John the Ripper ile Parola Kırma: Kurulum, Modlar ve Uygulamalı Örnekler

Merhaba TurkTeam,

John the Ripper (JtR), parola güvenliğini denetlemek için kullanılan, açık kaynaklı ve çok eski köklere sahip bir parola kırma aracıdır. Bu rehberde community sürümü "jumbo" üzerinden kurulumu, çalışma modlarını (single, wordlist, incremental), hash biçimlerini ve en çok kullanılan yardımcı araçları (unshadow, zip2john gibi) uygulamalı olarak ele alıyoruz. Tüm örnekler yalnızca kendi hesaplarınız ve lab verileriniz içindir.

Konuda Anlatılacaklar

1. John the Ripper nedir, nasıl çalışır
   
2. Kurulum: paket deposu ve jumbo sürüm
   
3. Hash biçimi tespiti ve *2john yardımcıları
   
4. Çalışma modları: single, wordlist, incremental
   
5. Uygulamalı: Linux shadow parolası kırma
   
6. Kural (rules), maske ve ilerleme yönetimi
   
7. Sonuç, kaynakça ve yasal uyarı
   

1. John the Ripper Nedir, Nasıl Çalışır?
Parolalar sistemlerde açık metin değil, geri döndürülemez bir hash olarak saklanır. JtR, bir aday parolayı aynı algoritmayla hashleyip saklanan hash ile karşılaştırarak çalışır; eşleşirse parola bulunmuş olur. Yani JtR hash'i "çözmez", doğru adayı tahmin edip doğrular. Bu yüzden başarı; wordlist kalitesine, kurallara ve hash algoritmasının yavaşlığına bağlıdır.

Jumbo sürümü (openwall/john), topluluk tarafından yüzlerce hash türü, OpenCL/GPU desteği ve zengin yardımcı araçlarla genişletilmiş versiyondur ve pentest için önerilen sürümdür.

2. Kurulum
Kali/Parrot üzerinde jumbo sürümü genelde "john" paketiyle gelir:
Sürümü ve derlenmiş özellikleri doğrulayın:
Desteklenen hash biçimlerini listelemek için:

3. Hash Biçimi ve *2john Yardımcıları
JtR, pek çok dosya türünü kırılabilir hash biçimine çeviren yardımcı betikler içerir. Bunlar genelde /usr/share/john/ veya /usr/sbin altında bulunur.

unshadow - /etc/passwd ve /etc/shadow dosyalarını JtR'nin anlayacağı tek dosyada birleştirir:

zip2john / rar2john - Parolalı arşivlerin hash'ini çıkarır:

ssh2john - Parolalı özel anahtarın hash'ini çıkarır:

Bir hash'in türünden emin değilseniz, biçim tahmini için önce incelenmelidir; JtR çoğu zaman biçimi otomatik tanır, ancak --format ile zorlayabilirsiniz:

4. Çalışma Modları
single - Kullanıcı adı, GECOS alanı gibi bilgilerden türetilen akıllı tahminler; hızlı ilk geçiş için idealdir:

wordlist - Bir kelime listesi üzerinden deneme; isteğe bağlı kurallarla güçlenir:

--rules - Kelimeleri dönüştürerek (büyük harf, sona rakam ekleme vb.) varyasyon üretir:

incremental - Karakter uzayını istatistiksel sırayla deneyen brute-force modu (uzun sürebilir):

5. Uygulamalı: Linux Shadow Parolası Kırma
Aşağıdaki akışı yalnızca KENDİ test makinenizde deneyin.

Adım 1 - Test kullanıcısı oluşturun ve basit bir parola verin (lab):

Adım 2 - Hash'leri birleştirin:
Çıktı satırı şuna benzer; $6$ öneki parolanın sha512crypt ile saklandığını gösterir:

Adım 3 - rockyou ile kırma:
rockyou.txt Kali'de genelde sıkıştırılmıştır; önce açın:
JtR parolayı bulunca şuna benzer bir satır yazar ve kırılan kayıtları john.pot dosyasına ekler:


Adım 4 - Sonuçları görüntüleme:
Kırılmış parolaları tekrar çalıştırmadan görmek için:
Bu komut "testkullanici:password123" gibi çözülmüş kayıtları listeler.


