John the Ripper (I): comprueba la fortaleza de tu contraseña en Ubuntu

logo_jackJohn the Ripper es un programa que nos permite recuperar contraseñas a partir de los datos que existen en nuestro sistema. Actualmente está disponible para Unix/Linux, Windows, DOS, BeOS y OpenVMS. El propósito principal de esta herramienta es la detección se contraseñas débiles por parte del administrador del sistema.

John the Ripper no es un simple programa de cracking de contraseñas por fuerza bruta, dispone de varios modos de funcionamiento que permiten una búsqueda “inteligente” de las contraseñas más inseguras. Por ejemplo, el modo single prueba como contraseñas candidatas el nombre de usuario, el nombre real, el nombre del home y combinaciones de estos nombres con números y letras.

Sin embargo, para entender cómo funciona John lo mejor es utilizarlo. ¿Te animas?

Antes de empezar es conveniente que cuente que para este ejemplo he creado dos usuarios:

  • Javier Trotamundos que tiene como nombre de usuario “javier” y contraseña “trotamundos”. La contraseña forma parte de su nombre real.
  • Juan que tiene como nombre de usuario “juan” y contraseña “juan1982”. La contraseña es su nombre de usuario más una fecha.

Y ahora sí, vamos a ver los pasos para comprobar la calidad de nuestras passwords en Ubuntu:

  1. Actualizamos la información de los repositorios (es conveniente antes de instalar cualquier programa):

    sudo aptitude update

  2. Instalamos John the Ripper desde los repositorios de Ubuntu:

    sudo aptitude install john

  3. A continuación, combinamos los arhivos /etc/passwd y /etc/shadow con el comando unshadow en un nuevo archivo con el nombre mispasswords:

    sudo unshadow /etc/passwd /etc/shadow > mispasswords

  4. Por último, ejecutamos John the Ripper sobre el archivo que hemos creado con unshadow.

    john mispasswords

    Este comando, sin ninguna otra opción, prueba primero el modo single crack, después usa un diccionario con reglas y, por último, utiliza el modo incremental. De esta forma si la contraseña de cualquiera de los usuario del sistema es mala, John the Ripper la encontrará en “apenas unos segundos” (0:00:00) como se muestra en la imagen.

    John the Ripper

    John the Ripper encuentra las malas contraseñas casi instantáneamente

Una vez que conocemos el funcionamiento básico de John vamos a ver alguna de las opciones de las que disponemos:

  • John the Ripper guarda las contraseñas crackeadas en ~/.john/john.pot. Para mostrar estas contraseñas ejecutamos el siguiente comando:

    john --show mispasswords

  • Para usar solamente el modo single (este modo ) ejecutamos:

    john --single mispasswords

  • Para usar solamente el modo incremental ejecutamos:

    john --incremental mispasswords

  • Para usar solamente el modo diccionarios ejecutamos:

    john --wordlist=diccionario.lst --rules mispasswords

Podría ocurrir que al ejecutar el comando john mispasswords nos encontremos frente a este mensaje de error: “No password hashes loaded“. Este error se puede producir por alguno de los siguientes motivos:

  • El fichero de contraseñas que le estamos pasando a John no tiene las contraseñas. Esto se debe a que o bien no hemos escrito bien el nombre del fichero (mispasswords) o bien ha ocurrido algún tipo de error en el paso 3 (por ejemplo, se nos olvidó escribir el sudo).
  • Todas las contraseñas del fichero que se le pasa como parámetro (mispasswords) ya han sido crackeadas. Ejecutamos john --show mispasswords y las mostrará.

Espero que esto nos permita evitar el uso de contraseñas débiles.

También te puede interesar:

14 Responses to “John the Ripper (I): comprueba la fortaleza de tu contraseña en Ubuntu”


  1. 1 Paulo Lunes, 18 mayo 2009 a las 9:09 pm

    Junto con saludar, quisiera consultar lo siguiente, trabajo sobre un ubuntu 9.04, tengo los provilegios de root, y solo para conocer la aplicación sigo los pasos propuestos, pero me encuentro con el siguiente mensaje: “No password hashes loaded”. Como he copiado textual los comandos.. descarto que sea error de sintaxis.

    Espero me puedas ayudar.

