CrackStation
What it is — CrackStation is an online hash lookup: it maintains a massive database (15+ billion entries) of already-cracked hashes — mostly passwords leaked in known breaches — and returns the plaintext password instantly if your hash matches, without spending any GPU time on brute force.
| Type | Free web service |
| Cost | Free |
| URL | crackstation.net |
How to use it
Paste one or more hashes (one per line) into the text box and it auto-detects the type (MD5, SHA1, SHA256, NTLM, among others):
5f4dcc3b5aa765d61d8327deb882cf99Important limitation: it works by dictionary/lookup, not real brute force — it only finds the password if it was already in its database beforehand. And it doesn't cover salted hashes (like Linux
/etc/shadow's$6$, or bcrypt) because each salt produces a different hash even for the same password — those need John/hashcat with a wordlist or real brute force.
What I use it for
- First try, always, before spending GPU time: for any unsalted MD5/SHA1 hash I find (typically in web database dumps), I try this first — if it's already in the database, I save minutes or hours of local cracking.
- Quickly checking if a password is "common": if CrackStation resolves it instantly, it's a weak/reused password — useful data point for the report.
- I never use it with hashes that could be sensitive/from a real client: just like with VirusTotal, uploading a hash to an external service shares it with third parties — for real engagements, I use local tools (John, hashcat).
Link
Qué es — CrackStation es un buscador de hashes online: mantiene una base de datos gigante (más de 15 mil millones de entradas) de hashes ya crackeados — principalmente contraseñas filtradas en brechas conocidas — y te devuelve la contraseña en texto claro al instante si tu hash coincide, sin necesidad de gastar tiempo de GPU en fuerza bruta.
| Tipo | Servicio web gratuito |
| Coste | Gratis |
| URL | crackstation.net |
Cómo se usa
Pegas uno o varios hashes (uno por línea) en el cuadro de texto y resuelve el tipo automáticamente (MD5, SHA1, SHA256, NTLM, entre otros):
5f4dcc3b5aa765d61d8327deb882cf99Limitación importante: funciona por diccionario/lookup, no por fuerza bruta real — solo encuentra la contraseña si ya estaba en su base de datos de antemano. Y no cubre hashes salados (como el
$6$de/etc/shadowen Linux, o bcrypt) porque cada sal genera un hash distinto aunque la contraseña sea la misma — para esos casos hace falta John/hashcat con diccionario o fuerza bruta real.
Para qué lo uso yo
- Primer intento, siempre, antes de gastar tiempo de GPU: con cualquier hash MD5/SHA1 sin salar que encuentro (típicamente en dumps de bases de datos web), lo pruebo aquí primero — si ya está en su base de datos, ahorro minutos u horas de crackeo local.
- Verificar rápido si una contraseña es "común": si CrackStation la resuelve al instante, es una contraseña débil/reutilizada — dato útil para el informe.
- Nunca lo uso con hashes que puedan ser sensibles/reales de un cliente: igual que con VirusTotal, subir un hash a un servicio externo lo comparte con terceros — para engagements reales, uso herramientas locales (John, hashcat).