Password CrackerSådan knækker/gætter du en adgangskode

⚡ Smart opsummering

Adgangskodeknækkelse er praksissen med at gendanne legitimationsoplysninger ved systematisk at gætte, sammenligne eller beregne dem mod lagrede hashes. Denne oversigt forklarer, hvordan angribere opererer, de værktøjer de bruger, de styrkefaktorer, der modstår dem, og de kontroller, administratorer skal håndhæve.

🧭 FoundationPrincip: Adgangskoden er afhængig af længde, tegnkompleksitet og uforudsigelighed for at modstå brute-force og ordbogsgendannelse.
🔐 Hashing vs. kryptering: Gemte legitimationsoplysninger er beskyttet af envejs hashfunktioner såsom MD5, SHA-256 eller bcrypt i stedet for reversibel kryptering.
🎯 Almindelige angrebsteknikker: Ordbog, brute force, regnbuetabel, hybrid, spidering og legitimationsoplysninger udnytter forudsigelig menneskelig adfærd.
🛠️ Værktøjssæt til revner: John the Ripper, Hashcat, Cain & Abel, Ophcrack, og Hydra automatiserer offline og online gendannelse mod optagne hashes.
🤖 AI-drevne angreb: Generative modeller forudsiger realistiske adgangskoder fra lækkede dumps, hvilket dramatisk forbedrer ordbogens effektivitet mod svage legitimationsoplysninger.
🛡️ Defensive kontroller: Saltede hashes, multifaktorgodkendelse, lockout-politikker og adgangskodeadministratorer neutraliserer de fleste hackingforsøg i produktionsmiljøer.

Læs mere

Adgangskodeknækkelse er en af de ældste discipliner inden for offensiv sikkerhed, men den er stadig lige så relevant som altid, fordi brugerne fortsætter med at vælge forudsigelige hemmeligheder. I denne vejledning vil vi introducere de almindelige teknikker, som angribere bruger til at gendanne adgangskoder, de værktøjer, der automatiserer arbejdet, og de modforanstaltninger, som administratorer kan implementere for at beskytte systemer mod disse angreb.

Hvad er password cracking?

Adgangskodeknækkelse er processen med at forsøge at få uautoriseret adgang til et begrænset system ved at gendanne den hemmelighed, der beskytter en godkendelsesmekanisme. Knækkeprocessen kan involvere at sammenligne gemte adgangskode-hashes med en forudberegnet ordliste eller køre algoritmer, der genererer kandidatadgangskoder, indtil et match findes. Når et match er opdaget, kan angriberen godkende sig som en legitim bruger uden nogensinde at gætte online.

Hvad er adgangskodestyrke?

Adgangskodestyrke er et mål for en adgangskodes effektivitet til at modstå angreb fra adgangskodeknækkere. Styrken af enhver adgangskode bestemmes af tre egenskaber:

Længde: det samlede antal tegn, som adgangskoden indeholder.
kompleksitet: om den bruger en kombination af store bogstaver, små bogstaver, tal og symboler.
Uforudsigelighed: om adgangskoden let kan gættes af en angriber, der kender brugeren.

Lad os sammenligne tre adgangskoder: adgangskode, password1og #adgangskode1$I dette eksempel bruger vi cPanel's indikator for adgangskodestyrke. Billederne nedenfor viser styrken af hver kandidat.

Bemærk: Den anvendte adgangskode er adgangskode; styrken er 1, hvilket er meget svag.

Bemærk: Den anvendte adgangskode er password1; styrken er 28, hvilket stadig er svagt.

Bemærk: Den anvendte adgangskode er #adgangskode1$Styrken er 60, hvilket er stærk. Jo højere styrketallet er, desto bedre er adgangskoden.

Antag nu, at vi skal gemme de samme adgangskoder ved hjælp af MD5-hashing. Vi bruger en online MD5-hashgenerator til at konvertere hver adgangskode til dens hashværdi. Tabellen nedenfor viser de resulterende hashes.

Adgangskode	MD5 Hashing	cPanel styrkeindikator
adgangskode	5f4dcc3b5aa765d61d8327deb882cf99	1
password1	7c6a180b36896a0a8c02787eeafb0e4c	28
#adgangskode1$	29e08fb7103c327d68327f23d8d9256c	60

Vi vil nu bruge et offentligt MD5 reverse-lookup-websted til at knække ovenstående hashes. Billederne nedenfor viser resultaterne af adgangskodeknækkelsen for hver værdi.

