Estoy buscando recursos como una competencia de craqueo de hash, pero sin conexión. Más como una lista de práctica de "contraseñas" especialmente diseñadas con el fin de probar varias técnicas de craqueo. Actualmente estoy clasificando el tiempo de ejecución y la efectividad de los ataques basados en máscaras y planeo aprender a escribir reglas JtR / Hashcat.
¿Hay algún "criterio" para la eficacia de las listas de palabras / reglas / máscaras?
Tienes la idea correcta: esta es una excelente manera de aprender.
Para las grietas de inicio e intermedias, las mejores listas generales de contraseña son listas reales de contraseñas, las que se encuentran en filtraciones con grandes bases de usuarios generales. Y las listas de mejores prácticas generales de hash son los hashes de las filtraciones públicas.
Su mejor "bang for the buck", en mi opinión, es las listas "left" y "found" de hashes.org (los "fundamentos" se combinan en varios archivos comprimidos en la parte inferior de la página). Las listas más antiguas se "congelan" una vez que finaliza el año, por lo que una vez que descargue las más antiguas, solo tendrá que descargar este año de vez en cuando. También verá algunos archivos "basura" enumerados allí. Son menos eficientes, pero también pueden ser interesantes para jugar después de agotar otros ataques.
Para la evaluación comparativa, el índice Weakpass wordlist compara la eficacia de la lista de palabras utilizando el best64 conjunto de reglas contra algunos objetivos. En esa lista, puede ver que la eficiencia general en comparación con el tamaño de la lista es bastante buena para la lista de hashes.org combinada. (Pero descárguelo directamente desde hashes.org para obtener el más reciente).
Más allá de hashes.org, todas las demás cadenas generadas por humanos son un excelente forraje, incluyendo:
Consulte también página de contraseñas de SkullSecurity para obtener información sobre posibles clientes potenciales, y prueba de eficiencia de ataque de g0tmi1k , que suena similar a lo que estás planeando.
Lea otras preguntas en las etiquetas password-cracking hashcat