Kali Linux es ampliamente conocido por su enorme colección de herramientas de pentesting y hacking ético, pero una de sus características más infravaloradas es el conjunto de wordlists preinstaladas que incluye por defecto.
Estas listas no son aleatorias: están construidas a partir de brechas reales, credenciales débiles, patrones comunes, rutas web habituales y configuraciones por defecto. Para un pentester principiante o profesional, las wordlists de Kali constituyen la base de la mayoría de ataques de fuerza bruta, enumeración y fuzzing.
Contrario a la creencia popular de que “cuanto más grande la lista, mejor”, en escenarios reales la calidad y el contexto superan al tamaño. Kali ya ofrece listas suficientemente potentes para la mayoría de pruebas.
¿Por qué las wordlists siguen siendo tan importantes?
La fuerza bruta moderna no consiste en probar combinaciones aleatorias sin sentido. Hoy en día se basa en listas inteligentes, realistas y contextuales.
Una buena wordlist proporciona:
- Mayor probabilidad de éxito
- Menor tiempo de ataque
- Resultados más realistas
- Menos ruido durante la evaluación
Ataques reales como Mirai, Remaiten o BrickerBot tuvieron éxito explotando credenciales predecibles y por defecto, no contraseñas complejas. Estudios de honeypots confirman que contraseñas filtradas públicamente —especialmente de listas como RockYou— siguen utilizándose masivamente.
Mientras existan contraseñas débiles, las wordlists seguirán siendo esenciales tanto para atacantes como para defensores.
¿Dónde almacena Kali Linux sus wordlists?
La mayoría de las wordlists incluidas en Kali se encuentran en:
ls -lah /usr/share/wordlists/
Aquí encontrarás múltiples directorios mantenidos por distintas herramientas. Algunas listas son enormes y otras muy específicas, pero todas tienen un propósito claro dentro de un flujo de pentesting.
Wordlists más importantes incluidas en Kali Linux
| Wordlist | Ubicación | Tamaño | Uso principal | Descripción |
|---|---|---|---|---|
| RockYou | /usr/share/wordlists/rockyou.txt.gz | ~14M entradas | Fuerza bruta de contraseñas | Contraseñas reales filtradas. Extremadamente efectiva. |
| DIRB | /usr/share/dirb/wordlists | Variable | Descubrimiento de directorios | Rutas web comunes, paneles admin, backups, CMS. |
| WFuzz | /usr/share/wfuzz/wordlist | Variable | Fuzzing de parámetros | Parámetros ocultos, tokens, cabeceras y variables. |
| Metasploit | /usr/share/metasploit-framework/data/wordlists | Pequeñas | Credenciales por defecto | Ideal para entornos internos y dispositivos. |
Con estas listas puedes cubrir la mayoría de escenarios reales sin descargar recursos externos.
Preparando la wordlist RockYou
RockYou viene comprimida por defecto. Para usarla:
sudo gzip -d /usr/share/wordlists/rockyou.txt.gz
Verifica su contenido:
head /usr/share/wordlists/rockyou.txt
RockYou es especialmente eficaz contra:
- Formularios de login
- Servicios FTP / SSH mal configurados
- Aplicaciones web vulnerables
Entendiendo el objetivo antes del ataque
Para este ejemplo se utiliza testphp.vulnweb.com, un sitio diseñado específicamente para pruebas de seguridad. Todo el ejercicio es ético y legal.
El formulario vulnerable contiene dos parámetros POST:
unamepass
Esto puede verificarse inspeccionando el código HTML del formulario. Entender correctamente los parámetros es crucial antes de lanzar cualquier ataque de fuerza bruta.
Ataque de fuerza bruta con Hydra y RockYou
Hydra viene preinstalado en Kali Linux y está optimizado para ataques rápidos.
Sintaxis básica de Hydra
hydra -l <usuario> -P <wordlist> <objetivo> <módulo> <opciones>
Ejemplo práctico
hydra -l admin -P /usr/share/wordlists/rockyou.txt \
testphp.vulnweb.com \
http-post-form "/login.php:uname=^USER^&pass=^PASS^:Invalid username"
Hydra considera exitoso cualquier intento que no devuelva la cadena de error definida. En entornos reales normalmente se obtiene un único resultado válido.
Personalizando wordlists para ataques más eficientes
RockYou puede ser demasiado grande para pruebas rápidas. Puedes filtrarla fácilmente.
Contraseñas de exactamente 6 caracteres
awk 'length($0) == 6' rockyou.txt | tee rockyou-6.txt
Solo contraseñas alfanuméricas
grep -E "^[A-Za-z0-9]+$" rockyou.txt | tee alphanumeric.txt
Las wordlists personalizadas permiten ataques más rápidos sin perder efectividad.
Descubrimiento de directorios con DIRB
Las wordlists de DIRB son ideales para enumeración web.
dirb http://testphp.vulnweb.com /usr/share/dirb/wordlists/common.txt
Con frecuencia revelan:
- Paneles administrativos
- Directorios ocultos
- Backups y archivos sensibles
Descubrimiento de parámetros con WFuzz
WFuzz es excelente para encontrar parámetros ocultos.
wfuzz -c -w /usr/share/wfuzz/wordlist/general/common.txt \
-u "http://testphp.vulnweb.com/login.php?FUZZ=test"
Esta técnica ayuda a identificar variables no documentadas que pueden ser explotables.
Conclusión
Kali Linux incluye algunas de las wordlists más prácticas y probadas del mundo del pentesting. Desde RockYou para ataques clásicos de contraseñas hasta listas especializadas para DIRB y WFuzz, Kali ofrece todo lo necesario para simular escenarios reales.
Si estás aprendiendo ciberseguridad, el mejor enfoque es experimentar:
- Empieza con listas pequeñas
- Ajusta según el contexto
- Observa los resultados
- Aprende a optimizar
Dominar el uso de wordlists es un paso clave para convertirte en un pentester eficiente y profesional.