Cracking de hashes

Durante una operación, a menudo recuperará hashes de contraseñas de bases de datos, archivos de configuración o volcados de memoria. Descifrarlos confirma que hay contraseñas débiles y demuestra al cliente el impacto real.

Recuerde: el hashing es unidireccional. No puede revertir un hash directamente. En su lugar, debe probar posibles entradas, aplicarles hashing y compararlas con el objetivo.

Antes de descifrarlo, debe saber qué algoritmo produjo el hash. La longitud y el formato ofrecen pistas:

• 32 caracteres hexadecimales probablemente indican MD5.
• 40 caracteres hexadecimales probablemente indican SHA-1.
• 64 caracteres hexadecimales probablemente indican SHA-256.
• Si comienza por $2b$, significa bcrypt; $argon2 significa Argon2.

Las herramientas automatizan la identificación de hashes para que no tenga que adivinar. hashid y hash-identifier analizan el formato y sugieren los algoritmos más probables.

El resultado indica qué número de mode debe pasar a su herramienta de descifrado.

Un ataque de diccionario (lista de palabras) prueba cada palabra de una lista, aplicando hashing a cada una y comparándola. Es rápido y detecta la enorme cantidad de usuarios que eligen contraseñas comunes.

La famosa lista de palabras rockyou.txt contiene millones de contraseñas reales filtradas y es el punto de partida predeterminado para la mayoría de los descifrados.

Un ataque de fuerza bruta prueba todas las combinaciones posibles de caracteres. Está garantizado que acabará teniendo éxito, pero su coste es exponencial.

Puede restringirlo mediante una máscara: por ejemplo, exactamente 8 caracteres en minúsculas y dígitos. Las máscaras hacen viable una fuerza bruta dirigida cuando conoce la política de contraseñas.

Las personas modifican las palabras base de forma predecible: «password» se convierte en «Password1!». Los ataques basados en reglas aplican transformaciones (poner en mayúscula, añadir el año, sustituir letras por números) a cada entrada de la lista de palabras.

Esto detecta contraseñas humanas realistas sin el coste de una fuerza bruta completa. El conjunto de reglas best64 es un punto de partida popular y eficiente.

hashcat es la principal herramienta de descifrado acelerada por GPU. Utiliza códigos numéricos de mode para cada algoritmo y una opción de modo de ataque (-a 0 diccionario, -a 3 fuerza bruta).

Las GPU hacen que hashcat sea enormemente más rápido que el descifrado con CPU para hashes rápidos como MD5 y SHA.

John the Ripper es otra herramienta clásica de descifrado, potente con CPU y compatible con muchos formatos. A menudo detecta automáticamente el tipo de hash.

John incluye herramientas auxiliares prácticas, como unshadow, para combinar /etc/passwd y /etc/shadow de Linux en un archivo que se puede descifrar.

La velocidad de descifrado depende en gran medida del algoritmo:

• Una GPU puede probar miles de millones de posibilidades de MD5 por segundo.
• bcrypt o Argon2 pueden permitir solo unos pocos miles por segundo por diseño.

Los salt también obligan a descifrar cada hash por separado, eliminando el atajo de las tablas arcoíris. Precisamente por eso los defensores utilizan hashes lentos y con salt.

Para hashes rápidos sin salt, las bases de datos en línea como CrackStation contienen consultas precalculadas y a menudo descifran hashes comunes al instante.

Ética: descifre únicamente hashes cuyo análisis tenga autorizado. Descifrar credenciales reales sin permiso es ilegal. Durante una operación, informe de las contraseñas descifradas como prueba de una política débil y nunca las reutilice con fines maliciosos.

Antes de dedicar horas a un descifrado, estime su viabilidad:

• Velocidad del algoritmo: MD5 se descifra rápidamente; bcrypt es lento por diseño.
• Complejidad de la contraseña: la longitud y el conjunto de caracteres hacen que el espacio de claves crezca enormemente.
• Hardware: un equipo potente con GPU supera ampliamente a la CPU de un portátil.

Si descifrar un bcrypt con salt y una contraseña larga y aleatoria tardaría siglos, cambie a otras vías de ataque en lugar de recurrir a la fuerza bruta.

Ha capturado un volcado de base de datos. Decida cuál es la primera medida más inteligente.

Ha aprendido el flujo de trabajo para crackear hashes:

• Identifique el algoritmo por su longitud y formato mediante hashid.
• Aumente el coste de los ataques progresivamente: primero diccionario, después reglas y, por último, fuerza bruta con máscara.
• Utilice hashcat (GPU) y John the Ripper (CPU, detección automática).
• Las sales y los hashes lentos (bcrypt, Argon2) reducen drásticamente la velocidad de crackeo.
• Manténgase siempre dentro de los límites de la autorización.

Esto completa el módulo Cryptography for Hackers. Siguiente módulo: Anonymity and OPSEC.