Password Cracking Guide 2026: Hashcat, John the Ripper und Wordlists

Password Cracking ist ein Kernbestandteil jedes Penetrationstests — nach dem Erlangen von Hash-Daten aus einem Datenbankdump oder NTLM-Hashes aus einer Active Directory-Kompromittierung. Das Ziel: Klartextpasswörter aus Hashes extrahieren, um den tatsächlichen Schaden einer Kompromittierung zu demonstrieren.

Wichtiger Hinweis: Alle hier beschriebenen Techniken dürfen ausschließlich im Rahmen autorisierter Penetrationstests oder gegen eigene Systeme eingesetzt werden.

Hash-Typen identifizieren

Bevor das Cracking beginnt, muss der Hash-Typ bestimmt werden:

# hash-identifier (Kali Linux vorinstalliert)
hash-identifier
# Hashcat example hashes referenz
# hashcat --example-hashes | grep -A2 "MD5"

# Beispiel-Hashes
# MD5: 5d41402abc4b2a76b9719d911017c592
# SHA-256: 2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824
# bcrypt: $2b$12$abcdefghijklmnopqrstuvuuuuuuuuuuuuuuuuuuuuuuuuuuuuu
# NTLM: b4b9b02e6f09a9bd760f388b67351e2b

Hashcat-Hash-IDs für häufige Typen:

• -m 0 → MD5
• -m 100 → SHA-1
• -m 1000 → NTLM (Windows)
• -m 1800 → sha512crypt (Linux /etc/shadow)
• -m 3200 → bcrypt
• -m 13100 → Kerberos 5 TGS-REP (Kerberoasting)
• -m 22000 → WPA-PBKDF2-PMKID+EAPOL

Hashcat: Der GPU-Standard

Installation auf Kali Linux

sudo apt install hashcat -y
# GPU-Treiber (NVIDIA CUDA oder AMD ROCm) separat installieren
hashcat -I  # Installierte Geräte anzeigen

Grundlegende Hashcat-Modi

Mode 0: Dictionary Attack (Wörterbuch)

hashcat -m 0 -a 0 hashes.txt /usr/share/wordlists/rockyou.txt
# -m 0 = MD5, -a 0 = Dictionary, hashes.txt = Datei mit Hashes

Mode 3: Brute-Force / Mask Attack

# ?l = Kleinbuchstabe, ?u = Großbuchstabe, ?d = Ziffer, ?s = Sonderzeichen
hashcat -m 0 -a 3 hashes.txt ?u?l?l?l?l?l?d?d
# Alle Passwörter nach Muster: Großbuchstabe + 5 Kleinbuchstaben + 2 Ziffern

Mode 6: Hybrid (Dictionary + Mask)

hashcat -m 0 -a 6 hashes.txt rockyou.txt ?d?d?d?d
# Wort aus Liste + 4 Ziffern (häufiges Muster: password2024)

Rules: Power-User-Funktion

Rules transformieren Wörterbucheinträge automatisch:

hashcat -m 0 -a 0 hashes.txt rockyou.txt -r /usr/share/hashcat/rules/best64.rule
# best64.rule probiert 64 Variationen jedes Wortes: Großbuchstaben, Leet-Speak, Zahlen-Suffix

Eigene Rules erstellen:

# rule-datei: meine_rules.rule
$1          # fügt "1" am Ende an
$!          # fügt "!" am Ende an  
c           # Ersten Buchstaben großschreiben
l           # Alles kleinschreiben

John the Ripper

Einfachere Syntax, gut für den Einstieg und automatische Hash-Erkennung:

# Automatische Hash-Erkennung
john hashes.txt

# Mit Wordlist
john --wordlist=/usr/share/wordlists/rockyou.txt hashes.txt

# Linux /etc/shadow direkt (unshadow kombiniert passwd + shadow)
unshadow /etc/passwd /etc/shadow > unshadowed.txt
john unshadowed.txt

# Windows NTLM Hashes (aus secretsdump)
john --format=nt hashes.txt --wordlist=rockyou.txt

# Bereits gecrackte Passwörter anzeigen
john --show hashes.txt

Wordlists und Ressourcen

Standard-Wordlists (Kali Linux vorinstalliert)

ls /usr/share/wordlists/
# rockyou.txt.gz — nach Entpacken: 14 Millionen Passwörter
gunzip /usr/share/wordlists/rockyou.txt.gz

SecLists (Community-Wordlists)

sudo apt install seclists
ls /usr/share/seclists/Passwords/
# Common-Credentials/, Default-Credentials/, Leaked-Databases/

Eigene Wordlists mit CeWL generieren

CeWL crawlt eine Website und erstellt Wordlists aus den gefundenen Wörtern — ideal für unternehmens-spezifische Begriffe:

cewl https://beispielunternehmen.de -m 6 -d 2 -w unternehmens-wordlist.txt
# -m 6: Mindestwortlänge 6, -d 2: Link-Tiefe 2

Praktische Szenarien im Penetrationstest

Nach NTLM-Hash-Dump (Active Directory)

# Nach erfolgreichem secretsdump oder mimikatz
hashcat -m 1000 ntlm_hashes.txt rockyou.txt -r best64.rule
# NTLM-Hashes: Format NTLM:Hash oder Hash alleine

Nach SQL Injection Datenbankdump

# MySQL MD5-Hashes identifizieren
hashcat -m 0 mysql_hashes.txt rockyou.txt
# WordPress bcrypt Hashes
hashcat -m 3200 wp_hashes.txt rockyou.txt
# bcrypt ist SEHR langsam — GPU hilft, aber nur ~15.000 Versuche/Sek bei bcrypt-$12

Kerberoasting-Hashes (aus AD)

hashcat -m 13100 kerberoast.txt rockyou.txt -r best64.rule

Defensive Erkenntnisse

Diese Übungen zeigen, warum moderne Passwort-Policies entscheidend sind:

• bcrypt/Argon2 statt MD5/SHA: Crack-Geschwindigkeit um Faktor 10.000 reduziert
• Passwortlänge > Komplexität: 16-stellige Passphrase sicherer als P@ssw0rd!
• Passwort-Manager: Ermöglicht lange, einzigartige Passwörter für jedes System
• MFA: Macht erbeutete Passwörter nutzlos

Vertiefen Sie Ihr Verständnis für Authentifizierungssicherheit mit den Pentevo-Kursen — Thema 4 behandelt Zugriffskontrollen und Authentifizierung im CEH-Kontext.