Шпаргалка по Hashcat

Шпаргалка по Hashcat для OSCP https://hashcat.net/wiki/doku.php?id=hashcat

Определение хэшей

hash-identifier

Примеры хэшей: https://hashcat.net/wiki/doku.php?id=example_hashes

Максимальная мощность!

Я обнаружил, что можно выжать ещё немного мощности из подбора хэшей, добавив эти параметры:

--force -O -w 4 --opencl-device-types 1,2

Эти параметры заставляют Hashcat использовать интерфейс CUDA GPU, который хоть и содержит ошибки, но обеспечивает большую производительность (–force), оптимизируют работу для паролей длиной 32 символа или меньше (-O) и устанавливают нагрузку "Insane" (-w 4), что, как предполагается, делает ваш компьютер практически непригодным к использованию на время подбора. Наконец, "--opencl-device-types 1,2" заставляет HashCat использовать и GPU, и CPU для обработки подбора.

Использование hashcat и словаря

Создайте .hash-файл со всеми хэшами, которые нужно взломать, puthasheshere.hash: $1$O3JMY.Tw$AdLnLjQ/5jXF9.MTp3gHv/

Пример взлома Linux-паролей md5crypt $1$ с помощью hashcat и rockyou:

hashcat --force -m 500 -a 0 -o found1.txt --remove puthasheshere.hash /usr/share/wordlists/rockyou.txt

Пример взлома паролей Wordpress с помощью hashcat и rockyou:
hashcat --force -m 400 -a 0 -o found1.txt --remove wphash.hash /usr/share/wordlists/rockyou.txt

Примеры хэшей http://openwall.info/wiki/john/sample-hashes

HashCat: одно правило, чтобы править всеми

Not So Secure создал собственное правило, с которым мне в прошлом везло:
https://www.notsosecure.com/one-rule-to-rule-them-all/
Правило можно скачать с их сайта на Github:
https://github.com/NotSoSecure/password_cracking_rules

Обычно я кладу OneRuleToRuleThemAll.rule в подпапку rules и запускаю его так на своей Windows-машине (по статье notsosecure):

hashcat64.exe --force -m300 --status -w3 -o found.txt --remove --potfile-disable -r rules\OneRuleToRuleThemAll.rule hash.txt rockyou.txt

Использование hashcat для брутфорса

predefined charsets
?l = abcdefghijklmnopqrstuvwxyz
?u = ABCDEFGHIJKLMNOPQRSTUVWXYZ
?d = 0123456789
?s = «space»!"#$%&'()*+,-./:;<=>?@[\]^_`{|}~
?a = ?l?u?d?s
?b = 0x00 - 0xff

?l?d?u — то же самое, что:
?ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789

Брутфорс всех паролей длиной 1–8 с возможными символами A-Z a-z 0-9
hashcat64 -m 500 hashes.txt -a 3 ?1?1?1?1?1?1?1?1 --increment -1 ?l?d?u

Взлом Linux-хэшей - файл /etc/shadow

ID	Описание	Тип
500	md5crypt $1$, MD5(Unix)	Операционные системы
200	bcrypt $2*, Blowfish(Unix)	Операционные системы
400	sha256crypt $5$, SHA256(Unix)	Операционные системы
1800	sha512crypt $6$, SHA512(Unix)	Операционные системы

Взлом Windows-хэшей

ID	Описание	Тип
3000	LM	Операционные системы
1000	NTLM	Операционные системы

Взлом распространённых хэшей приложений

ID	Описание	Тип
900	MD4	Сырой хэш
0	MD5	Сырой хэш
5100	Half MD5	Сырой хэш
100	SHA1	Сырой хэш
10800	SHA-384	Сырой хэш
1400	SHA-256	Сырой хэш
1700	SHA-512	Сырой хэш

Взлом распространённой парольной защиты файлов

ID	Описание	Тип
11600	7-Zip	Архивы
12500	RAR3-hp	Архивы
13000	RAR5	Архивы
13200	AxCrypt	Архивы
13300	AxCrypt in-memory SHA1	Архивы
13600	WinZip	Архивы
9700	MS Office <= 2003 $0/$1, MD5 + RC4	Документы
9710	MS Office <= 2003 $0/$1, MD5 + RC4, collider #1	Документы
9720	MS Office <= 2003 $0/$1, MD5 + RC4, collider #2	Документы
9800	MS Office <= 2003 $3/$4, SHA1 + RC4	Документы
9810	MS Office <= 2003 $3, SHA1 + RC4, collider #1	Документы
9820	MS Office <= 2003 $3, SHA1 + RC4, collider #2	Документы
9400	MS Office 2007	Документы
9500	MS Office 2010	Документы
9600	MS Office 2013	Документы
10400	PDF 1.1 - 1.3 (Acrobat 2 - 4)	Документы
10410	PDF 1.1 - 1.3 (Acrobat 2 - 4), collider #1	Документы
10420	PDF 1.1 - 1.3 (Acrobat 2 - 4), collider #2	Документы
10500	PDF 1.4 - 1.6 (Acrobat 5 - 8)	Документы
10600	PDF 1.7 Level 3 (Acrobat 9)	Документы
10700	PDF 1.7 Level 8 (Acrobat 10 - 11)	Документы
16200	Защищённые заметки Apple	Документы

