Rules & Masks
GovCracker Praxis-Referenz

1. Grundkonzepte: Rules, Masks & Hybrid

GovCracker unterstützt alle Hashcat-Angriffsmodi über eine geführte Oberfläche ohne Kommandozeile. Die drei zentralen Angriffsprinzipien unterscheiden sich stark in Einsatzgebiet, Keyspace und Laufzeit – die richtige Wahl entscheidet über Erfolg oder Misserfolg.

Weitere Angriffsmodi

2. Masks & Built-in Charsets

Eine Mask ist eine Zeichenschablone. Jeder Platzhalter legt fest, welche Zeichen an der jeweiligen Position ausprobiert werden. Feste Zeichen können direkt eingebettet werden. Die Länge der Mask bestimmt die Kandidatenlänge (bei deaktiviertem Increment).

Built-in Charsets

Mask-Beispiele mit festen Zeichen

Feste Zeichen werden einfach direkt in die Mask geschrieben – nur Platzhalter beginnen mit ?.

3. Custom Charsets (-1 bis -4)

Hashcat erlaubt bis zu vier benutzerdefinierte Zeichensätze. Sie werden mit -1–-4 (bzw. --custom-charset1 bis --custom-charset4) definiert und in der Mask als ?1–?4 verwendet. Built-in Charsets können kombiniert werden.

4. Mask-Optionen & Increment-Modus

Neben der Mask selbst steuern verschiedene Optionen das Verhalten des Mask-Angriffs – insbesondere den Increment-Modus für variable Passwortlängen.

5. Hashcat Mask-Dateien: .hcmask

Eine .hcmask-Datei enthält mehrere Masks, optional mit eigenen Custom Charsets pro Zeile. Hashcat arbeitet die Zeilen sequenziell ab. Durch Sortierung nach Wahrscheinlichkeit oder erwarteter Laufzeit kann die Effizienz erheblich gesteigert werden.

Format einer .hcmask-Zeile

[?1,][?2,][?3,][?4,]mask

Vollständiges Beispiel: forensik_de.hcmask

# Kommentarzeilen beginnen mit #
# Zeile 1: Vorname (6 Zeichen) + Jahr → häufigstes Muster
?u?l?l?l?l?l?d?d?d?d
# Zeile 2: Kleinbuchstaben + Ziffer am Ende
?l?l?l?l?l?l?l?d
?l?l?l?l?l?l?d?d
# Zeile 3: Firmenname-Muster
Company?d?d?d?d!
Firma?d?d?d?d!
# Zeile 4: Custom Charset (lower + digit) an jeder Position
?l?d,?1?1?1?1?1?1?1?1
# Zeile 5: mit Sonderzeichen am Ende
?u?l?l?l?l?l?d?d?s
# Zeile 6: PIN-Muster (4–6 Ziffern)
?d?d?d?d
?d?d?d?d?d?d
# Zeile 7: Datum-Muster
?d?d?d?d?d?d?d?d

hashcat -m 1000 -a 3 hashes.txt forensik_de.hcmask

6. Keyspace & Laufzeitabschätzung

Der Keyspace ist die Gesamtzahl der Kandidaten einer Mask. Er ergibt sich als Produkt der Zeichensatzgrößen aller Positionen.

$$\text{Keyspace} = \prod_{i=1}^{n} |\text{Charset}_i|$$

Laufzeitformel

$$t = \frac{\text{Keyspace}}{\text{Hashrate (H/s)}}$$

Beispiel: ?u?l?l?l?d?d?d?d mit NTLM (~100 GH/s auf RTX 4090): ca. 0,12 Sekunden. Mit MD5-crypt (-m 500, ~1 MH/s): über 130 Stunden.

7. Markov-Ketten & intelligente Masks

GovCracker unterstützt Markov-Ketten-basierte Zeichenfolgen-Wahrscheinlichkeiten über .hcstat2-Dateien. Damit werden wahrscheinlichere Zeichenkombinationen zuerst ausprobiert – ideal für größere Keyspaces. Im Masken-Angriff-Dialog ist die Markov-Funktion per Toggle aktivierbar; der Threshold und eine eigene .hcstat2-Datei können dort direkt konfiguriert werden.

8. Rules-Grundlagen

Rule-Sonderoptionen

9. Alle Rule-Funktionen (Standardfunktionen)

Alle folgenden Funktionen sind mit John the Ripper kompatibel. Das Testwort für die Spalte „Ausgabe" ist p@ssW0rd (8 Zeichen).

Case & Reihenfolge

Rotation & Duplikation

Anfügen & Einfügen

Löschen & Extrahieren

Ersetzen & Überschreiben

10. Hashcat-spezifische Funktionen

Diese Funktionen sind Hashcat-spezifisch und nicht mit John the Ripper kompatibel. Das Testwort für die Spalte „Ausgabe" ist p@ssW0rd.

Swap & Shift

Block-Duplikation & Title-Case

11. Memory-Operationen (M, 4, 6, X)

Memory-Operationen ermöglichen das temporäre Speichern und Wiederverwenden von Zwischenzuständen innerhalb einer Rule-Zeile. Das Konzept ist mächtig, aber fehleranfällig – immer mit --stdout testen.

