Словарь для брутфорса — это обычный текстовый файл, где каждая строка содержит один вариант пароля, который программа подбора последовательно подставляет в форму входа или проверяет против хеша. Если при аудите собственной учётной записи инструмент вроде Hydra или John the Ripper «не находит» пароль, первая проверка — не в настройках программы, а в самом словаре: возможно, нужного слова там просто нет, или файл сохранён в неправильной кодировке и читается с ошибками.
Такие файлы называют wordlist (вордлист). Они применяются в легальном тестировании на проникновение, при восстановлении доступа к собственным зашифрованным архивам и в исследованиях стойкости паролей. Та же механика используется злоумышленниками, поэтому понимание устройства словарей полезно и для защиты: зная, как выглядит типичный набор для перебора, легче выбрать пароль, который в него не попадёт.
Как устроен словарь для перебора
Внутри вордлиста нет ничего сложного: одна строка — один кандидат на пароль. Формат обычно UTF-8 или ASCII, разделитель — перевод строки. Размер колеблется от нескольких тысяч записей (компактные топ-списки) до миллионов и миллиардов строк в сборниках реальных утёкших паролей.
Различают несколько типов словарей по происхождению:
- 📋 Топ-списки — частые пароли вроде комбинаций цифр и простых слов; компактны, подходят для быстрой проверки.
- 🗃️ Сборники утечек — реальные пароли из публичных баз скомпрометированных сервисов; самый известный пример — rockyou.txt.
- 🔤 Языковые словари — слова естественного языка без изменений, используются как база для мутаций.
- 🧬 Сгенерированные списки — комбинации по маске: слово + год, имя + цифры и т.п.
Отдельно стоит понятие мутаций: инструменты умеют на лету преобразовывать словарные слова — добавлять цифры в конец, заменять буквы на похожие символы (a → @, o → 0), менять регистр. Поэтому пароль вида «слово + 123» не защищает: такие варианты перебираются правилами автоматически.
💡Эффективность перебора определяется качеством словаря: реальные утёкшие пароли находят совпадения на порядки чаще, чем случайные комбинации символов.