Взлом распространённых форматов хэшей баз данных

ID	Описание	Тип	Пример хэша
12	PostgreSQL	Сервер баз данных	a6343a68d964ca596d9752250d54bb8a:postgres
131	MSSQL (2000)	Сервер баз данных	0x01002702560500000000000000000000000000000000000000008db43dd9b1972a636ad0c7d4b8c515cb8ce46578
132	MSSQL (2005)	Сервер баз данных	0x010018102152f8f28c8499d8ef263c53f8be369d799f931b2fbe
1731	MSSQL (2012, 2014)	Сервер баз данных	0x02000102030434ea1b17802fd95ea6316bd61d2c94622ca3812793e8fb1672487b5c904a45a31b2ab4a78890d563d2fcf5663e46fe797d71550494be50cf4915d3f4d55ec375
200	MySQL323	Сервер баз данных	7196759210defdc0
300	MySQL4.1/MySQL5	Сервер баз данных	fcf7c1b8749cf99d88e5f34271d636178fb5d130
3100	Oracle H: Type (Oracle 7+)	Сервер баз данных	7A963A529D2E3229:3682427524
112	Oracle S: Type (Oracle 11+)	Сервер баз данных	ac5f1e62d21fd0529428b84d42e8955b04966703:38445748184477378130
12300	Oracle T: Type (Oracle 12+)	Сервер баз данных	78281A9C0CF626BD05EFC4F41B515B61D6C4D95A250CD4A605CA0EF97168D670EBCB5673B6F5A2FB9CC4E0C0101E659C0C4E3B9B3BEDA846CD15508E88685A2334141655046766111066420254008225
8000	Sybase ASE	Сервер баз данных	0xc00778168388631428230545ed2c976790af96768afa0806fe6c0da3b28f3e132137eac56f9bad027ea2

Взлом NTLM-хэшей

После захвата или дампа NTDS.dit и куста реестра SYSTEM или дампа памяти LSASS с Windows-машины у вас часто остаются NTLM-хэши.

Путь	Описание
C:\Windows\NTDS\ntds.dit	База данных Active Directory
C:\Windows\System32\config\SYSTEM	Куст реестра, содержащий ключ, используемый для шифрования хэшей

И используйте Impacket для дампа хэшей:

impacket-secretsdump -system SYSTEM -ntds ntds.dit -hashes lmhash:nthash LOCAL -outputfile ntlm-extract

Вы можете взломать дамп NTLM-хэшей, используя следующий синтаксис hashcat:

hashcat64 -m 1000 -a 0 -w 4 --force --opencl-device-types 1,2 -O d:\hashsample.hash "d:\WORDLISTS\realuniq.lst" -r OneRuleToRuleThemAll.rule

Бенчмарк на Nvidia 2060 GTX: Скорость: 7000 MH/s Процент восстановления: 12.47% Затраченное время: 2 часа 35 минут

Взлом хэшей из Kerberoasting - KRB5TGS

Имя участника-службы (SPN) — это уникальный идентификатор экземпляра службы. SPN используются аутентификацией Kerberos для привязки экземпляра службы к учётной записи входа службы. Это позволяет клиентскому приложению запросить у службы аутентификацию учётной записи, даже если у клиента нет имени учётной записи. KRB5TGS — Kerberoasting учётных записей служб, использующих SPN. После того как вы определили учётную запись службы, поддающуюся Kerberoasting (Bloodhound? Powershell Empire? — вероятно, учётная запись службы MS SQL Server), любой пользователь AD может запросить у неё хэш krb5tgs, который можно использовать для взлома пароля.

Судя по моим тестам, взлом KRB5TGS в 28 раз медленнее, чем NTLM.

Hashcat поддерживает несколько версий хэша KRB5TGS, которые легко определить по числу между знаками доллара в самом хэше.

• 13100 - Тип 23 - $krb5tgs$23$
• 19600 - Тип 17 - $krb5tgs$17$
• 19700 - Тип 18 - $krb5tgs$18$
• 18200 - ASREP Тип 23 - $krb5asrep$23$

KRB5TGS Тип 23 — словарь Crackstation humans only с правилами мутаций OneRuleToRuleThemAll.

hashcat64 -m 13100 -a 0 -w 4 --force --opencl-device-types 1,2 -O d:\krb5tgs.hash d:\WORDLISTS\realhuman_phill.txt -r OneRuleToRuleThemAll.rule	

Бенчмарк на Nvidia 2060 GTX: Скорость: 250 MH/s Затраченное время: 9 минут