Qué es

Hashcat es una herramienta de recuperación/auditoría de contraseñas descrita oficialmente como "the world's fastest and most advanced password recovery tool". Opera sobre hashes ya obtenidos (cracking offline), aprovechando CPU y GPU mediante múltiples backends de cómputo. Fue propietaria hasta 2015, año en que se liberó bajo licencia MIT; en la versión 3.00 se fusionaron las versiones CPU y GPU en una sola herramienta. La versión estable actual es la 8.0.0, con más de 630 hash-modes soportados.

Para qué sirve

Auditar la robustez de los hashes de contraseñas de tu propia organización con autorización escrita.
Recuperar contraseñas de archivos o sistemas propios cuando se perdió el acceso.
Resolver desafíos de cracking en competencias CTF y entornos de práctica.
Validar políticas de contraseñas probando diccionarios, máscaras y reglas contra hashes de prueba.
Comparar la resistencia de distintos algoritmos (MD5/SHA-1 vs bcrypt/Argon2) mediante benchmarks.
Investigar y aprender sobre almacenamiento seguro de credenciales en laboratorio.

Instalación

Linux (Debian/Kali/Ubuntu) vía gestor de paquetes:

Código: bash

sudo apt install hashcat

Binario recomendado (todas las plataformas): descargar la última release desde https://hashcat.net/hashcat/ y descomprimir conservando rutas completas:

Código: bash

7z x hashcat-8.0.0.7z
cd hashcat-8.0.0
./hashcat.bin --version

En Windows: descargar el .7z oficial, descomprimir y ejecutar hashcat.exe desde la consola. Compilar desde fuente solo tiene sentido para aplicar cambios propios o plataformas sin binario (ver BUILD.md):

Código: bash

git clone https://github.com/hashcat/hashcat.git
cd hashcat && make

Comandos frecuentes

Benchmark de rendimiento de los hash-modes:

Código: bash

hashcat -b

Ataque de diccionario sobre MD5 (-m 0), guardando resultados:

Código: bash

hashcat -m 0 -a 0 hashes.txt rockyou.txt -o cracked.txt

Máscara de 8 caracteres: mayúscula + 6 minúsculas + dígito:

Código: bash

hashcat -m 0 -a 3 hashes.txt '?u?l?l?l?l?l?l?d'

Diccionario + reglas (rule-based) sobre NTLM:

Código: bash

hashcat -m 1000 -a 0 ntlm.txt rockyou.txt -r rules/best64.rule

Ver hashes ya crackeados comparando contra el potfile:

Código: bash

hashcat -m 0 hashes.txt --show

Ataque híbrido wordlist + máscara (sufijo de 2 dígitos):

Código: bash

hashcat -m 0 -a 6 hashes.txt rockyou.txt '?d?d'

Charset personalizado y modo incremento:

Código: bash

hashcat -m 0 -a 3 -1 ?l?d?u -i hashes.txt '?1?1?1?1?1?1'

Sesión con nombre para pausar/reanudar:

Código: bash

hashcat -m 1000 -a 0 ntlm.txt rockyou.txt --session=auditoria
hashcat --session=auditoria --restore

Buenas prácticas y uso legal

Usar hashcat únicamente sobre hashes propios, en laboratorio, CTF o sistemas con autorización escrita; crackear hashes de terceros sin permiso es ilegal.
La referencia válida de opciones para tu instalación es siempre `hashcat -hh`, ya que cambian entre versiones.
Para defenderse: almacenar contraseñas con funciones lentas y con sal (bcrypt, scrypt, Argon2, PBKDF2) en lugar de MD5/SHA-1/NTLM, que hashcat procesa a enorme velocidad.
Aplicar políticas de passphrases largas y únicas más MFA para volver inviables los ataques por máscara y diccionario.
Proteger los hashes en origen (/etc/shadow, NTDS.dit, SAM): sin acceso a ellos no hay ataque offline posible.
Detección: el cracking es offline y no genera tráfico; lo observable es el evento previo de volcado/exfiltración de credenciales (dumping de LSASS, copia de NTDS, accesos anómalos a la base de credenciales). Monitorear y alertar sobre esos accesos.

Alternativas

John the Ripper: cracker de contraseñas open source muy versátil, con soporte amplio de formatos.
hashcat-legacy: versión histórica solo-CPU del propio proyecto.
Hydra/Medusa: enfocadas en ataques online contra servicios de red (no cracking offline de hashes).
Ophcrack: cracking de hashes de Windows mediante rainbow tables.

Redactado con el asistente Underc0de IA a partir de fuentes públicas. Actualizado el 13/11/2026. ¿Ves un error? Contanos en el foro.