John the Ripper y fcrackzip — Crackeo de Hashes y ZIP

1. Operational Scope & Technical Objective

john (John the Ripper) y fcrackzip convierten artefactos protegidos —ZIP cifrado, hashes Kerberos, dumps de contraseñas— en texto claro mediante ataque por diccionario. El principio operativo: cada formato necesita su conversor a un hash "plano" (zip2john, krb5asrep vía GetNPUsers.py), y después john se alimenta con la wordlist. El flujo formato -> hash -> john es la cadena que resuelve el 80% de los retos de cracking en un engagement.

2. High-Impact Syntax & Command Cheatsheet

# Fuerza bruta de un ZIP con diccionario (fcrackzip)
fcrackzip -D -p /usr/share/wordlists/rockyou.txt myplace.zip
#  -D      -> modo diccionario (no brute force por caracteres)
#  -p      -> wordlist a usar
#  -u      -> añadir este flag para verificar el password probando la descompresión

# Crackeo de ZIP con john (flujo: convertir hash -> john)
zip2john myfile.zip > johnkey        # extrae el hash del ZIP a formato john
john johnkey --wordlist=/usr/share/wordlists/rockyou.txt
#  john johnkey           -> crackea el hash convertido
#  --wordlist=...         -> ataque por diccionario
#  john --show johnkey    -> muestra el password recuperado

# Crackeo de un hash Kerberos krb5asrep (AS-REP roasting)
john --format=krb5asrep alfresco.kerb --wordlist=/usr/share/wordlists/rockyou.txt
#  --format=krb5asrep     -> fuerza el formato de hash (evita el autodetect)
#  alfresco.kerb          -> hash AS-REP preauthentication (obtenido con GetNPUsers)

3. Real-World Offensive/Defensive Scenarios

AS-REP Roasting (Active Directory). Cuentas sin Kerberos pre-authentication devuelven un TGT cifrable offline. Se extraen sus hashes krb5asrep con Impacket (GetNPUsers.py DOMAIN/userlist -no-pass) y se crackean con john --format=krb5asrep: una contraseña débil de servicio se convierte en credencial de dominio sin ningún intento de login.

ZIP cifrado en el objetivo. Backups .zip con password son una fuente habitual de credenciales/documentos. fcrackzip -D -p rockyou para password débiles; si el ZIP usa cifrado viejo (ZipCrypto), además del diccionario el hash zip2john permite atacar con reglas/masks en john.

Defensa. La defensa es directamente la política de contraseñas: cuentas de servicio con frases largas y aleatorias rompen el ataque por diccionario (el AS-REP Roasting no se mitiga desactivando la pre-auth, sino endureciendo la contraseña). Para ZIP/ficheros, cifrado moderno (AES-256, no ZipCrypto) y passphrases fuera de diccionario. Monitoriza el ruido de GetNPUsers/AS-REP en los logs de Kerberos (evento 4768 sin pre-auth) como señal de roasting.