Par Louis “Nullptr” Crespin

Rappel : stockage mots de passe

Jamais en clair dans une base de données

Hash : MD5, SHA-1, SHA-256, SHA-3, Argon2id, …

Salt, Pepper

L’outil : Hashcat

sudo apt install hashcat

• Attaque par force brute

• Attaque par dictionnaire

• Attaque mixte

• …

Paramètres :

• -a n : type d’attaque.

  • 0 : par dictionnaire

  • 3 : par force brute

  • 6 : mixte

• -m n : type de hash

  • 0 : md5

  • sinon RTFM

• fichier contenant les hash de mot de passe (un par ligne)

• fichier dictionnaire (s’il y a lieu)

• motif

• -O : optimise

Dictionnaire

liste de mots de passe candidats

Trouver des listes toute faites (~100Go)

On peut le passer en pipe

Motif

a pour caractère quelconque

d pour chiffre

ex : ?d?d?d?d pour une année

Exemples

Date

hashcat -a 3 -m 0 hash.txt "?d?d?d?d"

Dictionnaire + motif

mot de passe : toto2005

hashcat -a 6 -m 0 hash.txt candidates.txt "?d?d?d?d"

Défis

bruteforce

6 caractères de long

dict

combinaison de 3 mots parmi toto, titi, tutu, tata, séparés par ‘-’, ‘_’, ou ‘ ‘