Som du kan se af ovenstående resultater, lykkedes det os at knække den første og anden adgangskode, som havde lavere styrketal. Det lykkedes os ikke at knække den tredje adgangskode, som var længere, mere kompleks og uforudsigelig. Den havde også en højere styrketal.

Teknikker til at knække adgangskode

Der findes adskillige dokumenterede teknikker, som angribere bruger til at gendanne adgangskoder. Vi beskriver de mest almindeligt anvendte kategorier nedenfor.

Ordbogsangreb: Denne metode bruger en ordliste over sandsynlige kandidater og sammenligner hver enkelt med registrerede brugeradgangskoder eller adgangskodehashes.
Brut force-angreb: Brute force-angreb kombinerer alfanumeriske tegn og symboler ved hjælp af algoritmer for systematisk at generere alle mulige adgangskoder, indtil der findes et match. For eksempel en adgangskode som f.eks. adgangskode kan også prøves som p@$$ord ved hjælp af en hybrid brute force-regel.
Angreb på regnbuebordet: Denne metode er afhængig af forudberegnede hashes. Antag, at en database gemmer adgangskoder som MD5-hashes. Angriberen opretter en anden tabel, der gemmer MD5-hashes af almindelige adgangskoder og sammenligner den registrerede hash med den forudberegnede tabel. Hvis der findes et match, gendannes adgangskoden.
Gætte: Som navnet antyder, involverer denne metode gæt. Adgangskoder som f.eks. qwerty, adgangskodeog admin bruges ofte eller er standardindstillinger. Hvis de ikke er blevet ændret, kan de hurtigt blive kompromitteret.
Edderkopfiskeri: De fleste organisationer bruger adgangskoder, der indeholder virksomhedsoplysninger. Disse oplysninger kan hentes fra virksomhedswebsteder og sociale medier som Facebook og Twitter. Spidering indsamler data fra disse kilder for at opbygge målrettede ordlister, som derefter bruges i ordbogs- og brute-force-angreb.
Credential fyld: Angribere afspiller brugernavn- og adgangskodepar, der er lækket fra ét brud, mod uafhængige tjenester og udnytter brugere, der genbruger legitimationsoplysninger.

En ordliste med søgeord til en fiktiv virksomhed kunne indeholde: 1976 (grundlæggerens fødselsår); smith, jones (efternavne); acme (firmanavn); built, to, last (vision-nøgleord); golf, skak, fodbold (hobbyer).

Tabellen nedenfor sammenligner teknikker efter hastighed, forudsætninger og detekterbarhed.

Teknik	Speed	Kræver du hash?	Kan spores online?
ordbog	Hurtigt	Valgfri	Ja
Råstyrke	Langsom	Valgfri	Ja
Regnbue bord	Meget hurtig	Ja	Nej (offline)
Gætte	Variabel	Ingen	Ja
Edderkopper	Langsom	Ingen	Ja
Legitimationsfyld	Hurtigt	Ingen	Ja

Password Cracker Værktøjer

Værktøjer til adgangskodeknækkere er softwareprogrammer, der automatiserer de ovenfor beskrevne teknikker. Vi har allerede berørt et sådant værktøj i styrkeeksemplet tidligere, hvor et offentligt MD5-opslag bruger en regnbuetabel til at vende almindelige hashes. Vi vil nu se på yderligere værktøjer, som praktikere bruger under autoriserede vurderinger.

1) John the Ripper
John the Ripper bruger kommandoprompten og accepterer ordlister med regler til at generere kandidater. Den registrerer automatisk mange almindelige hashformater. Programmet er gratis, mens kuraterede kommercielle ordlister er tilgængelige separat. Besøg https://www.openwall.com/john/.

2) Cain & Abel
Cain & Abel kører på Windows og gendanner brugeradgangskoder, udfører netværkssniffing og mere. Dens grafiske brugerflade gør det populært blandt nybegyndere. Værktøjet er ikke blevet aktivt vedligeholdt siden 2014, så brug det kun på ældre laboratoriesystemer. Se https://sectools.org/tool/cain/.

