단어 목록과 규칙

대부분의 비밀번호는 무작위로 만들어지지 않습니다. 사람들은 흔한 단어, 패턴, 치환을 재사용합니다. 단어 목록(사전)은 후보 비밀번호를 담은 파일입니다. 사람이 선택한 비밀번호를 크래킹할 때 양질의 단어 목록이 성공 여부를 결정하는 가장 큰 요인입니다.

가장 유명한 단어 목록은 rockyou.txt입니다. 2009년 침해 사고에서 유출된 실제 비밀번호 3,200만 개가 들어 있습니다. Kali에 기본으로 포함되어 있습니다. SecLists 프로젝트는 비밀번호, 사용자 이름, 퍼징을 위한 엄선된 여러 목록을 제공합니다.

일반적인 목록은 조직별 단어를 놓칩니다. CeWL은 대상 웹사이트를 탐색하고 페이지에서 단어를 수집하여 해당 기업의 전문 용어, 제품, 이름에 맞춘 사용자 지정 단어 목록을 만듭니다.

CUPP(Common User Passwords Profiler)는 대상에 관한 정보(이름, 연인, 반려동물, 생년월일)를 바탕으로 개인화된 후보를 만들고, 사람들이 실제로 비밀번호를 만드는 방식처럼 이를 조합하고 변형합니다.

모든 변형을 저장하는 대신 규칙은 각 기본 단어를 즉석에서 변환합니다. 첫 글자를 대문자로 바꾸거나 숫자를 덧붙이고, 문자를 기호로 치환하는 방식입니다. 단어 하나와 규칙을 조합하면 현실적인 후보 수천 개를 만들 수 있습니다.

일반적인 변형은 사람의 습관을 반영합니다.

• 첫 글자를 대문자로 변경: password → Password
• 연도 추가: Password2024
• 리트 치환: P@ssw0rd
• 끝에 ! 추가

Hashcat 규칙은 한 문자 함수로 구성됩니다. c는 대문자화, $X는 X 추가, sa@는 a→@ 치환을 뜻합니다. 규칙은 .rule 파일에 저장하며, 한 줄에 하나의 규칙을 작성합니다.

Hashcat은 rules/ 폴더에 강력한 규칙 모음을 제공합니다. best64.rule은 빠르고 효율적인 모음이며, dive.rule과 OneRuleToRuleThemAll은 더 크고 철저하지만 느립니다.

가장 효과적인 조합은 좋은 단어 목록과 규칙 모음입니다. 현실적인 기본 단어에 현실적인 변형을 적용하는 방식입니다. 이 방법은 전체 탐색보다 훨씬 적은 규모를 유지하면서도 사람이 만든 비밀번호에 대해 무차별 대입보다 훨씬 뛰어난 성능을 냅니다.

규칙이 많아질수록 후보와 소요 시간이 늘어납니다. 거대한 규칙 파일은 1,400만 단어 목록을 수십억 개의 추측으로 늘릴 수 있습니다. 대상 범위와 사용할 수 있는 시간, 해시 알고리즘의 속도 사이에서 균형을 잡으십시오.

개인의 소셜 미디어에서 대상 맞춤형 단어 목록을 만드는 것은 정찰 활동이며 반드시 허가를 받아야 합니다. 테스트 권한이 있는 해시만 크래킹하십시오(자신의 시스템 또는 서면 동의를 받은 작업). 오용은 범죄입니다.

단어 목록 지식을 테스트해 보십시오.

크래킹 사전을 만드는 방법을 배웠습니다.

• rockyou.txt와 SecLists는 대표적인 단어 목록임
• CeWL은 사이트를 수집하고, CUPP는 개인을 프로파일링함
• 규칙은 단어를 변형함(대문자화, 추가, 리트 등). 예: best64.rule
• 목록과 규칙을 결합하면 사람이 만든 비밀번호를 가장 폭넓게 다룰 수 있음

다음 학습 내용: Hashcat을 사용한 GPU 크래킹