Daftar Kata dan Aturan

Sebagian besar kata sandi tidak dibuat secara acak — orang menggunakan kembali kata umum, pola, dan penggantian karakter. Daftar kata (kamus) adalah berkas berisi kandidat kata sandi. Daftar kata bermutu merupakan faktor terbesar dalam keberhasilan membobol kata sandi yang dipilih manusia.

Daftar kata yang paling terkenal adalah rockyou.txt, yang bocor dari pembobolan pada tahun 2009 dan berisi 32 juta kata sandi nyata. Berkas ini disertakan bersama Kali. Proyek SecLists menggabungkan banyak daftar terkurasi untuk kata sandi, nama pengguna, dan pengujian fuzz.

Daftar umum sering melewatkan kata-kata khusus organisasi. CeWL merayapi situs web target dan mengumpulkan kata dari halamannya untuk membuat daftar kata khusus yang disesuaikan dengan jargon, produk, dan nama perusahaan tersebut.

CUPP (Pemrofil Kata Sandi Pengguna Umum) membuat kandidat yang dipersonalisasi dari fakta tentang target — nama, pasangan, hewan peliharaan, tanggal lahir — dengan menggabungkan dan mengubahnya seperti cara orang sebenarnya membentuk kata sandi.

Daripada menyimpan setiap variasi, aturan mengubah setiap kata dasar secara langsung: menggunakan huruf kapital, menambahkan angka, dan mengganti huruf dengan simbol. Satu kata ditambah aturan dapat berkembang menjadi ribuan kandidat yang realistis.

Perubahan umum mencerminkan kebiasaan manusia:

• Gunakan huruf kapital pada huruf pertama: password → Password
• Tambahkan tahun: Password2024
• Substitusi leet: P@ssw0rd
• Tambahkan ! di akhir

Aturan Hashcat menggunakan fungsi satu karakter. c menggunakan huruf kapital, $X menambahkan X, dan sa@ menukar a→@. Aturan disimpan dalam berkas .rule, satu aturan per baris.

Hashcat menyediakan kumpulan aturan yang kuat di folder rules/. best64.rule adalah kumpulan yang cepat dan berdaya hasil tinggi; dive.rule dan OneRuleToRuleThemAll lebih besar dan lebih menyeluruh, tetapi lebih lambat.

Kombinasi yang efektif adalah daftar kata yang baik ditambah kumpulan aturan: kata dasar realistis dikalikan dengan perubahan realistis. Cara ini jauh mengungguli tebak paksa untuk kata sandi buatan manusia, sekaligus tetap jauh lebih kecil daripada pencarian menyeluruh.

Semakin banyak aturan = semakin banyak kandidat = semakin lama waktunya. Berkas aturan yang sangat besar dapat mengubah daftar berisi 14 juta kata menjadi miliaran tebakan. Seimbangkan cakupan dengan anggaran waktu Anda dan kecepatan algoritme hash.

Membangun daftar kata terarah dari media sosial seseorang merupakan pengintaian dan harus mendapatkan otorisasi. Bobollah hanya nilai hash yang diizinkan untuk Anda uji (sistem milik Anda sendiri atau pekerjaan pengujian dengan persetujuan tertulis). Penyalahgunaan merupakan tindak pidana.

Anda telah mempelajari cara membuat kamus untuk pembobolan:

• rockyou.txt dan SecLists adalah daftar kata utama
• CeWL mengumpulkan kata dari situs; CUPP membuat profil individu
• Aturan mengubah kata (menggunakan huruf kapital, menambahkan, leet) — misalnya best64.rule
• Gabungkan daftar dan aturan untuk cakupan terbaik terhadap kata sandi buatan manusia

Berikutnya: pembobolan dengan GPU menggunakan Hashcat.