Шпаргалка по Hashcat

Шпаргалка по Hashcat для OSCP https://hashcat.net/wiki/doku.php?id=hashcat

Определение хэшей

hash-identifier

Примеры хэшей: https://hashcat.net/wiki/doku.php?id=example_hashes

Максимальная мощность!

Я обнаружил, что можно выжать ещё немного мощности из подбора хэшей, добавив эти параметры:

--force -O -w 4 --opencl-device-types 1,2

Эти параметры заставляют Hashcat использовать интерфейс CUDA GPU, который хоть и содержит ошибки, но обеспечивает большую производительность (–force), оптимизируют работу для паролей длиной 32 символа или меньше (-O) и устанавливают нагрузку "Insane" (-w 4), что, как предполагается, делает ваш компьютер практически непригодным к использованию на время подбора. Наконец, "--opencl-device-types 1,2" заставляет HashCat использовать и GPU, и CPU для обработки подбора.

Использование hashcat и словаря

Создайте .hash-файл со всеми хэшами, которые нужно взломать, puthasheshere.hash: $1$O3JMY.Tw$AdLnLjQ/5jXF9.MTp3gHv/

Пример взлома Linux-паролей md5crypt $1$ с помощью hashcat и rockyou:

hashcat --force -m 500 -a 0 -o found1.txt --remove puthasheshere.hash /usr/share/wordlists/rockyou.txt

Пример взлома паролей Wordpress с помощью hashcat и rockyou:
hashcat --force -m 400 -a 0 -o found1.txt --remove wphash.hash /usr/share/wordlists/rockyou.txt

Примеры хэшей http://openwall.info/wiki/john/sample-hashes

HashCat: одно правило, чтобы править всеми

Not So Secure создал собственное правило, с которым мне в прошлом везло:
https://www.notsosecure.com/one-rule-to-rule-them-all/
Правило можно скачать с их сайта на Github:
https://github.com/NotSoSecure/password_cracking_rules

Обычно я кладу OneRuleToRuleThemAll.rule в подпапку rules и запускаю его так на своей Windows-машине (по статье notsosecure):

hashcat64.exe --force -m300 --status -w3 -o found.txt --remove --potfile-disable -r rules\OneRuleToRuleThemAll.rule hash.txt rockyou.txt

Использование hashcat для брутфорса

predefined charsets
?l = abcdefghijklmnopqrstuvwxyz
?u = ABCDEFGHIJKLMNOPQRSTUVWXYZ
?d = 0123456789
?s = «space»!"#$%&'()*+,-./:;<=>?@[\]^_`{|}~
?a = ?l?u?d?s
?b = 0x00 - 0xff

?l?d?u — то же самое, что:
?ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789

Брутфорс всех паролей длиной 1–8 с возможными символами A-Z a-z 0-9
hashcat64 -m 500 hashes.txt -a 3 ?1?1?1?1?1?1?1?1 --increment -1 ?l?d?u

Взлом Linux-хэшей - файл /etc/shadow

Взлом Windows-хэшей

Взлом распространённых хэшей приложений

Взлом распространённой парольной защиты файлов

Взлом распространённых форматов хэшей баз данных

Взлом NTLM-хэшей

После захвата или дампа NTDS.dit и куста реестра SYSTEM или дампа памяти LSASS с Windows-машины у вас часто остаются NTLM-хэши.

И используйте Impacket для дампа хэшей:

impacket-secretsdump -system SYSTEM -ntds ntds.dit -hashes lmhash:nthash LOCAL -outputfile ntlm-extract

Вы можете взломать дамп NTLM-хэшей, используя следующий синтаксис hashcat:

hashcat64 -m 1000 -a 0 -w 4 --force --opencl-device-types 1,2 -O d:\hashsample.hash "d:\WORDLISTS\realuniq.lst" -r OneRuleToRuleThemAll.rule

Бенчмарк на Nvidia 2060 GTX: Скорость: 7000 MH/s Процент восстановления: 12.47% Затраченное время: 2 часа 35 минут

Взлом хэшей из Kerberoasting - KRB5TGS

Имя участника-службы (SPN) — это уникальный идентификатор экземпляра службы. SPN используются аутентификацией Kerberos для привязки экземпляра службы к учётной записи входа службы. Это позволяет клиентскому приложению запросить у службы аутентификацию учётной записи, даже если у клиента нет имени учётной записи. KRB5TGS — Kerberoasting учётных записей служб, использующих SPN. После того как вы определили учётную запись службы, поддающуюся Kerberoasting (Bloodhound? Powershell Empire? — вероятно, учётная запись службы MS SQL Server), любой пользователь AD может запросить у неё хэш krb5tgs, который можно использовать для взлома пароля.

Судя по моим тестам, взлом KRB5TGS в 28 раз медленнее, чем NTLM.

Hashcat поддерживает несколько версий хэша KRB5TGS, которые легко определить по числу между знаками доллара в самом хэше.

• 13100 - Тип 23 - $krb5tgs$23$
• 19600 - Тип 17 - $krb5tgs$17$
• 19700 - Тип 18 - $krb5tgs$18$
• 18200 - ASREP Тип 23 - $krb5asrep$23$

KRB5TGS Тип 23 — словарь Crackstation humans only с правилами мутаций OneRuleToRuleThemAll.

hashcat64 -m 13100 -a 0 -w 4 --force --opencl-device-types 1,2 -O d:\krb5tgs.hash d:\WORDLISTS\realhuman_phill.txt -r OneRuleToRuleThemAll.rule	

Бенчмарк на Nvidia 2060 GTX: Скорость: 250 MH/s Затраченное время: 9 минут

Взлом NTLMv2-хэшей из захвата пакетов

Вас могут попросить восстановить пароль из аутентификации SMB (NTLMv2) из захвата пакетов. Ниже приведён процесс из 9 шагов для правильного форматирования хэша. https://research.801labs.org/cracking-an-ntlmv2-hash/

Чтобы взломать Linux-хэши, сначала нужно выполнить unshadow

unshadow passwd-file.txt shadow-file.txt

unshadow passwd-file.txt shadow-file.txt > unshadowed.txt

Взлом пароля ZIP-архива

zip2john Zipfile.zip | cut -d ':' -f 2 > hashes.txt
hashcat -a 0 -m 13600 hashes.txt /usr/share/wordlists/rockyou.txt

Похоже, у Hashcat есть проблемы с некоторыми форматами ZIP-хэшей, создаваемыми zip2john. Это можно исправить, отредактировав содержимое ZIP-хэша так, чтобы оно соответствовало примеру формата ZIP-хэша на странице примеров hashcat: $zip2$*0*3*0*b5d2b7bf57ad5e86a55c400509c672bd*d218*0**ca3d736d03a34165cfa9*$/zip2$

Похоже, John принимает более широкий диапазон ZIP-форматов для взлома.

Генерация паролей PRINCE

PRINCE (PRobability INfinite Chained Elements) — это утилита hashcat для случайной генерации вероятных паролей:

pp64.bin --pw-min=8 < dict.txt | head -20 shuf dict.txt | pp64.bin --pw-min=8 | head -20

Ссылка:
https://github.com/hashcat/princeprocessor

Purple Rain

Атака Purple Rain использует комбинацию PRINCE, словаря и случайных правил мутаций для динамического создания бесконечных комбинаций паролей.

shuf dict.txt | pp64.bin --pw-min=8 | hashcat -a 0 -m #type -w 4 -O hashes.txt -g 300000

Ссылка:
https://www.netmux.com/blog/purple-rain-attack