6. İleri Seviye: Kurallar, Maske ve İlerleme
Durum takibi: JtR çalışırken herhangi bir tuşa basınca ilerlemeyi gösterir. Oturum kaydetme ve devam ettirme:

Mask modu: Parola kalıbını biliyorsanız (örn. 6 küçük harf + 2 rakam) hedefli brute-force çok hızlanır:
Burada ?l küçük harfi, ?d rakamı temsil eder.

Özel kural seti: /etc/john/john.conf içine kendi kurallarınızı ekleyip --rules=KuralAdi ile çağırabilirsiniz. Kurumsal denetimlerde parola politikasına uygun özel kurallar yazmak, gerçekçi sonuç verir.

Performans: Yavaş hash'lerde (bcrypt, sha512crypt) CPU hızı sınırlayıcıdır; büyük kampanyalar için GPU desteği olan Hashcat'i değerlendirin. JtR'nin güçlü yanı esnek kural motoru ve geniş biçim desteğidir.

6.1. Hash Türleri ve Pratik Notlar
Parola denetiminde karşılaşacağınız hash türlerini tanımak, doğru stratejiyi seçmenin yarısıdır. Modern Linux dağıtımları parolaları yavaş ve tuzlu (salted) algoritmalarla saklar: MD5-crypt, , ve öneklerini gösterir. Yavaş algoritmalar bir aday parolayı doğrulamayı kasıtlı olarak pahalı kılar; bu yüzden milyonlarca deneme saniyeler değil dakikalar-saatler alır. Bu da neden güçlü ve uzun parolaların kaba kuvvete karşı etkili olduğunu açıklar.

Windows ortamlarında NTLM hash'leri tuzsuzdur ve hızlı kırılır; bu yüzden kurumsal denetimlerde özellikle önemlidir. JtR bu biçimleri de destekler, ancak büyük NTLM koleksiyonlarında GPU hızı için Hashcat sıklıkla tercih edilir. İki aracı rakip değil tamamlayıcı görün: JtR'nin kural motoru ve biçim çeşitliliği keşif ve küçük setlerde, Hashcat'in GPU gücü büyük kampanyalarda parlar.

Denetim raporunuzda yalnızca "kaç parola kırıldı" demek yetmez; kırılan parolaların uzunluk ve karmaşıklık dağılımını, politikaya uymayanları ve yeniden kullanılan parolaları da belgeleyin. Asıl değer, bulguların düzeltici öneriye dönüşmesindedir: minimum uzunluk artırma, yaygın parolaların engellenmesi (deny list) ve çok faktörlü kimlik doğrulama.

Son olarak, john.pot dosyasının önceki sonuçları sakladığını unutmayın; yeni bir denetime temiz başlamak isterseniz bu dosyayı yedekleyip temizleyin. Aksi halde JtR, zaten kırılmış hash'leri atlayıp sonuçları birleştirir ve ilerleme olduğundan daha hızlı görünebilir.

Sonuç
John the Ripper, parola denetiminde hâlâ en pratik araçlardan biridir. Doğru yaklaşım; önce --single, sonra kurallı wordlist, en son maske/incremental sırasıyla ilerlemektir. Amaç saldırmak değil, zayıf parolaları ortaya koyup düzeltmektir. Bu yüzden denetim sonuçlarını mutlaka güçlü parola politikasıyla eşleştirin.

Kaynakça

• John the Ripper Resmi Sitesi (Openwall) - https://www.openwall.com/john/
  
• JtR Jumbo Deposu ve Wiki - https://github.com/openwall/john
  
• Openwall JtR Dokümanları - https://www.openwall.com/john/doc/
  
• Kali Tools: john - https://www.kali.org/tools/john/
  
• man john / man unshadow (yerel man sayfaları)
  

Yasal Uyarı

Alıntı:Parola kırma yalnızca kendi hesaplarınızda veya yazılı yetki verilmiş denetimlerde yapılmalıdır. Başkasına ait parolaları izinsiz kırmak Türk Ceza Kanunu 243-245. maddeleri kapsamında suçtur.

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).