Chuleta de Hashcat

Chuleta de Hashcat para OSCP
https://hashcat.net/wiki/doku.php?id=hashcat

Identificar hashes

hash-identifier

Hashes de ejemplo: https://hashcat.net/wiki/doku.php?id=example_hashes

¡MÁXIMA POTENCIA!

He descubierto que puedo exprimir un poco más de potencia al crackear hashes añadiendo estos parámetros:

--force -O -w 4 --opencl-device-types 1,2

Estos parámetros fuerzan a Hashcat a usar la interfaz CUDA de la GPU, que es inestable pero ofrece más rendimiento (–force), optimizan para contraseñas de 32 caracteres o menos (-O) y establecen la carga de trabajo en "Insane" (-w 4), que supuestamente hace que tu equipo sea prácticamente inutilizable durante el proceso de crackeo. Por último, "--opencl-device-types 1,2 " fuerza a Hashcat a usar TANTO la GPU como la CPU para gestionar el crackeo.

Usando hashcat y un diccionario

Crea un archivo .hash con todos los hashes que quieras crackear puthasheshere.hash: $1$O3JMY.Tw$AdLnLjQ/5jXF9.MTp3gHv/

Ejemplo de Hashcat crackeando contraseñas Linux md5crypt $1$ con rockyou:

hashcat --force -m 500 -a 0 -o found1.txt --remove puthasheshere.hash /usr/share/wordlists/rockyou.txt

Ejemplo de Hashcat crackeando contraseñas de WordPress con rockyou:
hashcat --force -m 400 -a 0 -o found1.txt --remove wphash.hash /usr/share/wordlists/rockyou.txt

Hashes de ejemplo http://openwall.info/wiki/john/sample-hashes

HashCat: Una regla para gobernarlos a todos

Not So Secure ha creado una regla personalizada con la que he tenido buenos resultados en el pasado:
https://www.notsosecure.com/one-rule-to-rule-them-all/
La regla se puede descargar desde su sitio de GitHub:
https://github.com/NotSoSecure/password_cracking_rules

Normalmente coloco OneRuleToRuleThemAll.rule en la subcarpeta rules y lo ejecuto así desde mi equipo Windows (basado en el artículo de notsosecure):

hashcat64.exe --force -m300 --status -w3 -o found.txt --remove --potfile-disable -r rules\OneRuleToRuleThemAll.rule hash.txt rockyou.txt

Usando hashcat con fuerza bruta

predefined charsets
?l = abcdefghijklmnopqrstuvwxyz
?u = ABCDEFGHIJKLMNOPQRSTUVWXYZ
?d = 0123456789
?s = «space»!"#$%&'()*+,-./:;<=>?@[\]^_`{|}~
?a = ?l?u?d?s
?b = 0x00 - 0xff

?l?d?u es lo mismo que:
?ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789

Fuerza bruta para todas las contraseñas de longitud 1-8 con los posibles caracteres A-Z a-z 0-9
hashcat64 -m 500 hashes.txt -a 3 ?1?1?1?1?1?1?1?1 --increment -1 ?l?d?u

Crackeando hashes de Linux - archivo /etc/shadow

Crackeando hashes de Windows

Crackeando hashes de aplicaciones comunes

Crackeando protecciones de contraseña de archivos comunes

Crackeando formatos de hash de bases de datos comunes

Crackeando hashes NTLM

Después de obtener o volcar el NTDS.dit y el hive de registro SYSTEM, o de volcar la memoria de LSASS desde un equipo Windows, a menudo acabarás con hashes NTLM.

