Ce billet n'avait été publié qu'en anglais. Nous l'avons traduit en 2026 pour que les archives se lisent dans les deux langues. Lire l'original →

Au départ, je voulais m'impliquer à fond dans hashrunner, mais comme j'étais dans ma dernière semaine à un emploi, que je finissais des migrations et que je préparais un CTF local, j'ai été débordé et je n'y ai mis que 2-3 heures.

Au début, j'ai mis une Radeon 7970 et un i7-920 au travail sur les hashes md4 non craqués quand je le pouvais, avec plusieurs ensembles de règles et wordlists, ordinaires, énormes, des compilations, et ça a craqué quelques hashes.

Par contre, je me suis surtout impliqué dans la recherche de patterns de wordlists, la traduction des mots craqués et la création de wordlists basées sur ceux-ci. Ce n'était pas la première fois que je faisais ça, comme je l'ai démontré dans une présentation précédente au hackerspace local, à voir ici.

D'abord, on m'a demandé de trouver quelque chose de semblable à Umlungu, un mot d'argot emprunté à la langue zouloue pour désigner de façon raciale les personnes blanches. Par contre, comme je l'ai appris lors d'un récent voyage en Afrique, il y a tellement de langues bantoues, et elles sont très semblables... ça pourrait être du swahili, du swati, du xhosa ou d'autres.. J'ai fait une petite recherche sur le mot et ses dérivés liés à l'apartheid dans diverses langues d'Afrique australe, à partir de recherches Google, de Wikipédia, de quelques contacts africains et de mes récents apprentissages en Afrique. Je suis arrivé avec une liste de 40-50 mots et je l'ai donnée à quelqu'un pour la traiter avec des règles de mangling, de l'alternance de casse, des masques, de la combinaison générique et des attaques hybrides, sans succès.

Plus tard, quelqu'un a craqué 2 autres mots de passe basés sur les mots Andriamanitra et Makaako; je me suis demandé de quelle langue venaient ces mots. J'ai vu tout de suite que l'un était en malgache et l'autre était plus obscur, mais après quelques recherches sur Google, je l'ai circonscrit au tagalog/cebuano (deux langues philippines), et les deux étaient liés à Dieu. J'ai fait une recherche Google avec les deux termes et j'ai obtenu seulement... 3 résultats, et l'un d'eux avait une liste complète de noms et de mots liés à Dieu dans un paquet de langues exotiques. sftp en est venu à la conclusion que keccak était surtout basé sur des mots exotiques; pas surprenant, sachant que keccak est un peu exotique en soi. D'autres cracks ont suivi, comme des mots de passe basés sur « Tabaldak », une divinité abénakise, Ulunguve, …

Ce concours m'a appris à mieux réfléchir pour trouver plus de cracks dans les concours. Par contre, ça ne s'applique pas nécessairement aux vraies listes de mots de passe, à moins qu'elles soient énormes et qu'on ait besoin de plus de contextes pour les craquer.

Aussi, des semaines plus tard, j'ai appris qu'on pouvait utiliser Google Docs pour « scripter » la traduction de divers mots avec des formules, comme expliqué dans ce lien. Très intéressant, quoiqu'approximatif, pour faire grossir exponentiellement vos wordlists dans d'autres langues. Encore mieux : récupérer aussi les alternatives qu'une traduction manuelle donnerait dans gTranslate.