psudohash

v1.1.0 のクールな新機能

以下に感謝: DavidAngelos:
▶️ 各ステップにプログレスバーを追加して実行状況を追跡できるようにしました。
▶️ オプションを追加:

• 順序結合 (-i / --inorder): キーワードを元の順序でのみ結合します (例: foo,bar,baz → foo, bar, baz, foobar, foobaz, barbaz, foobarbaz)。
• 全順序組み合わせ (-c / --combinations): 各サブセットのすべての順序を生成します (例: foo,bar,baz → foo, bar, baz, foobar, foobaz, barfoo, …, bazbarfoo)。
• カスタム区切り文字 (--sep <string>): 単語を結合する際に、トークン間にこの文字列を挿入します (デフォルトは区切りなし)。
• 最大結合サイズ (--max-combine <N>): 結合する生のキーワードの最大数を制限します (デフォルト: 2)。
• 最終単語の最小/最大長フィルタリング (--minlen/--maxlen <N>): 希望の長さの単語のみで最終的な単語リストをフィルタリングします。

目的

Psudohash は、ブルートフォース攻撃やハッシュの解析を行うためのパスワードリスト生成ツールです。文字を記号や数字に置き換える（リート）、文字の大文字小文字のバリエーションを使う、主要なパスフレーズの前後に一般的なパディングを追加するなど、人間がよく使うパスワード作成パターンを模倣します。キーワードベースで高度にカスタマイズ可能です。🎥 -> 動画プレゼンテーション

企業環境のペネトレーションテスト

システム管理者やその他の従業員は、パスワードを設定する際に会社名の変形版（例: Am@z0n_2022）を使用することがよくあります。これは、ネットワーク機器（Wi-Fi アクセスポイント、スイッチ、ルーターなど）、アプリケーション、さらにはドメインアカウントでよく見られます。最も基本的なオプションで、psudohash は、一般的な文字置換パターン（カスタマイズ可能）、大文字小文字のバリエーション、パディングに使われる一般的な文字列などに基づいて、1つまたは複数のキーワードのすべての変異形を含む単語リストを生成できます。次の例をご覧ください:

カスタマイズ

リート文字置換

スクリプトは以下の文字置換スキーマを実装しています。psudohash.py 内の transformations リストを編集し、以下に示すデータ構造に従うことで、文字置換マッピングを追加・変更できます（デフォルト）:

transformations = [
	{'a' : ['@', '4']},
	{'b' : '8'},
	{'e' : '3'},
	{'g' : ['9', '6']},
	{'i' : ['1', '!']},
	{'o' : '0'},
	{'s' : ['$', '5']},
	{'t' : '7'}
]

一般的なパディング値

パスワードを設定する際、主要なパスフレーズの前後に文字列を追加して「強力」にするのは標準的なことだと思います。例えば、「dragon」というパスワードを設定し、末尾に「!!!」や「!@#」のような値を追加すると、「dragon!!!」「dragon!@#」などになります。Psudohash はそのような値を common_padding_values.txt から読み取り、生成された各キーワードのバリエーションの前に追加（-cpb）または後に追加（-cpa）することで、提供されたキーワードを変異させます。必要に応じて変更できます。

年の値

変異したキーワードに年の値を追加する場合、psudohash は様々な区切り文字を使用します。デフォルトでは以下の区切り文字を使用します。これらは year_seperators リストを編集することで変更できます:

year_seperators = ['', '_', '-', '@']

例えば、キーワードが "amazon" でオプション -y 2023 が使用された場合、出力には "amazon2023", "amazon_2023", "amazon-2023", "amazon@2023", "amazon23", "amazon_23", "amazon-23", "amazon@23" が含まれます。

インストール

まず Python 3.x と tqdm をインストールしてください:

pip3 install tqdm

次にリポジトリをクローンし、スクリプトを実行可能にします:

git clone https://github.com/t3l3machus/psudohash.git
cd ./psudohash
chmod +x psudohash.py

使い方

./psudohash.py [-h] -w WORDS [-i] [-c] [--sep SEP] [--max-combine N] [-an LEVEL] [-nl LIMIT] [-y YEARS] [-ap VALUES] [-cpb] [-cpa] [-cpo] [-o FILENAME] [-q]

ヘルプダイアログ [ -h, --help ] には使用方法の詳細と例が含まれています。

オプション

• -w, --words <kw1,kw2,…>
  コンマ区切りの生のキーワード（必須）。

• -i, --inorder
  指定された順序でキーワードを結合（最大 --max-combine 個）します（例： foo,bar,baz → foo, bar, baz, foobar, foobaz, barbaz, foobarbaz）。

• -c, --combinations
  各サブセットのすべての順列を生成します（最大 --max-combine）（例： foo,bar,baz → foo, bar, baz, foobar, foobaz, barfoo, …）。

• --max-combine <N> (default: 2)
  1つのベース文字列に結合する生のキーワードの最大数（デフォルト: 2）。

• --sep <string>
  単語を結合する際（-i または ）、トークン間にこの文字列を挿入します。デフォルトは空文字列。

使用例

1. 単語の結合なし（シングルトンのみ）

   root@kitploit:~

   ./psudohash.py -w foo,bar,baz -cpa
   # → foo, bar, baz
   

2. 順序結合（-i、デフォルトで最大2単語）

   root@kitploit:~

   ./psudohash.py -w foo,bar,baz -i
   # → foo, bar, baz, foobar, foobaz, barbaz
   

3. 全順序組み合わせ（-c、デフォルトで最大2単語）

   root@kitploit:~

   ./psudohash.py -w foo,bar,baz -c
   # → foo, bar, baz, foobar, foobaz, barfoo, barbaz, bazfoo, bazbar
   

4. 結合単語間の区切り文字を変更

   root@kitploit:~

   ./psudohash.py -w foo,bar,baz -i --sep "_"
   # → foo, bar, baz, foo_bar, foo_baz, bar_baz
   

5. 長さフィルタリング（--minlen/--maxlen）

   root@kitploit:~

    ./psudohash.py -w apple,banana -i --minlen 10
    # Warning: exact size cannot be determined because of length filters.
    # Example final outputs might include “applebanana” (11 chars), “bananaapple” (11 chars).
   

6. デフォルトの2単語の代わりに最大3単語を結合

使用上のヒント

1. --years オプションと --append-numbering オプションを、--numbering-limit を任意の年の入力の下2桁以上に設定して組み合わせると、ツールが実装する変異パターンのために重複した単語が生成される可能性が高くなります。
2. カスタムパディング値を追加したり、ソースコード内の定義済みの一般的なパディング値を変更したりすると、複数のオプションパラメータと組み合わせた場合、重複単語が発生する可能性がわずかにあります。psudohash には単語フィルタリング制御が含まれていますが、速度の都合上、それらは制限されています。
3. --minlen または --maxlen を使用する場合、スクリプトは正確な単語数を事前に計算できません。「正確なサイズは決定できません」という警告が表示され、このフィルタなしのサイズが計算され、最終的なサイズは小さくなります。

個人向け

人に関して言えば、私たちは皆（多かれ少なかれ）自分にとって意味のある単語（名前や妻/子供/ペット/バンド名など）を変形させ、最後に生まれた年を付けたり、「!@#」のような超安全なパディングを使ったりしてパスワードを設定したことがあると思います。さて、どうでしょう？

将来の計画

よく使われるパスワード作成パターンに関する情報を収集し、ツールの機能を強化する予定です。