JTRの真の力を全然わかっていなかったので記録に残しておきます。
MACでのzipのパス解析はいくらでも検索がヒットする一方で、rarのパス解析はなかなか難儀しました。LinuxであればRarCrackというツールがあるそうですが、ソースから引っ張ってMACでコンパイルしても動きませんでした。*1
四苦八苦してるうちにJTRでもrarのパス解析ができることがわかりました。JTRは指定された形式になっているパスファイルならば解析可能ということで、rarもファイルからパスを抽出してその形式でファイルに出力すればJTRでも読み込めます。そのパスファイルを作成してくれるツールをサードパーティが作っており、JTRのcommunity-enhanced versionに含まれています。
まずダウンロードしてから解凍。
$ mkdir tmp $ cd tmp $ wget http://www.openwall.com/john/j/john-1.8.0-jumbo-1.tar.xz $ tar xfz john-1.8.0-jumbo-1.tar.gz
srcフォルダにサードパーティが作った様々なツールのソースコードがあるのでmakeします。そのうちの1つが目的のrar2johnです。
$ cd john-1.8.0-jumbo-1/src/ $ ./configure $ make
実行ファイルはrunフォルダにあります。
$ cd ../run
パス解析のやり方はパスファイル作成で途中下車して、それをJTRに任せるという流れです。
$ ./rar2john ../test.rar > ../rar.hashes
$ ./john ../rar.hashes
デフォルトですと
1. ファイルの名前によるパス予想
2. 辞書攻撃
3. 総当り攻撃
のようです。
オプションを付ければ細かい設定ができます。
# singleモード(1.) $ ./john --single ../rar.hashes # 辞書攻撃 $ ./john --wordlist=password.lst ../rar.hashes # 総当り攻撃 $ ./john --incremental ../rar.hashes
実際の実行の様子です。パスワードはdog。
$ ./john ../testrar.hashes Warning: detected hash type "rar", but the string is also recognized as "rar-opencl" Use the "--format=rar-opencl" option to force loading these as that type instead Loaded 1 password hash (rar, RAR3 [SHA1 AES 32/64]) Press 'q' or Ctrl-C to abort, almost any other key for status 0g 0:00:00:02 0.92% 1/3 (ETA: 06:46:10) 0g/s 32.70p/s 32.70c/s 32.70C/s Rar.tsetr 0g 0:00:01:41 17.47% 1/3 (ETA: 06:52:12) 0g/s 35.20p/s 35.20c/s 35.20C/s Ttxt< 0g 0:00:08:49 81.79% 1/3 (ETA: 06:53:20) 0g/s 32.80p/s 32.80c/s 32.80C/s Testtxt1234 dog (test.rar) 1g 0:00:12:56 DONE 2/3 (2016-02-28 06:55) 0.001288g/s 31.77p/s 31.77c/s 31.77C/s dog Use the "--show" option to display all of the cracked passwords reliably Session completed
1ステージ目のファイル名からは類推できず、2ステージ目の辞書攻撃でdogと判明したようです。 ちなみに実行中に適当なキーを打つことで途中経過を見れます。
今回はrar2johnを使用しましたが、zip2johnを使用すれば全く同じようにzipファイルでパス解析できます。
