¿Son útiles los servicios online de cracking de passwords?

Buenas a todos, en el post de hoy quería hablaros de los servicios de cracking de passwords. Esos servicios que pueden salvarnos en un pentest, cuando no tenemos a mano un equipo con unas buenas rainbowtables, ni una buena GPU, ni nada con lo que definitivamente intentar crackear esos hashes que con tanto esfuerzo hemos logrado conseguir, y que de poco servirían sin un crackeo a tiempo.

En Internet existen centenares de servicios gratuitos (en parte), que nos pueden ser de utilidad. Con una sencilla búsqueda en Google encontraréis muchas opciones igualmente válidas. La gran mayoría suelen ser gratuitos de forma parcial, es decir, si la contraseña es sencilla (aproximadamente menos de 8 caracteres), no cobran por el servicio. Pero si es mayor solicitan abonar de 3€ en adelante. Personalmente no lo veo caro, ya que por el precio de una caña te pueden resolver una papeleta, pero cómo la contraseña sea compleja... raro es que en el tiempo que solemos requerir nos den la resolución. Por ello lo más recomendable siempre es contar una o varias máquinas dedicadas en un laboratorio de pruebas, a las que poder acceder de forma remota (y segura), siempre y en todo lugar, y de las que poder tirar en un pentest, allá donde estemos.

Por ver un ejemplo de servicio online que nos podría sacar de un apuro, probaré el de onlinehashcrack.com.

Se lo pondremos sencillo, y para comenzar calcularemos el hash md5 de la palabra word:

Los hashes de un md5 de una pass de 4 letras son instantáneos, por lo que no debería tener problemas para resolverlos y enviarnos una respuesta.

Efectivamente, en menos de 1 minuto nos indica que ha resuelto el reto:

Y nos envía un email:

A continuación se lo pondremos algo más difícil, y le subiremos el nº de caracteres a 8 (sin meter símbolos):

Y pasan las horas... sin obtener un resultado:

Ya no digamos si intentamos probar con contraseñas con símbolos, o mayores a 10 caracteres. Cierto es que en muchos de estos servicios, con un usuario de pago nos añadirían a colas prioritarias de procesamiento, con las que el procedimiento sería más ágil. También podría darse la casualidad de que el hash localizado sea una palabra común, que estos servicios podrían identificar en poco tiempo (por ello siempre recomiendo probar), aunque sin duda nada como tener nuestro sistema de cracking en casa ;)

Saludos!