Ethical Hacking Academy · Aula

Listas de palavras e regras

Construção de dicionários

Listas de palavras e regras é uma aula grátis de Ethical Hacking Academy no CoddyKit. Esta é a aula 1 de 4. Você pode ler a aula completa abaixo gratuitamente — depois pratica ao vivo no navegador com um editor de código integrado e um tutor de IA 24/7. Faz parte do caminho de aprendizado de Ethical Hacking Academy, e seu progresso é sincronizado entre a web e o app CoddyKit. O curso de Ethical Hacking Academy inclui 4 aulas no total.

Por que as listas de palavras são importantes

A maioria das senhas não é aleatória — as pessoas reutilizam palavras comuns, padrões e substituições. Uma lista de palavras (dicionário) é um arquivo de senhas candidatas. Listas de palavras de qualidade são o principal fator de sucesso na quebra de senhas escolhidas por pessoas.

Listas de palavras clássicas

A lista de palavras mais famosa é rockyou.txt, vazada em uma violação de 2009 que expôs 32 milhões de senhas reais. Ela vem incluída no Kali. O projeto SecLists reúne várias listas selecionadas de senhas, nomes de usuário e fuzzing.

/usr/share/wordlists/rockyou.txt
/usr/share/seclists/Passwords/

Listas de palavras direcionadas com CeWL

Listas genéricas não contêm palavras específicas da organização. O CeWL percorre um site-alvo e coleta palavras de suas páginas para criar uma lista personalizada, ajustada ao jargão, aos produtos e aos nomes da empresa.

cewl -d 2 -m 5 -w custom.txt https://target.local

Criação de perfis com CUPP

O CUPP (Common User Passwords Profiler) cria candidatas personalizadas a partir de informações sobre um alvo — nome, parceiro, animal de estimação, data de nascimento — combinando-as e modificando-as da forma como as pessoas realmente criam senhas.

cupp -i
# answer prompts: name, nickname, birthdate, pet...

O que são regras?

Em vez de armazenar cada variação, as regras transformam cada palavra-base em tempo real: colocam a inicial em maiúscula, acrescentam algarismos e trocam letras por símbolos. Uma palavra combinada com regras pode gerar milhares de candidatas realistas.

Operações comuns de regras

Mutações típicas imitam hábitos humanos:

Colocar a primeira letra em maiúscula: password → Password
Acrescentar o ano: Password2024
Substituição leet: P@ssw0rd
Acrescentar ! ao final

Sintaxe de regras do Hashcat

As regras do Hashcat usam funções de um único caractere. c coloca a palavra em formato capitalizado, $X acrescenta X e sa@ troca a→@. As regras ficam em arquivos .rule, uma regra por linha.

c $2 $0 $2 $4
sa@ ss$ c
# capitalize, append 2024 / leet-swap+capitalize

Arquivos de regras integrados

O Hashcat inclui conjuntos de regras poderosos em sua pasta rules/. best64.rule é um conjunto rápido e de alto rendimento; dive.rule e OneRuleToRuleThemAll são maiores e mais completos, mas mais lentos.

/usr/share/hashcat/rules/best64.rule
/usr/share/hashcat/rules/dive.rule

Combinação de listas de palavras e regras

A combinação vencedora é uma boa lista de palavras com um conjunto de regras: palavras-base realistas multiplicadas por mutações realistas. Isso supera drasticamente a força bruta para senhas humanas, mantendo um tamanho muito menor que uma busca exaustiva.

hashcat -m 0 -a 0 hashes.txt rockyou.txt -r best64.rule

Compensações da manipulação de palavras

Mais regras = mais candidatas = mais tempo. Um arquivo de regras enorme pode transformar uma lista de 14 milhões de palavras em bilhões de tentativas. Equilibre a cobertura com seu limite de tempo e a velocidade do algoritmo de hash.

Ética e autorização

Criar listas de palavras direcionadas a partir das redes sociais de uma pessoa é uma atividade de reconhecimento e precisa ser autorizada. Quebre apenas hashes que você tenha permissão para testar (de seus próprios sistemas ou de um trabalho com consentimento por escrito). O uso indevido é crime.

Verificação rápida

Teste seus conhecimentos sobre listas de palavras.

Recapitulação

Você aprendeu a criar dicionários para quebra de senhas:

rockyou.txt e SecLists são listas de palavras essenciais
O CeWL coleta conteúdo de sites; o CUPP cria perfis de indivíduos
As regras modificam palavras (capitalização, acréscimos, leet) — por exemplo, best64.rule
Combine listas e regras para obter a melhor cobertura de senhas humanas

A seguir: quebra com GPU usando Hashcat.

Perguntas Frequentes

A aula “Listas de palavras e regras” é grátis?

Sim — o texto completo de “Listas de palavras e regras” é grátis para ler aqui na web. Para praticá-la interativamente (um editor de código integrado e um tutor de IA 24/7) e desbloquear o restante do curso de Ethical Hacking Academy, atualize para CoddyKit PRO. O curso de Ethical Hacking Academy inclui 4 aulas no total.

O que vou aprender em “Listas de palavras e regras”?

Construção de dicionários Você pratica Ethical Hacking Academy com código prático que executa diretamente no navegador, e um tutor de IA 24/7 responde suas dúvidas enquanto trabalha na aula.

Preciso ter experiência prévia para começar Ethical Hacking Academy?

Nenhuma experiência prévia é necessária. Ethical Hacking Academy no CoddyKit é estruturado para alunos iniciantes até avançados, então você pode começar aqui ou desde o início e aprender no seu ritmo. Esta é a aula 1 de 4.

Quanto tempo leva a aula “Listas de palavras e regras”?

A maioria das aulas CoddyKit leva cerca de 5–10 minutos. Cada uma é compacta e interativa, então você faz progresso constante e retoma exatamente de onde parou entre web e app.

Posso escrever e executar código nesta aula de Ethical Hacking Academy?

Sim. Cada aula de Ethical Hacking Academy inclui um editor de código integrado, então você escreve e executa código real direto no navegador e recebe feedback de IA instantaneamente — nenhuma configuração local necessária.

Todas as aulas deste curso

← Voltar para Ethical Hacking Academy