10 Brute-Force-Programme zum Knacken von Passwörtern

Passwörter sind die am häufigsten verwendete Methode zur Benutzerauthentifizierung. Diese sind beliebt, weil die Logik dahinter für die Menschen sinnvoll ist und sie für Entwickler relativ einfach zu implementieren sind.

Passwörter können jedoch auch Sicherheitslücken aufweisen. Tatsächlich existieren Brute-Force-Programme, um Passwörter zu knacken.

Passwort-Cracker dienen dazu, Zugangsdaten, die bei einer Datenpanne oder einem anderen Hack gestohlen wurden, zu entwenden und daraus Passwörter zu extrahieren.

Im Folgenden zeigen wir Ihnen die Hauptsoftware, mit der Sie unbekannte Passwörter von beliebigen Benutzern erhalten.

Das könnte Sie auch interessieren: 3 Methoden zum Hacken des iPhone-GPS

Brute-Force-Programme

Die meisten Tools zum Knacken oder Suchen von Passwörtern ermöglichen es Hackern, jede Art von Angriff durchzuführen. Dieser Beitrag beschreibt einige der am häufigsten verwendeten:

1. Hashcat

Hashcat ist einer der beliebtesten und am weitesten verbreiteten Passwort-Cracker . Er ist mit allen Betriebssystemen kompatibel und unterstützt über 300 verschiedene Hash-Typen. Hashcat ermöglicht hochgradig paralleles Passwort-Cracking und kann mehrere verschiedene Passwörter gleichzeitig auf unterschiedlichsten Geräten knacken.

Darüber hinaus ist es in der Lage, ein verteiltes Hash-Cracking-System mithilfe von Overlays zu unterstützen. Das Cracken wird durch integrierte Leistungsoptimierung und Temperaturüberwachung optimiert.

Jetzt herunterladen.

2. John the Ripper

John the Ripper ist ein bekanntes, kostenloses Open-Source- Tool zum Knacken von Passwörtern für Linux , Unix und Mac OS X. Eine Windows- Version ist ebenfalls verfügbar . John the Ripper bietet Funktionen zum Knacken verschiedenster Passworttypen.

Es geht über Betriebssystempasswörter hinaus und umfasst auch gängige Webanwendungen (wie WordPress), komprimierte Dateien, Dokumentdateien ( Microsoft Office- Dateien , PDFs u. a.) und mehr.

Es ist auch eine Pro-Version des Tools verfügbar, die bessere Funktionen und native Pakete für die Zielbetriebssysteme bietet. Sie können auch Openwall GNU/*/Linux herunterladen, das mit John the Ripper geliefert wird.

Jetzt herunterladen.

3. Brutus

Brutus ist eines der bekanntesten Brute-Force-Programme. Es wirbt damit, das schnellste und flexibelste Tool zum Knacken von Passwörtern zu sein. Das Tool ist kostenlos und nur für Windows-Systeme verfügbar. Es wurde im Oktober 2000 veröffentlicht. Brutus unterstützt verschiedene Authentifizierungsmethoden , darunter:

• HTTP (Basisauthentifizierung)
• HTTP (HTML/CGI-Formular)
• POP3
• fTP
• SMB
• Telnet
• IMAP
• NNTP
• Benutzerdefinierte Protokolle

Es ist außerdem in der Lage, mehrstufige Authentifizierungsprotokolle zu unterstützen und kann bis zu sechzig verschiedene Ziele parallel angreifen. Es bietet auch die Möglichkeit, einen Angriff anzuhalten, fortzusetzen und zu importieren.

Brutus wurde seit mehreren Jahren nicht aktualisiert. Die Unterstützung einer Vielzahl von Authentifizierungsprotokollen und die Möglichkeit, benutzerdefinierte Module hinzuzufügen, machen es jedoch zu einem der besten Brute-Force-Programme zum Knacken von Passwörtern.

Jetzt herunterladen.

4. Wfuzz

Wfuzz ist ein Tool zum Knacken von Webanwendungspasswörtern, ähnlich wie Brutus. Es versucht, Passwörter mittels Brute-Force-Angriffen zu erraten. Zudem kann es zur Suche nach versteckten Ressourcen wie Verzeichnissen, Servlets und Skripten verwendet werden. Wfuzz identifiziert außerdem Sicherheitslücken in Anwendungen, wie z. B. SQL-Injection, XSS-Injection und LDAP-Injection. Zu den wichtigsten Funktionen von Wfuzz gehören:

• Multi-Point-Injection in mehreren Verzeichnissen.
• Ausgabe in farbigem HTML.
• Brute-Force-Veröffentlichung von Daten, Headern und Authentifizierung.
• Proxy- und SOCK-Unterstützung, Unterstützung mehrerer Proxys.
• Multithread.
• Brute-Force-HTTP-Passwort über GET- oder POST-Anfragen.
• Zeitverzögerung zwischen Anfragen.
• Keks-Fuzzing.