3) Ophcrack
Ophcrack er en cross-platform Windows adgangskodeknækker, der bruger regnbuetabeller. Den kører på Windows, Linux og macOS, og inkluderer et brute force-modul. Besøg https://ophcrack.sourceforge.io/.

4) Hashcat
Hashcat er den moderne standard til offline adgangskodegendannelse. Den understøtter over 300 hash-algoritmer, udnytter GPU-acceleration og tilbyder regelbaserede angreb. Dokumentationen findes på https://hashcat.net/hashcat/.

5) Hydra
Hydra (THC-Hydra) er rettet mod onlinetjenester såsom SSH, FTP, RDP og HTTP loginformularer. Den leveres med Kali Linux og bruges i vid udstrækning i autoriserede operationer med rødt hold.

Hvordan beskytter man mod angreb, der knækker adgangskode?

En organisation kan bruge følgende foranstaltninger til at reducere risikoen for, at adgangskoder bliver knækket:

Kræv mindst 12 tegn, og undgå forudsigelige mønstre som f.eks. 11552266 eller qwerty1234.
Gem adgangskoder med en langsom envejs hashfunktion såsom bcrypt, scrypt eller Argon2 i stedet for hurtige hashes såsom MD5 eller SHA-1.
Salt alle adgangskoder før hashing; salts omgås opslag i regnbuetabeller, selv når selve hashen er hurtig.
Anvend adgangskodepolitikker, der favoriserer høje styrkescorer og fremmer adgangsfraser, som anbefalet af NIST SP 800-63B.
Aktivér multifaktorgodkendelse (MFA), så en stjålet adgangskode alene ikke giver adgang.
Brug en adgangskodeadministrator til at generere unikke legitimationsoplysninger for hver tjeneste og neutralisere angreb med legitimationsoplysninger.
Konfigurer kontospærring, begrænsning og kontinuerlig overvågning for at opdage online brute force-aktivitet tidligt.

Hacking-aktivitet: Hack nu!

I dette praktiske scenarie vil vi knække en Windows konto, der bruger en simpel adgangskode. Windows gemmer lokale legitimationsoplysninger som NTLM-hashes (en MD4-baseret ordning), og vi vil bruge NTLM-crackermodulet i Cain og Abel til at gendanne værdien.

Kain og Abel kan knække adgangskoder ved hjælp af et ordbogsangreb, brute force eller kryptanalyse (forudberegnede tabeller). Vi bruger ordbogsangrebet her. Download ordlisten 10k-Most-Common.zip fra et velrenommeret spejl. Til denne demonstration oprettede vi en konto kaldet Konti med adgangskoden qwerty på en Windows 7 laboratoriemaskiner.

Hvordan man knækker en adgangskode

Gennemgangen nedenfor parrer hver Kain- og Abel-skærm med den handling, der skal udføres. Følg trinnene i rækkefølge mod din egen laboratoriekonto, aldrig mod et system, du ikke ejer.

Trin 1) Åbn Kain og Abel.
Start applikationen; du vil se følgende hovedskærm.

Trin 2) Find knappen Tilføj.
Sørg for, at fanen Cracker er valgt som vist ovenfor, og klik på knappen Tilføj på værktøjslinjen.

Trin 3) Vælg importkilden.
Følgende dialogboks vises. Vælg Importer hash fra lokalt system og klik på Næste.

Trin 4) Revse de importerede konti.
Lokale brugerkonti er angivet som følger. De nøjagtige resultater vil afspejle brugerkontiene på din laboratoriemaskine.

Trin 5) Højreklik på målkontoen.
Højreklik på den konto, du vil cracke. I denne vejledning bruger vi Konti bruger.

Trin 6) Åbn ordbogsangrebspanelet.
I ordbogsangrebsvinduet skal du højreklikke i ordbogssektionen og vælge Føj til liste som vist nedenfor.

Trin 7) Gå til ordlistefilen.
Gå til 10k-mest-almindelige.txt filen, du lige har downloadet, og vælg den.

Trin 8) Revse den gendannede adgangskode.
Hvis brugeren vælger en simpel adgangskode, f.eks. qwerty, vil du se resultater svarende til skærmen nedenfor, med klartekstværdien ud for brugerkontoen.