Memory-Anwendungsbeispiele

# Originalwort + Großbuchstabenversion
# sommer → sommerSOMMER
M u4

# Originalwort + Rückwärts-Version
# sommer → sommerremmos
M r4

# Wort "gespiegelt" + Leerzeichen dazwischen
# hello → hello olleh
M $  r4

# Duplicate unterdrücken (Q-Reject nach Memory-Vergleich)
# Verwirft wenn Wort == Memory (also wenn Rule nichts geändert hat)
r M r Q

12. Reject-Regeln

Reject-Regeln verwerfen Kandidaten anhand von Bedingungen. In Rule-Dateien können sie genutzt werden, um unerwünschte Kandidaten früh auszuschließen. Bei -j/-k (Single-Rules) sind Rejects besonders effektiv, da sie den Keyspace reduzieren.

13. Hex-Bytes in Rules

Nicht druckbare Zeichen oder Sonderzeichen können in Rules als Hex-Escape-Sequenz \xNN angegeben werden. Das ist nützlich für Encoding-spezifische Passwörter, Null-Bytes oder Zeichen außerhalb des ASCII-Bereichs.

# Buchstaben 'd' (0x64) anhängen
hashcat words.txt -j '$\x64' --stdout
# penguin → penguind

# Null-Byte anhängen (forensischer Sonderfall)
$\x00

# Umlaut ä (UTF-8: c3 a4) anhängen
$\xc3$\xa4

# Replace: 'a' durch ä (UTF-8)
sa\xc3\xa4

14. Bekannte Rule-Sets & Empfehlungen

Hashcat liefert mehrere hochwertige Rule-Dateien mit. Die Wahl hängt vom Ziel-Szenario ab.

Die wichtigsten Regeln aus best64.rule

# Unverändert
:
# Lowercase
l
# Capitalize
c
# Rückwärts
r
# Ziffer 1 anhängen
$1
# Ausrufezeichen
$!
# Kapitalisiert + 1
c$1
# Jahr 2022
$2$0$2$2
# Doppelt
d
# Letztes Zeichen löschen
]
# Erstes Zeichen löschen
[
# Alle s durch $ ersetzen
ss$
# Alle o durch 0 ersetzen
so0

15. Hashcat Brain – intelligente Deduplizierung

Hashcat Brain ist ein optionales Server-Client-System zur Deduplizierung von Kandidaten. Ein Brain-Server speichert, welche Kandidaten bereits ausprobiert wurden – verbundene Clients überspringen diese automatisch. Das verhindert doppelte Arbeit bei mehreren parallelen Sitzungen mit gleichen Wordlists oder Rules.

Komponenten

Brain-Feature-Level

Wann Brain sinnvoll ist – und wann nicht

Die Entscheidung hängt vollständig von der GPU-Hashrate des Ziel-Algorithmus ab. Brain ist nur dann nützlich, wenn die Cracking-Rate so niedrig ist, dass der Netzwerk-Overhead des Brain-Servers nicht zum Flaschenhals wird.

Brain-Faustregel nach Algorithmus

16. Typische Fehler & Best Practices

Häufige Fehler

Empfohlene Arbeitsweise

1. 1
   Hashes korrekt identifizieren: Immer zuerst den richtigen -m-Modus bestimmen. In GovCracker übernimmt die automatische Hash-Erkennung diesen Schritt. Falscher Modus = keine Treffer, auch wenn das Passwort in der Wordlist ist.
2. 2
   Projektspezifische Wordlist erstellen: Namen, Orte, Firmenbegriffe, bekannte Passwörter aus dem Kontext sammeln. Ein einziges spezifisches Wort kann entscheidend sein.
3. 3
   Rules klein starten: Erst best64.rule, dann bei Bedarf umfangreichere Sets. Nicht sofort mit dive.rule beginnen – das kostet enorm Zeit.
4. 4
   Hybrid vor Brute-Force: Wordlist + ?d?d?d?d oder + ?d?d?d?d?s deckt einen Großteil realer Passwörter ab und ist deutlich schneller als blinder Brute-Force.
5. 5
   Masks realistisch halten: Muster aus dem Kontext ableiten (Passwortrichtlinien der Organisation, bekannte Passwort-Häufigkeiten). Keyspace vorab mit --keyspace prüfen.
6. 6
   Kandidaten vorab validieren: Jede neue Rule oder Mask immer erst mit --stdout | head prüfen bevor GPU-Zeit investiert wird.
7. 7
   Sitzungen mit --session sichern: Lange Angriffe immer mit einem Sitzungsnamen starten. Bei Unterbrechung mit --restore weitermachen.
8. 8
   Ergebnisse dokumentieren: Mit --outfile und --debug-file alle Treffer und erfolgreiche Rules protokollieren. In GovCracker werden Ergebnisse automatisch gespeichert und können exportiert werden.
9. 9
   Rechtlichen Rahmen einhalten: Angriffe nur auf rechtmäßig sichergestellte Beweismittel oder freigegebene Systeme. Hashcat-Aktionen dokumentieren und im Bericht festhalten.