¿Qué tan efectiva es una Wordlist?

Hola

Me preguntaba qué tan efectiva puede ser una wordlist porque cuando uno mira tutoriales de como hacer pentesting a aplicaciones web, muchos utilizan la herramienta Hydra con un wordlist como el típico Rockyou.txt pero en esos tutoriales ellos saben previamente cual es la contraseña.
Supongamos que la contraseña es 2018admin123 y ellos ponen esa contraseña en el wordlist y cuando corren el Hydra, encuentra la contraseña en cuestión de segundos.

Pero qué pasa cuando no se sabe la contraseña? como actúa el Hydra con la wordlist? simplemente va probando palabra por palabra o también hace combinaciones de letras formando una palabra y probando con esa? Supongamos que la contraseña es miFamiliaIngals2018**442 pues esa contraseña es imposible que esté en prácticamente cualquier wordlist que exista no? Es demasiado "segura" para que a alguien se le ocurra poner en una lista de palabras... entonces en ese caso, no sabemos la contraseña, corremos el Hydra y podemos pasarnos 2 días buscando la clave pero nunca la vamos a encontrar? o el Hydra u otras herramientas la pueden encontrar haciendo una combinación de letras?

Esa es mi duda, y un saludo!

Hola. Pues el funcionamiento de un wordlist es contener palabras o combinaciones de palabras que son y/o pueden ser password de cualquier tipo. En síntesis contiene las palabras (líneas) que se usan a la hora de probar contraseñas en algún login. Claro que sí la contraseña correcta no de encuentran en la lista es obvio que no se podrá obtener y/o generar desde el mismo diccionario si este no fue creado previamente..... simplemente sirve para ver si alguna de las palabras que tiene el wordlist corresponde al pass...
Puedes generar diccionario con cruch, aquí en el foro hay un tutorial de ello...también existen diccionarios ya echos que puedes descargar los cuales pesan como 1gb o más....mientras más grande sea el wordlist más posibilidades tienes de poder encontrar la clave. En cuanto a las combinaciones que tienes dudas... pues un compañero del foro público un generador de diccionario con combinaciones partiendo de unas palabras claves como....nombre...nombre del perro, etc...

@No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
Hola

Me preguntaba qué tan efectiva puede ser una wordlist porque cuando uno mira tutoriales de como hacer pentesting a aplicaciones web, muchos utilizan la herramienta Hydra con un wordlist como el típico Rockyou.txt pero en esos tutoriales ellos saben previamente cual es la contraseña.
Supongamos que la contraseña es 2018admin123 y ellos ponen esa contraseña en el wordlist y cuando corren el Hydra, encuentra la contraseña en cuestión de segundos.

Pero qué pasa cuando no se sabe la contraseña? como actúa el Hydra con la wordlist? simplemente va probando palabra por palabra o también hace combinaciones de letras formando una palabra y probando con esa? Supongamos que la contraseña es miFamiliaIngals2018**442 pues esa contraseña es imposible que esté en prácticamente cualquier wordlist que exista no? Es demasiado "segura" para que a alguien se le ocurra poner en una lista de palabras... entonces en ese caso, no sabemos la contraseña, corremos el Hydra y podemos pasarnos 2 días buscando la clave pero nunca la vamos a encontrar? o el Hydra u otras herramientas la pueden encontrar haciendo una combinación de letras?

Esa es mi duda, y un saludo!

Pues amigo, en este caso no solo estare hablando de hydra como herramienta para la fuerza bruta, hablare de las herramientas en general para esto mismo, La posibilidad de que una lista de contraseñas (Incluso usuarios en algunas pruebas de penetracion), es depende de la lista de contraseñas, ¿Como es eso?, Eso depende no solo como la creastes (Con una herramienta o por ti mismo) y tambien tienes que tener el factor de la informacion que hayas obtenido antes del ataque (Como el cumpleaños, fecha de nacimiento, edad, nombre, madre, etc.), para ser mas preciso supongamos que tenemos el usuario de facebook (Lo tipico), juan y que su contraseña (En este caso no la sabemos, pero te estoy dando un ejemplo de como podrias conseguir la contraseña) sea juan2200juanita, donde 'juan'2210juanita, es el nombre del usuario, juan'22'10juanita, es el dia de cumpleaños, juan22'10'juanita es el mes de cumpleaños y juan2210'juanita' es el nombre de la madre, entonces nosotros por ejemplo podremos poner en nuestra lista de contraseñas una ves ya obtenida la informacion: juan, juanita2210, juanjuanita, juan22juanita, juaniton, juan2210juanita (La correcta), 123, juan123. es cuestion de probar, y en el caso de que sea erroneo todas las contraseñas hydra te lo dira.

Pues la efectividad va a depender de que estas bruteforceando. Si vas a crackear un hash md5 con un diccionario, la efectividad será muy alta. Si te estás intentando logear en el Twitter de otra persona, pues no, por que tienen protecciones contra estos tipos de ataque.

Y lo que preguntabas acerca de lo del hydra. No, no hace combinaciones mientras se ejecuta hydra. Hydra solo utiliza las passes que vienen en una wordlist. El tema de concatenar diferentes palabras para crear contraseñas se hace antes de usar el hydra, o la herramienta que sea que estas usando para hacer el ataque por diccionario.

Hay herramientas que te facilitan la creación de estos diccionarios, como No tienes permitido ver los links. Registrarse o Entrar a mi cuenta



En fin, así resumiendo, para ataques web no suele ser muy efectivo usar, por ejemplo, un rockyou.txt
Pero para otras cosas como averiguar la pass de un zip, crackear un hash, etc... si que suele funcionar bien.