Jetzt herunterladen.

5. THC-Hydra

THC Hydra ist ein Online-Tool zum Knacken von Passwörtern, das versucht, Benutzeranmeldeinformationen durch einen Brute-Force-Angriff zum Erraten von Passwörtern zu ermitteln. Es ist für Windows, Linux, Free BSD, Solaris und OS X verfügbar.

THC Hydra ist erweiterbar und bietet die Möglichkeit, problemlos neue Module zu installieren. Es unterstützt auch verschiedene Netzwerkprotokolle, darunter Asterisk, AFP, Cisco AAA, Cisco Auth, Cisco Enable, CVS, Firebird, FTP, HTTP-FORM-GET, HTTP-FORM-POST, HTTP-GET, HTTP-HEAD, HTTP-PROXY, Unter anderem HTTPS-FORM-GET, HTTPS-FORM-POST. Wenn Sie Entwickler sind, können Sie auch zur Entwicklung des Tools beitragen.

Jetzt herunterladen.

6. Qualle

Medusa ist ein Online-Tool zum Knacken von Passwörtern, ähnlich wie THC Hydra. Es wirbt damit, schnell, parallel, modular und für Brute-Force-Angriffe auf Logins geeignet zu sein. Es unterstützt HTTP, FTP, CVS, AFP, IMAP, MS SQL, MySQL, NCP, NNTP, POP3, PostgreSQL, pcAnywhere, rlogin, SMB, rsh, SMTP, SNMP, SSH , SVN, VNC, VmAuthd und Telnet.

Dies ist ein Kommandozeilen -Tool , daher sind Kommandozeilenkenntnisse erforderlich. Die Geschwindigkeit des Passwort-Crackings hängt von der Netzwerkverbindung ab. Auf einem lokalen System können Sie 2000 Passwörter pro Minute testen.

Medusa unterstützt auch parallelisierte Angriffe. Zusätzlich zu einer Liste mit zu testenden Passwortwörtern ist es auch möglich, eine Liste mit Benutzernamen oder E-Mail-Adressen zu definieren, mit denen während eines Angriffs experimentiert werden soll.

Jetzt herunterladen.

7. RainbowCrack

Jedes Knacken von Passwörtern unterliegt einem Zeit-Speicher-Kompromiss. Wenn ein Angreifer eine Tabelle mit Passwort-/Hash-Paaren vorab berechnet und als „Regenbogentabelle“ gespeichert hat, wird der Prozess zum Knacken von Passwörtern auf eine Tabellensuche vereinfacht.

Diese Bedrohung ist der Grund, warum Passwörter jetzt gelöscht werden: Durch das Hinzufügen eines eindeutigen Zufallswerts zu jedem Passwort vor dem Hashing ist die Anzahl der erforderlichen Regenbogentabellen viel größer.

RainbowCrack ist eines der am weitesten verbreiteten Programme zum Knacken von Passwörtern mittels Brute-Force-Angriffen und arbeitet mit Rainbow-Tabellen. Sie können eigene Rainbow-Tabellen erstellen oder vorgefertigte Tabellen aus dem Internet herunterladen. RainbowCrack bietet diese Tabellen für die Passwortsysteme LANMAN, NTLM, MD5 und SHA1 kostenlos zum Download an .

Es gibt auch einige kostenpflichtige Regenbogentische, die Sie erwerben können. Dieses Tool ist für Windows- und Linux-Systeme verfügbar.

Jetzt herunterladen.

8. OphCrack

OphCrack ist ein kostenloses Rainbow-Table-basiertes Passwort-Cracking-Tool für Windows. Es ist das beliebteste Windows-Tool zum Knacken von Passwörtern, kann aber auch auf Linux- und Mac-Systemen verwendet werden. Es bricht LM- und NTLM-Hashes. Zum Knacken von Windows XP, Vista und Windows 7 stehen auch kostenlose Rainbow Tables zur Verfügung.

Um das Knacken zu vereinfachen, ist auch ein OphCrack-Live-Inhalt verfügbar. Der Inhalt kann zum Knacken von Windows-basierten Passwörtern verwendet werden. Dieses Tool ist kostenlos erhältlich.

