离线密码审计不是向在线登录服务发送请求，而是用候选密码匹配已取得的哈希数据。本实践课程教你准备输入数据、构建有针对性的候选列表、选择正确的破解格式，并使用 John the Ripper 和 Hashcat 解读恢复结果。
你将用 Crunch 生成符合模式的词条，用 Cewl 从本地练习网站收集上下文词汇，再合并去重字典。随后你会实践 John 的单一破解和字典模式、Hashcat 的直攻与规则攻击，以及 potfile 结果管理。最终挑战将 NTLM 哈希、企业上下文字典和追加年份的自定义规则组合起来。
你将学到什么
- 使用 Crunch 生成受约束的模式化字典
- 使用 Cewl 从本地网站提取目标相关词汇，并合并、去重字典
- 使用
unshadow为 John the Ripper 准备 Linux 账户数据 - 运行 John 的单一破解与字典模式，并使用
--show输出恢复的凭据 - 查找 Hashcat 模块编号，并对预置 MD5 哈希执行直攻字典攻击
- 利用 John 和 Hashcat 的 potfile 获取历史结果，避免重复计算
- 预览 Hashcat 内置变异，并针对已知密码模式编写自定义规则
- 在独立挑战中组合上下文词汇、NTLM 模式选择与规则猜测
本课程适合谁
本中级课程适合需要学习授权离线密码审计实践方法的网络安全学习者、渗透测试人员、事件响应人员和系统管理员。课程强调候选策略、输入准备和可复现报告，而不是单纯追求性能跑分。
前置要求： 能够使用 Linux 终端、文件、管道和输出重定向，并理解基本哈希概念。了解字典与常见密码习惯会有所帮助；无需 John the Ripper 或 Hashcat 使用经验。
学习环境： 交互式 Ubuntu 22.04 终端，包含预置的合成哈希与账户文件、John the Ripper、Hashcat、Crunch、Cewl 和本地练习网站。刻意缩小的数据集可在实验 CPU 上完成，无需专用 GPU。
常见问题
课程会攻击在线登录页面或真实账户吗？
不会。所有恢复操作都在隔离实验中针对课程提供的合成哈希文件离线执行。本地网站只用于生成上下文词汇，不会发起认证请求、测试账户锁定或绕过 MFA。
是否需要高性能 GPU？
不需要。练习使用小型 MD5、NTLM 和 Linux 密码哈希样本，设计为可在实验 CPU 上完成。课程会解释 Hashcat 面向硬件的工作方式，但不做大规模破解或性能基准测试。
课程会练习哪些攻击策略？
你将使用模式化与上下文派生字典、John 的启发式单一模式、直攻字典攻击和 Hashcat 变异规则。大范围暴力搜索、掩码攻击、分布式破解和云 GPU 操作不在课程范围内。
这些技术可以用于真实凭据数据吗？
只有在数据属于你，或你已获得明确审计授权时才可以。课程仅使用隔离环境中的合成凭据，并将流程用于防御评估与经批准的渗透测试。