Bemærk: Den tid, det tager at knække en adgangskode, afhænger af adgangskodens styrke, kompleksiteten af kandidatlisten og din maskines processorkraft. Hvis ordbogsangrebet ikke gendanner adgangskoden, kan du prøve et brute force- eller kryptanalyseangreb.

Hvordan AI er Reshaping Adgangskodeknækkelse og forsvar

Kunstig intelligens er blevet en seriøs kraft på begge sider af adgangskodeknækket teknologi. Angribere træner sprogmodeller på lækkede legitimationsoplysninger for at forudsige realistiske adgangskoder, mens forsvarere parrer de samme modeller med telemetri-pipelines for at opdage kompromittering hurtigere.

Sådan ændrer AI feltet i dag:

Smartere generering af ordlister: Generative modeller som PassGAN lærer menneskelige adgangskodemønstre og producerer kandidatlister, der knækker flere hashes end statiske ordbøger.
Adfærdsrisikovurdering: Defensiv AI inspicerer logingeografi, enhedens fingeraftryk og typing rytme, der sender usædvanlige kontekster til optrappet godkendelse.
Anomalidetektion i realtid: Maskinlæringsklassifikatorer overvåger godkendelseslogfiler og markerer udfyldning af legitimationsoplysninger eller langsomme brute-force-kampagner, som signaturregler overser.
Automatiseret politikcoaching: Identitetsplatforme vurderer nye adgangskoder i forhold til organisationsspecifikke korpuser og foreslår stærkere erstatninger, før brugerne færdiggør dem.
Phishing-resistent forsvar: AI accelererer udrulningen af FIDO2- og adgangsnøgleflows ved at analysere risikosignaler og reducere brugerfriktion.

Kombinér AI-overvågning med multifaktor-godkendelse, moderne hashing som Argon2 og hurtige feeds med notifikationer om brud for at holde automatiseret forsvar foran automatiseret angreb.

Ofte Stillede Spørgsmål

Adgangskodeknækkelse er kun lovligt, når det udføres med udtrykkelig skriftlig tilladelse, f.eks. i forbindelse med penetrationstest, interne revisioner eller gendannelse af dine egne legitimationsoplysninger. Uautoriseret knækkelse overtræder love om computermisbrug i næsten alle jurisdiktioner.

Hashing er en envejstransformation: den oprindelige værdi kan ikke gendannes. Kryptering er reversibel med den rigtige nøgle. Adgangskoder bør altid gemmes som saltede hashes ved hjælp af algoritmer som bcrypt, scrypt eller Argon2, aldrig som krypterede strenge.

Til offline cracking, Hashcat er generelt den hurtigste, fordi den bruger GPU-acceleration og understøtter regelbaserede angreb på tværs af mere end 300 hashformater. John the Ripper forbliver populær, når GPU-ressourcer er begrænsede.

En salt-værdi er en unik, tilfældig værdi, der tilføjes til hver adgangskode, før den hashes. Salting modvirker regnbuetabelangreb, fordi præberegnede tabeller kun virker mod usaltede hashes. Salte sikrer også, at to brugere med den samme adgangskode producerer forskellige gemte værdier.

En adgangskode på 12 tegn, der blander bogstaver, tal og symboler, kan tage århundreder at bruge brute force mod en langsom hashkode som bcrypt. Mod en hurtig, usaltet MD5 kan den samme adgangskode blive ødelagt i dagevis. Hashvalg og -længde er begge vigtige.

Angribere træner generative modeller som PassGAN på lækkede legitimationsoplysninger, så de forudsiger realistiske menneskelige adgangskoder. De resulterende ordlister knækker mærkbart flere hashes end statiske ordbøger i løbet af samme runtime, især når de parres med regelbaserede mutationer i Hashcat.

Ja. Defensiv AI baserer normal loginadfærd, scorer risiko for hvert forsøg og markerer bølger af legitimationsoplysninger eller langsomme brute-force-kampagner, som motorer overser. Kombiner AI-overvågning med multifaktorgodkendelse og moderne hashing som f.eks. Argon2 for at opnå de stærkeste resultater.

Multifaktor-godkendelse blokerer langt de fleste hacking-resultater, fordi en gendannet adgangskode alene ikke kan fuldføre login. Phishing-resistente faktorer såsom FIDO2-sikkerhedsnøgler og adgangsnøgler giver den stærkeste beskyttelse og bør aktiveres, hvor det er muligt.