Jetzt herunterladen.

9. L0phtCrack

L0phtCrack ist eine Alternative zu OphCrack, das heißt, es ist ebenfalls Teil der Brute-Force-Programme zum Knacken von Passwörtern. Versuchen Sie, Windows-Passwörter aus Hashes herauszufinden. Zum Entschlüsseln werden Windows-Workstations, Netzwerkserver, primäre Domänencontroller und Active Directory verwendet.

Es nutzt außerdem Wörterbuch- und Brute-Force-Angriffe, um Passwörter zu generieren und zu erraten. Es wurde von Symantec übernommen und 2006 eingestellt. Später wurde es von den L0pht-Entwicklern zurückerworben und 0 als L2009phtCrack veröffentlicht.

L0phtCrack verfügt außerdem über die Möglichkeit, routinemäßige Passwort-Sicherheitsscans zu überprüfen. Es können tägliche, wöchentliche oder monatliche Audits eingestellt werden und der Scanvorgang wird zum geplanten Zeitpunkt gestartet.

Jetzt herunterladen.

10. Aircrack-ng

Aircrack-ng ist ein Tool zum Aufdecken von WLAN-Passwörtern , das WEP- oder WPA/WPA2-PSK-Passwörter knacken kann. Es analysiert verschlüsselte WLAN-Pakete und versucht anschließend, die Zeichen mithilfe von Wörterbuchangriffen, PTW, FMS und anderen Entschlüsselungsalgorithmen zu entschlüsseln. Es ist für Linux- und Windows-Systeme verfügbar. Eine virtuelle Version ist ebenfalls erhältlich.

Jetzt herunterladen.

Was ist Passwort-Cracking?

Ein gut konzipiertes passwortbasiertes Authentifizierungssystem speichert nicht das tatsächliche Passwort eines Benutzers. Dies würde es einem Hacker oder böswilligen Insider zu einfach machen, Zugriff auf alle Benutzerkonten im System zu erhalten.

Im Gegensatz dazu speichern Authentifizierungssysteme einen Passwort-Hash , der durch das Senden des Passworts und eines zufälligen Wertes, des sogenannten Salts, durch eine Hash-Funktion entsteht. Hash-Funktionen sind unidirektional, d. h. es ist sehr schwierig zu bestimmen, welche Eingabe zu welcher Ausgabe führt.

Da Hashfunktionen deterministisch sind (d. h. dieselbe Eingabe erzeugt dieselbe Ausgabe), ist der Vergleich zweier Passwort-Hashes (des gespeicherten und des vom Benutzer eingegebenen Passwort-Hashes) fast so sicher wie der Vergleich der Passwörter selbst . Passwort-Cracking bezeichnet den Prozess, Passwörter aus ihren zugehörigen Passwort-Hashes zu extrahieren. Dies kann auf verschiedene Arten erfolgen:

• Wörterbuchangriff: Die meisten Menschen verwenden schwache und gängige Passwörter. Wenn man eine Liste von Wörtern nimmt und einige Permutationen hinzufügt, wie zum Beispiel das Ersetzen von „s“ durch „s“, kann ein Cracker viele Passwörter sehr schnell lernen.
• Brute-Force-Wahrsagerei-Angriff: Es gibt nur eine begrenzte Anzahl möglicher Passwörter einer bestimmten Länge. Ein Brute-Force-Angriff (Ausprobieren aller möglichen Passwortkombinationen) ist zwar langsam, garantiert aber, dass ein Angreifer das Passwort irgendwann knackt.
• Hybrider Angriff: Ein Hybridangriff kombiniert diese beiden Techniken. Zunächst wird geprüft, ob ein Passwort mithilfe eines Wörterbuchangriffs geknackt werden kann, und dann wird ein Brute-Force-Angriff durchgeführt, wenn dieser erfolglos bleibt.

