Estoy seguro de que en más de una oportunidad te topaste con el desafío de generar un reporte después de realizar el proceso de password cracking, ya sea con Hashcat o John The Ripper, cuyo objetivo de este proceso es demostrar a los clientes la debilidad principal que tiene sus políticas de contraseñas.

Pipal es una herramienta que te permite generar un resultado, pero lastimosamente es en texto claro, no llegamos a obtener una gráfica que permita tener algo más elaborado, por Twitter vi la herramienta creada por Orange Cyberdefense la cual es GraphCat que nos permite realizar un reporte, los detalle podrás verlos en esta entrada, además que también se realizó un video de ejemplo del proceso desde la instalación.

Graphcat

Graphcat es un script desarrollado en Python que nos permite generar un reporte en PDF del resultado de credenciales que se crearon a través de John The Ripper y Hashcat siendo nuestra fuente de acceso el fichero potfile que es donde se almacena los credenciales que fueron previamente crackeados y al momento de realizar un nuevo proceso de password cracking primero se consulta si algún hash de los nuevos se encuentran en este fichero.

A continuación procedo a explicar el proceso de instalación y uso del script, aclarando que parte de la información se encuentra disponible en el repositorio de GitHub.

Instalación y uso

Instalación

Para la instalación necesitamos contar con git y python3, como dependencia tener pip para instalar los requerimientos para el funcionamiento.

1
2
3

git clone https://github.com/Orange-Cyberdefense/graphcat
cd graphcat
pip install .

Como menciono en el video puedes modificar el fichero graphcat.py para adicionar alguna información o modificar el reporte si es necesario.

Uso

Para utilizar necesitamos ejecutar el siguiente comando que nos generara el resultado.

1

graphcat.py -hashfile [hashes_file] -potfile [hashcat.potfile/john.potfile]

Formatos soportados

Soporta 3 formatos al momento de generar el reporte, los cuales son:

1. Hash: Es decir, que requiere únicamente un listado de hashes para realizar la comparación.
2. Usuario + hash: El formato como lo mencionamos debe de ser usuario:aad3b435b51404eeaad3b435b51404ee para que el script realice el proceso.
3. Secretsdump: Después de realizar un secretsdump podemos pasar directamente el fichero para que sea analizado.

Generación de Reporte

El fichero PDF que generamos contiene un detalle de cantidad de Hashes siendo esto totalmente detallado en la siguiente captura tenemos un breve resultado.

Generación de reporte (Imágenes)

En el caso de que deseemos solo generar las gráficas para usarlo en un reporte lo realizamos a través del comando export-charts especificando un directorio de salida con output-dir

Demo

Ya que andamos últimamente generando el video adicionalmente, realizamos el detalle respectivo del uso del script en el canal de YouTube.

Conclusiones

Si mostramos este reporte a un ejecutivo demostrando la cantidad de credenciales que son débiles o directamente que tan fácil es adivinar, pueden comprender lo importante que es contar con políticas de contraseñas sólidas y robustas, y con este reporte que realizamos en esta entrada demostramos esa necesidad de implementar medidas adicionales de seguridad.

Espero te guste el post y el video que realizamos para demostrar el proceso y flujo de uso de la herramienta.

Regards,
Snifer