Hashcat 速查表

适用于 OSCP 的 Hashcat 速查表 https://hashcat.net/wiki/doku.php?id=hashcat

识别哈希类型

hash-identifier

示例哈希：https://hashcat.net/wiki/doku.php?id=example_hashes

最大性能！

我发现通过添加以下参数，可以从哈希破解中榨取更多性能：

--force -O -w 4 --opencl-device-types 1,2

这些参数会强制 Hashcat 使用 CUDA GPU 接口（该接口虽然存在缺陷，但能提供更高性能（–force）），针对 32 字符或更短的密码进行优化（-O），并将工作负载设置为“Insane”（-w 4），这应该会让你的计算机在破解过程中几乎无法使用。 最后，--opencl-device-types 1,2 会强制 HashCat 同时使用 GPU 和 CPU 来处理破解。

使用 hashcat 和字典

创建一个 .hash 文件，把所有要破解的哈希放入 puthasheshere.hash：$1$O3JMY.Tw$AdLnLjQ/5jXF9.MTp3gHv/

使用 rockyou 破解 Linux md5crypt $1$ 密码的 Hashcat 示例：

hashcat --force -m 500 -a 0 -o found1.txt --remove puthasheshere.hash /usr/share/wordlists/rockyou.txt

使用 rockyou 破解 Wordpress 密码的 Hashcat 示例： hashcat --force -m 400 -a 0 -o found1.txt --remove wphash.hash /usr/share/wordlists/rockyou.txt

示例哈希 http://openwall.info/wiki/john/sample-hashes

HashCat 一条规则统治所有规则

Not So Secure 构建了一个自定义规则，我过去用它时取得了不错的效果： https://www.notsosecure.com/one-rule-to-rule-them-all/ 该规则可以从他们的 Github 站点下载： https://github.com/NotSoSecure/password_cracking_rules

我通常将 OneRuleToRuleThemAll.rule 放入 rules 子文件夹，并在我的 Windows 机器上这样运行（基于 notsosecure 的文章）：

hashcat64.exe --force -m300 --status -w3 -o found.txt --remove --potfile-disable -r rules\OneRuleToRuleThemAll.rule hash.txt rockyou.txt

使用 hashcat 暴力破解

predefined charsets
?l = abcdefghijklmnopqrstuvwxyz
?u = ABCDEFGHIJKLMNOPQRSTUVWXYZ
?d = 0123456789
?s = «space»!"#$%&'()*+,-./:;<=>?@[\]^_`{|}~
?a = ?l?u?d?s
?b = 0x00 - 0xff

?l?d?u 等同于： ?ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789

暴力破解所有长度为 1-8、可能字符为 A-Z a-z 0-9 的密码 hashcat64 -m 500 hashes.txt -a 3 ?1?1?1?1?1?1?1?1 --increment -1 ?l?d?u

破解 Linux 哈希 - /etc/shadow 文件

破解 Windows 哈希

破解常见应用哈希

破解常见文件密码保护

破解常见数据库哈希格式

破解 NTLM 哈希

在抓取或导出 NTDS.dit 和 SYSTEM 注册表配置单元，或从 Windows 机器转储 LSASS 内存后，你通常会得到 NTLM 哈希。

然后使用 Impacket 转储哈希：

impacket-secretsdump -system SYSTEM -ntds ntds.dit -hashes lmhash:nthash LOCAL -outputfile ntlm-extract

你可以使用以下 hashcat 语法破解 NTLM 哈希转储文件：

hashcat64 -m 1000 -a 0 -w 4 --force --opencl-device-types 1,2 -O d:\hashsample.hash "d:\WORDLISTS\realuniq.lst" -r OneRuleToRuleThemAll.rule

使用 Nvidia 2060 GTX 进行基准测试： 速度：7000 MH/s 恢复率：12.47% 已用时间：2 小时 35 分钟

破解 Kerberoasting 哈希 - KRB5TGS

服务主体名称（SPN）是服务实例的唯一标识符。Kerberos 身份验证使用 SPN 将服务实例与服务登录帐户相关联。这样，客户端应用程序就可以请求服务对某个帐户进行身份验证，即使客户端没有该帐户名。 KRB5TGS - 使用 SPN 的 Kerberoasting 服务帐户。一旦你识别出一个可进行 Kerberoasting 的服务帐户（Bloodhound？Powershell Empire？- 可能是 MS SQL Server 服务帐户），任何 AD 用户都可以向它请求 krb5tgs 哈希，该哈希可用于破解密码。

根据我的基准测试，KRB5TGS 破解速度比 NTLM 慢 28 倍。

Hashcat 支持多种版本的 KRB5TGS 哈希，通过哈希本身中两个美元符号之间的数字即可轻松识别。

• 13100 - 类型 23 - $krb5tgs$23$
• 19600 - 类型 17 - $krb5tgs$17$
• 19700 - 类型 18 - $krb5tgs$18$
• 18200 - ASREP 类型 23 - $krb5asrep$23$

KRB5TGS 类型 23 - 使用 Crackstation 的 humans only 单词表配合 OneRuleToRuleThemAll 突变规则列表。

hashcat64 -m 13100 -a 0 -w 4 --force --opencl-device-types 1,2 -O d:\krb5tgs.hash d:\WORDLISTS\realhuman_phill.txt -r OneRuleToRuleThemAll.rule	

使用 Nvidia 2060 GTX 进行基准测试： 速度：250 MH/s 已用时间：9 分钟

破解来自数据包捕获的 NTLMv2 哈希

你可能会被要求从数据包捕获中的 SMB 身份验证（NTLMv2）恢复密码。 以下是将哈希正确格式化以完成此操作的 9 个步骤： https://research.801labs.org/cracking-an-ntlmv2-hash/

要破解 Linux 哈希，你必须先对它们执行 unshadow

unshadow passwd-file.txt shadow-file.txt

unshadow passwd-file.txt shadow-file.txt > unshadowed.txt

破解 zip 密码

zip2john Zipfile.zip | cut -d ':' -f 2 > hashes.txt
hashcat -a 0 -m 13600 hashes.txt /usr/share/wordlists/rockyou.txt

Hashcat 似乎对 zip2john 生成的某些 zip 哈希格式存在问题。你可以通过编辑 zip 哈希内容，使其与 hashcat 示例页面上的示例 zip 哈希格式一致来解决： $zip2$*0*3*0*b5d2b7bf57ad5e86a55c400509c672bd*d218*0**ca3d736d03a34165cfa9*$/zip2$

John 似乎能接受更多种 zip 格式用于破解。

PRINCE 密码生成

PRINCE（PRobability INfinite Chained Elements，概率无限链式元素）是一个 hashcat 工具，用于随机生成可能的密码：

pp64.bin --pw-min=8 < dict.txt | head -20 shuf dict.txt | pp64.bin --pw-min=8 | head -20

参考： https://github.com/hashcat/princeprocessor

Purple Rain

Purple Rain 攻击结合使用 Prince、字典和随机 Mutation 规则，动态创建无限多的密码组合。

shuf dict.txt | pp64.bin --pw-min=8 | hashcat -a 0 -m #type -w 4 -O hashes.txt -g 300000

参考： https://www.netmux.com/blog/purple-rain-attack