So erstellen Sie ein Passwort, das schwer zu knacken ist

In diesem Beitrag haben wir 10 Brute-Force-Programme zum Knacken von Passwörtern aufgelistet. Diese Tools versuchen, mithilfe verschiedener Entschlüsselungsalgorithmen zu agieren. Die meisten Entschlüsselungstools sind kostenlos erhältlich. Daher sollten Sie immer versuchen, ein sicheres Passwort zu verwenden, das schwer zu knacken ist. Hier sind einige Tipps, die Sie beim Erstellen eines Passworts ausprobieren können:

• Je länger das Passwort ist, desto schwieriger wird es, es zu entziffern: Die Passwortlänge ist der wichtigste Faktor. Die Komplexität eines Brute-Force-Angriffs zum Erraten von Passwörtern wächst exponentiell mit der Länge des Passworts. Ein siebenstelliges Zufallspasswort kann in wenigen Minuten geknackt werden, während ein zehnstelliges Passwort Hunderte von Jahren braucht.
• Verwenden Sie immer eine Kombination aus Zeichen, Zahlen und Sonderzeichen: Die Verwendung verschiedener Zeichen erschwert auch das Brute-Force-Erraten von Passwörtern, da Cracker für jedes Passwortzeichen eine größere Auswahl an Optionen ausprobieren müssen. Integrieren Sie Zahlen und Sonderzeichen und nicht nur am Ende des Passworts oder als Buchstabenersatz (z. B. @ für a).
• Verwenden Sie nicht für alle Ihre Konten die gleichen Passwörter: Von einem Online-Konto gestohlene Passwörter werden auch für andere Konten verwendet. Eine Datenschutzverletzung in einem Kleinunternehmen könnte ein Bankkonto gefährden, wenn dieselben Anmeldedaten verwendet werden. Verwenden Sie für alle Online-Konten ein langes, zufälliges und eindeutiges Passwort.

Was Sie bei der Auswahl Ihres Passworts vermeiden sollten

Cyberkriminelle und Entwickler von Programmen zum Knacken von Passwörtern mittels Brute-Force-Angriffen kennen alle Tricks, mit denen Menschen ihre Passwörter erstellen. Zu den häufigsten Passwortfehlern, die Sie vermeiden sollten, gehören:

• Verwenden eines Wörterbuchworts: Wörterbuchangriffe zielen darauf ab, jedes Wort im Wörterbuch (und gängige Permutationen) in Sekundenschnelle auszuprobieren.
• Verwendung persönlicher Informationen: Der Name eines Haustieres, der Name eines Familienmitglieds, der Geburtsort, der Lieblingssport usw. sind Wörter aus dem Wörterbuch. Auch wenn dies nicht der Fall wäre, gibt es Tools, um diese Informationen aus sozialen Netzwerken zu erhalten und daraus eine Liste mit Wörtern für einen Angriff zu erstellen.
• Muster verwenden: Passwörter wie 1111111, 12345678 gehören zu den am häufigsten verwendeten Passwörtern überhaupt. Sie sind auch in der Wortliste jedes Passwort-Hackers enthalten.
• Verwendung von Zeichenersetzungen: Zeichenersetzungen wie 4 für A und $ für S sind allgemein bekannt. Wörterbuchangriffe testen diese Ersetzungen automatisch.
• Verwenden Sie Zahlen und Sonderzeichen nur am Ende: Die meisten Leute fügen die erforderlichen Zahlen und Sonderzeichen am Ende des Passworts ein. Diese Muster sind in Passwort-Cracker integriert.
• Verwendung gängiger Passwörter: Jedes Jahr veröffentlichen Unternehmen wie Splashdata Listen der am häufigsten verwendeten Passwörter. Sie erstellen diese Listen, indem sie gehackte Passwörter knacken, genau wie es ein Angreifer tun würde. Verwenden Sie niemals Passwörter aus diesen Listen oder Ähnlichem.
• Verwenden Sie ein beliebiges Passwort, das nicht zufällig ist: Passwörter sollten lang, zufällig und eindeutig sein. Verwenden Sie einen Passwort-Manager, um Passwörter für Online-Konten zu generieren und sicher zu speichern.

Das könnte Sie auch interessieren: Wie man eine RAR-Datei ohne Passwort und ohne Programme entpackt

Pensamientos finales

Tools zum Knacken von Passwörtern sind darauf ausgelegt, Passwort-Hashes, die während einer Datenschutzverletzung durchgesickert sind oder durch einen Angriff gestohlen wurden, zu extrahieren und daraus die ursprünglichen Passwörter zu extrahieren. Dies erreichen sie, indem sie schwache Passwörter verwenden oder alle potenziellen Passwörter einer bestimmten Länge ausprobieren.

Passwort-Finder können für verschiedene Zwecke eingesetzt werden, nicht alle davon sind schlecht. Während sie häufig von Cyberkriminellen verwendet werden, können Sicherheitsteams sie auch verwenden, um die Stärke der Passwörter ihrer Benutzer zu überprüfen und das Risiko schwacher Passwörter für das Unternehmen einzuschätzen.