Ethical Hacking Academy · Lekcja

Listy słów i reguły

Budowanie słowników

Listy słów i reguły to bezpłatna lekcja Ethical Hacking Academy na CoddyKit. To lekcja 1 z 4. Możesz przeczytać całą lekcję poniżej za darmo — a potem ćwiczyć ją interaktywnie w przeglądarce z wbudowanym edytorem kodu i tutorem AI dostępnym 24/7. To część ścieżki edukacyjnej Ethical Hacking Academy, a Twój postęp synchronizuje się między webem a aplikacją CoddyKit. Kurs Ethical Hacking Academy zawiera 4 lekcji w sumie.

Dlaczego listy słów mają znaczenie

Większość haseł nie jest losowa — ludzie ponownie używają popularnych słów, wzorców i zamienników znaków. Lista słów (słownik) to plik zawierający potencjalne hasła. Wysokiej jakości listy słów są najważniejszym czynnikiem decydującym o powodzeniu łamania haseł tworzonych przez ludzi.

Klasyczne listy słów

Najsłynniejszą listą słów jest rockyou.txt, ujawniona w wyniku włamania z 2009 roku i zawierająca 32 miliony prawdziwych haseł. Jest dołączona do Kali. Projekt SecLists zawiera wiele starannie dobranych list haseł, nazw użytkowników i danych do fuzzingu.

/usr/share/wordlists/rockyou.txt
/usr/share/seclists/Passwords/

Ukierunkowane listy słów za pomocą CeWL

Ogólne listy pomijają słowa charakterystyczne dla danej organizacji. CeWL przeszukuje docelową witrynę i zbiera słowa z jej stron, tworząc niestandardową listę dopasowaną do żargonu, produktów i nazw danej firmy.

cewl -d 2 -m 5 -w custom.txt https://target.local

Profilowanie za pomocą CUPP

CUPP (Common User Passwords Profiler) tworzy spersonalizowane kandydatury na podstawie informacji o celu — imienia, partnera, zwierzęcia domowego czy daty urodzenia — łącząc je i modyfikując tak, jak ludzie faktycznie tworzą hasła.

cupp -i
# answer prompts: name, nickname, birthdate, pet...

Czym są reguły?

Zamiast przechowywać każdą odmianę, reguły przekształcają każde słowo bazowe w locie: zmieniają pierwszą literę na wielką, dodają cyfry lub zastępują litery symbolami. Jedno słowo wraz z regułami może zostać rozszerzone do tysięcy realistycznych kandydatur.

Typowe operacje reguł

Typowe mutacje odzwierciedlają ludzkie nawyki:

Zmiana pierwszej litery na wielką: password → Password
Dodanie roku: Password2024
Zamiana leet: P@ssw0rd
Dodanie ! na końcu

Składnia reguł Hashcat

Reguły Hashcat używają funkcji jednoznakowych. c zmienia pierwszą literę na wielką, $X dodaje X, a sa@ zamienia a→@. Reguły znajdują się w plikach .rule, po jednej regule w każdym wierszu.

c $2 $0 $2 $4
sa@ ss$ c
# capitalize, append 2024 / leet-swap+capitalize

Wbudowane pliki reguł

Hashcat zawiera rozbudowane zestawy reguł w folderze rules/. best64.rule to szybki i skuteczny zestaw; dive.rule oraz OneRuleToRuleThemAll są większe i dokładniejsze, ale wolniejsze.

/usr/share/hashcat/rules/best64.rule
/usr/share/hashcat/rules/dive.rule

Łączenie list słów i reguł

Najlepsze połączenie to dobra lista słów i zestaw reguł: realistyczne słowa bazowe pomnożone przez realistyczne mutacje. W przypadku haseł tworzonych przez ludzi daje to znacznie lepsze wyniki niż brute force, a jednocześnie wymaga znacznie mniejszej przestrzeni niż wyszukiwanie wyczerpujące.

hashcat -m 0 -a 0 hashes.txt rockyou.txt -r best64.rule

Kompromisy związane z modyfikowaniem słów

Więcej reguł = więcej kandydatur = więcej czasu. Ogromny plik reguł może przekształcić listę zawierającą 14 milionów słów w miliardy prób. Należy równoważyć zakres pokrycia z dostępnym czasem i szybkością algorytmu skrótu.

Etyka i autoryzacja

Tworzenie ukierunkowanych list słów na podstawie mediów społecznościowych danej osoby jest rozpoznaniem i wymaga autoryzacji. Należy łamać wyłącznie skróty, które wolno testować (własne systemy lub zlecenie z pisemną zgodą). Nadużycie jest przestępstwem.

Szybki test

Sprawdź swoją wiedzę o listach słów.

Podsumowanie

Dowiedział się Pan / Dowiedziała się Pani, jak tworzyć słowniki do łamania haseł:

rockyou.txt i SecLists to podstawowe listy słów
CeWL skanuje witryny; CUPP profiluje osoby
Reguły modyfikują słowa (zmiana wielkości liter, dodawanie, leet) — np. best64.rule
Połączenie listy i reguł zapewnia najlepsze pokrycie haseł tworzonych przez ludzi

Następnie: łamanie na GPU za pomocą Hashcat.

Często zadawane pytania

Czy lekcja „Listy słów i reguły” jest bezpłatna?

Tak — pełny tekst „Listy słów i reguły” jest dostępny za darmo tutaj w sieci. Aby ćwiczyć ją interaktywnie (wbudowany edytor kodu i tutor AI dostępny 24/7) i odblokować resztę kursu Ethical Hacking Academy, przejdź na CoddyKit PRO. Kurs Ethical Hacking Academy zawiera 4 lekcji w sumie.

Co nauczysz się w „Listy słów i reguły”?

Budowanie słowników Ćwiczysz Ethical Hacking Academy z praktycznym kodem, który uruchamiasz bezpośrednio w przeglądarce, a tutor AI dostępny 24/7 odpowiada na Twoje pytania podczas pracy nad lekcją.

Czy potrzebuję doświadczenia, aby zacząć Ethical Hacking Academy?

Nie wymagamy żadnego doświadczenia. Ethical Hacking Academy w CoddyKit jest strukturyzowany dla początkujących i zaawansowanych użytkowników, więc możesz zacząć tutaj lub od początku i uczyć się w swoim tempie. To lekcja 1 z 4.

Ile czasu zajmuje lekcja „Listy słów i reguły”?

Większość lekcji CoddyKit trwa około 5–10 minut. Każda lekcja to mały, interaktywny krok, dzięki czemu robisz systematyczne postępy i zawsze wracasz dokładnie do tego samego miejsca — na webie i w aplikacji.

Czy mogę pisać i uruchamiać kod w tej lekcji Ethical Hacking Academy?

Tak. Każda lekcja Ethical Hacking Academy zawiera wbudowany edytor kodu, więc piszesz i uruchamiasz prawdziwy kod bezpośrednio w przeglądarce i od razu otrzymujesz sprzężenie zwrotne od AI — bez konfiguracji na komputerze.

Wszystkie lekcje w tym kursie

← Powrót do Ethical Hacking Academy