{{tag>sysadmin sécurité brut-force password}}

====== John The Ripper ======

Logiciel open-source, conçu à l'origine pour identifier les mots de passes utilisateurs faibles sur les systèmes Unix en essayant de les décrypter. Il supporte aujourd'hui un grand nombre de hachages et de chiffrements. Il peut être utilisé pour éprouver la sécurité de fichiers chiffrés divers.

===== Installation =====

On clone le dépôt git officiel:

<code bash>
sudo mkdir /opt/johnTheRipper
sudo chown user:user /opt/johnTheRipper 
git clone https://github.com/magnumripper/JohnTheRipper.git /opt/johnTheRipper/
</code>

On génère les binaires, consulter doc/INSTALL pour les prérequis et les options:

<code>
# le paquet libssl-dev contient les entêtes openssl nécessaires à la compilation 
sudo apt-get install libssl-dev

cd src
./configure
make
</code>

Les binaires sont placés dans le répertoire ./run, le path de l'utilisateur peut être mis à jour:
<code bash>
export PATH=$PATH:/opt/johnTheRipper/run
</code>

<note>
Pour que JohnTheRipper fonctionne correctement, il faut l'invoquer avec le chemin absolu. Le répertoire run contient également des fichiers configuration et des enregistrements des précédentes invocations (hachages et chiffrements résolus). Le plus simple est de définir un alias.
</note>

<code bash>
alias john='/opt/johnTheRipper/run/john'
</code>

===== Usage =====

En seul argument, john a besoin du  fichier contenant le hachage ou la version chiffrée du mot de passe. Plusieurs fichiers peuvent être spécifiés. Sans options supplémentaires, si les fichiers sont valides, john consulte le fichier john.conf et applique le comportement par défaut.

<code>
john hash.txt
</code>

Dans ce cas, le fichier est soumis à la wordlist déclarées dans le fichier de configuration (password.lst). Si aucune correspondance n'est trouvée, john passe en mode incrémental, il essaie toutes les combinaisons. Son exécution se poursuivra jusqu’à ce qu'il trouve ou soit interrompu.

==== Utiliser une wordlist ====

La tentative de décryptage basée sur les wordlists est la première étape. C'est la plus efficace pour identifier rapidement les mots de passe faibles. La section ressources propose quelques liens. Une fois les wordlists téléchargées et décompressées, on les utilise via l'option %%--wordlist%%.

<file>
john --wordlist=/path/to/wordlist hash.txt
</file>  


Le wiki [[software:applications:john:decrypter-fichiers-ms-office|cracker un fichier MS Office]] illustre l'utilisation de john pour décrypter un fichier MS Excel.

==== Quelques options ====

^ %%--rules%%          | Permet d'utiliser des règles de transformations s'appliquant sur chaque entrée de la wordlist. |
^ %%--verbosity%%      | Modifier la verbosité des messages de 1 à 5. |
^ %%--progress-every%% | Afficher périodiquement l'état d'avancement. |


==== Exemples ====



===== Ressources =====

Les attaques en force brute s'appuient sur des wordlists:
  * https://hashes.org
  * https://download.openwall.net/pub/wordlists/
  * https://wiki.skullsecurity.org/Passwords
  * http://www.infosecisland.com/blogview/11968-Brute-Forcing-Passwords-and-Word-List-Resources.html


===== Références =====

  * https://www.openwall.com/john/
  * https://github.com/magnumripper/JohnTheRipper
  * https://null-byte.wonderhowto.com/how-to/crack-password-protected-microsoft-office-files-including-word-docs-excel-spreadsheets-0193959/