufälligem Inhalt Jahrhunderte benötigen würde, sollten Sie stattdessen andere Angriffswege prüfen, anstatt es per Brute Force zu erzwingen.

Sie haben einen Datenbank-Dump erfasst. Entscheiden Sie, was der klügste erste Schritt ist.

Sie haben den Workflow zum Knacken von Hashes kennengelernt:

• Identifizieren Sie den Algorithmus anhand von Länge und Format mit hashid.
• Steigern Sie die Angriffe nach Aufwand: zuerst Wörterbuchangriffe, dann Regeln und anschließend Brute-Force-Angriffe mit Masken.
• Verwenden Sie hashcat (GPU) und John the Ripper (CPU, automatische Erkennung).
• Salts und langsame Hashes (bcrypt, Argon2) verringern die Geschwindigkeit des Knackens erheblich.
• Halten Sie sich stets an die Autorisierung.

Damit ist das Modul „Cryptography for Hackers“ abgeschlossen. Als Nächstes folgt das Modul „Anonymity and OPSEC“.