Estimados amigos de Inseguros,
Mucha gente aprende Hashcat, pero menos gente aprende todo lo que ocurre antes y después de lanzar el ataque. El cracking de contraseñas no es un único comando: es un proceso completo — identificar el hash, preparar una lista adaptada al objetivo, lanzar ataques offline y, después, validar si esas credenciales sirven de verdad en un entorno real.
En este artículo repasamos 7 herramientas para el cracking de contraseñas que cubren todo ese flujo, no solo el «dale a Hashcat». La habilidad está en encadenarlas y adaptar el ataque al contexto.
El cracking de contraseñas es un proceso, no un comando
Las listas genéricas fallan porque no entienden el contexto de la organización. Un buen ataque offline sigue fases: identificar el algoritmo del hash, preparar una wordlist y reglas a medida, ejecutar el cracking y validar las credenciales obtenidas. Cada fase tiene su herramienta.
Las 7 herramientas para cracking de contraseñas
1. Name-That-Hash
Identifica hashes desconocidos y te indica posibles algoritmos, el modo de Hashcat y el formato de John. El primer paso: saber qué estás atacando.
2. Hashcat
La referencia para cracking con GPU: ataques por diccionario, reglas, máscaras e híbridos. Potencia bruta bien dirigida.
3. John the Ripper
Muy útil con CPU y con formatos variados. Una gran opción cuando Hashcat no encaja bien con un hash concreto.
4. Crunch
Genera listas de palabras según longitud, prefijos, patrones o políticas de contraseña conocidas. Ideal cuando conoces la política del objetivo.
5. CeWL
Rastrea una web y crea una wordlist con la jerga propia de la organización (productos, nombres, lugares). El contexto sube muchísimo la tasa de acierto.
6. NetExec
Permite validar credenciales en red contra servicios como SMB, WinRM, LDAP o RDP. Crackear un hash no vale de nada si no compruebas dónde funciona.
7. hcxtools
Muy útil en auditorías Wi-Fi: convierte capturas PMKID/EAPOL a formatos que Hashcat puede procesar.
La clave: encadenar y adaptar al objetivo
El flujo real sería: identificar (Name-That-Hash) → preparar la lista a medida (Crunch, CeWL) → crackear (Hashcat o John) → validar en red (NetExec). Y todo, siempre dentro de un entorno autorizado.
Preguntas frecuentes
¿Hashcat o John the Ripper?
Hashcat brilla con GPU y grandes volúmenes; John es muy flexible con CPU y formatos poco comunes. No compiten: se complementan según el hash y el hardware que tengas.
¿Por qué fallan las listas de contraseñas genéricas?
Porque no conocen el contexto. Una wordlist creada con CeWL a partir de la web del objetivo, o con Crunch según su política de contraseñas, acierta mucho más que un diccionario genérico.
¿Esto es legal?
Las herramientas son de auditoría. Solo debes usarlas sobre sistemas propios o con autorización expresa (pentest o bug bounty con alcance definido). Fuera de ahí, no.
¿Quieres dominar el cracking de contraseñas, el hacking de Active Directory y el pentesting de verdad, con laboratorios reales? En la Academia de SeguridadSi tienes recursos gratuitos y cursos completos para formarte en ciberseguridad profesional. Descubre todos los cursos aquí.
Gracias por leerme.