Y usando Impacket para volcar los hashes

impacket-secretsdump -system SYSTEM -ntds ntds.dit -hashes lmhash:nthash LOCAL -outputfile ntlm-extract

Puedes crackear el volcado de hashes NTLM con la siguiente sintaxis de hashcat:

hashcat64 -m 1000 -a 0 -w 4 --force --opencl-device-types 1,2 -O d:\hashsample.hash "d:\WORDLISTS\realuniq.lst" -r OneRuleToRuleThemAll.rule

Benchmark usando una Nvidia 2060 GTX: Velocidad: 7000 MH/s Tasa de recuperación: 12.47% Tiempo transcurrido: 2 horas 35 minutos

Crackeando hashes de Kerberoasting - KRB5TGS

Un nombre de principal de servicio (SPN) es un identificador único de una instancia de servicio. Los SPN los usa la autenticación Kerberos para asociar una instancia de servicio con una cuenta de inicio de sesión de servicio. Esto permite que una aplicación cliente solicite que el servicio autentique una cuenta aunque el cliente no tenga el nombre de cuenta. KRB5TGS: cuentas de servicio Kerberoasting que usan SPN. Una vez que hayas identificado una cuenta de servicio Kerberoasteable (¿Bloodhound? ¿Powershell Empire? - probablemente una cuenta de servicio de MS SQL Server), cualquier usuario de AD puede solicitar un hash krb5tgs de ella que se puede usar para crackear la contraseña.

Según mis pruebas comparativas, el crackeo de KRB5TGS es 28 veces más lento que el de NTLM.

Hashcat soporta múltiples versiones del hash KRB5TGS, que se pueden identificar fácilmente por el número entre los signos de dólar del propio hash.

• 13100 - Tipo 23 - $krb5tgs$23$
• 19600 - Tipo 17 - $krb5tgs$17$
• 19700 - Tipo 18 - $krb5tgs$18$
• 18200 - ASREP Tipo 23 - $krb5asrep$23$

KRB5TGS Tipo 23: lista de palabras solo humanos de Crackstation con la lista de reglas de mutaciones OneRuleToRuleThemAll.

hashcat64 -m 13100 -a 0 -w 4 --force --opencl-device-types 1,2 -O d:\krb5tgs.hash d:\WORDLISTS\realhuman_phill.txt -r OneRuleToRuleThemAll.rule	

Benchmark usando una Nvidia 2060 GTX: Velocidad: 250 MH/s Tiempo transcurrido: 9 minutos

Crackeando hashes NTLMv2 desde una captura de paquetes

Puede que te pidan recuperar una contraseña de una autenticación SMB (NTLMv2) a partir de una captura de paquetes. El siguiente es un proceso de 9 pasos para formatear el hash correctamente y hacerlo. https://research.801labs.org/cracking-an-ntlmv2-hash/

Para crackear hashes de Linux primero debes hacerles unshadow

unshadow passwd-file.txt shadow-file.txt

unshadow passwd-file.txt shadow-file.txt > unshadowed.txt

Crackear una contraseña de un zip

zip2john Zipfile.zip | cut -d ':' -f 2 > hashes.txt
hashcat -a 0 -m 13600 hashes.txt /usr/share/wordlists/rockyou.txt

Hashcat parece tener problemas con algunos formatos de hash zip generados por zip2john. Puedes solucionarlo editando el contenido del hash zip para que coincida con el formato de hash zip de ejemplo que se encuentra en la página de ejemplos de hashcat: $zip2$*0*3*0*b5d2b7bf57ad5e86a55c400509c672bd*d218*0**ca3d736d03a34165cfa9*$/zip2$

Parece que John acepta una gama más amplia de formatos zip para crackear.

Generación de contraseñas PRINCE

PRINCE (PRobability INfinite Chained Elements) es una utilidad de hashcat para generar aleatoriamente contraseñas probables:

pp64.bin --pw-min=8 < dict.txt | head -20 shuf dict.txt | pp64.bin --pw-min=8 | head -20

Referencia:
https://github.com/hashcat/princeprocessor

Purple Rain

El ataque Purple Rain utiliza una combinación de Prince, un diccionario y reglas de mutación aleatorias para crear dinámicamente infinitas combinaciones de contraseñas.

shuf dict.txt | pp64.bin --pw-min=8 | hashcat -a 0 -m #type -w 4 -O hashes.txt -g 300000

Referencia:
https://www.netmux.com/blog/purple-rain-attack