  2. 3 orfeos Viernes, 29 mayo 2009 a las 2:08 pm

    Buenos días, muy buen aporte…
    Ya he usado algunos passwd y me dice q los a desencriptado pero bueno no se, intento hacerlo de nuevo y me sale ese error, busco con john –show mispasswords y no existe la carpeta o archivo, bueno ya no se, he leído por ahí mucho de esto y no hablan sobre donde mas puede estar la carpeta.. a agradecería que hicieras un manual y colocaras como hacer nuestro propio diccionario. gracias

  3. 4 nirvanareus Domingo, 7 junio 2009 a las 6:56 am

    Hola….tengo el mismo problema de Paulo y esta descartado lo que indicas al final del texto.

    • 5 &rés Domingo, 7 junio 2009 a las 9:01 am

      @nirvanareus
      Si no es eso, no sé qué puede ser. Te dejo con la FAQ oficial en la que se describe este fallo:

      Q: Why doesn’t John load my password file? It says “No password hashes loaded”.
      A: Your password file might be shadowed. You need to get both /etc/passwd and the shadow file (typically /etc/shadow), and combine them into one file for use with John. Please refer to EXAMPLES.
      A: All of the password hashes found in the file (that John recognizes as such) might be already cracked by previous invocations of John.
      A: The file you’re trying to run John on might in fact not be a password file at all.
      A: Your command line syntax might be wrong, resulting in John trying to load a wrong file.
      A: Your password file format or hash type(s) might not be supported by John, or at least by the version and build of John that you’re using. If you’re positive that this is the case, you may want to check the contributed resources list on John the Ripper homepage for a suitable patch and, if unsuccessful with that, post a note to the mailing list (see CONTACT) including a sample password file line that John does not load (please make sure that the password is already changed by the time you post).

  4. 6 n0n4m3 Martes, 10 noviembre 2009 a las 3:00 pm

    Hola
    buen tutorial
    solo que no se porque con ubuntu 9.04 me dice No password hashes loaded

    Sin embargo con debian 4.0 si que funciona

    un saludo

  5. 7 n0n4m3 Jueves, 26 noviembre 2009 a las 12:02 am

    No password hashes loaded en ubuntu 9.xx

    Esto sale porque el metodo de esta pagina es para sacar MD5
    Sino estoy equivocado ubuntu 9 usa SHA

    Voy hacer un manual de un video muy interesante que he visto y que funciona a la perfección.

    saludos

  6. 9 &rés Domingo, 28 marzo 2010 a las 4:40 pm

    En el nuevo artículo sobre John the Ripper ya se soluciona el problema de “No password hashes loaded”.
    Espero que os guste.
    Saludos.

  7. 10 Nibe Sábado, 9 octubre 2010 a las 7:55 pm

    Pero la gracia estaría en conseguir las contraseñas en un sistema en el que no tienes permisos de superusuario :p, si lo tienes ya no te hace falta el john the ripper.

    SALUDOS!


  1. 1 Acceder a cualquier equipo sin conocer la contraseña « Sliceoflinux’s Blog Trackback en Miércoles, 6 mayo 2009 a las 10:18 am
  2. 2 Como recuperar tu contraseña de Ubuntu « Slice of Linux Trackback en Domingo, 14 junio 2009 a las 11:58 am
  3. 3 John the Ripper (II): comprueba la fortaleza de tu contraseña en Windows « Slice of Linux Trackback en Viernes, 3 julio 2009 a las 9:04 am
  4. 4 John the Ripper (III): comprueba la fortaleza de tu contraseña en Ubuntu 9.10 « Slice of Linux Trackback en Viernes, 26 marzo 2010 a las 9:31 am

Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión / Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión / Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión / Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión / Cambiar )

Conectando a %s




Síguenos en Twitter

 

Sitios amigos:

Si has leído nuestro Acerca de, sabes que no publicamos ningún artículo práctico que no hayamos probado. Aún así, no podemos garantizar que en tu sistema funcione como en el nuestro.

Esta página no es de soporte. Compartimos lo que sabemos, pero si resolviésemos todas las dudas que recibimos, no podríamos hacer artículos nuevos. Por eso, si alguien plantea un problema, y sabes la respuesta, siéntete libre para comentarla.

Si tienes una duda y no obtienes respuesta, puedes recurrir a sitios específicos como ubuntu-es.org o Linux Q.

Creative Commons License
Esta obra está bajo una licencia de Creative Commons.


A %d blogueros les gusta esto: