Wordlists (Custom Dictionaries)
When a generic wordlist (rockyou) isn't enough, these tools generate custom dictionaries for brute-force attacks and password audits: CUPP (personal data), Crunch (patterns), Mentalist (GUI) and CeWL (scraping a website).
| Type | 4 CLI/GUI tools |
| Platform | Kali / Linux (Mentalist is cross-platform) |
1. CUPP — per-person password profiling
Builds custom wordlists using personal data (name, pet, dates, interests...). Ideal when you have public data about the target person (social media).
sudo apt install cupp # if not already installed
cupp -i # interactive mode, asks questions
cupp -w data.txt # generate from a data file2. Crunch — pattern-based combinations
Generates wordlists with combinations of letters, numbers, and fixed patterns.
crunch 4 6 abc123 -o output.txt # 4-6 char words, using abc123
crunch 8 8 -t Pe%%202@ -o output.txtIn patterns:
%= digit,@= lowercase letter,,= special character. Example result forPe%%202@:Pe21 202q.
3. Mentalist — visual generator (GUI)
A graphical app (Windows/Linux/Mac) for combining words, mutations (uppercase, digits, substitutions like a→4, e→3), suffixes and prefixes, exporting the final dictionary. Ideal if you prefer a visual tool.
4. CeWL — wordlists from a website
Builds dictionaries by scraping a page's content — useful for company-specific wordlists based on public content.
sudo apt install cewl
cewl https://example.com # basic
cewl https://example.com -w list.txt # save to a file
cewl https://example.com -d 2 -w list.txt # depth 2 (follows links)
cewl https://example.com -m 5 -w list.txt # minimum word length
cewl https://example.com -e -w emails.txt # also extract emailsResponsible use
These commands are for systems you own or have explicit written authorisation to test (labs, CTFs, contracted engagements). Using them against third-party infrastructure without permission is illegal in most countries.
Cuando una wordlist genérica (rockyou) no basta, estas herramientas generan diccionarios personalizados para ataques de fuerza bruta y auditorías de contraseñas: CUPP (datos personales), Crunch (patrones), Mentalist (GUI) y CeWL (scraping de una web).
| Tipo | 4 herramientas CLI/GUI |
| Plataforma | Kali / Linux (Mentalist multiplataforma) |
1. CUPP — perfil de contraseñas por persona
Crea wordlists personalizadas usando datos personales (nombre, mascota, fechas, gustos...). Ideal cuando tienes datos públicos de la persona objetivo (redes sociales).
sudo apt install cupp # si no viene ya
cupp -i # modo interactivo, hace preguntas
cupp -w datos.txt # generar desde un archivo de datos2. Crunch — combinaciones por patrón
Genera wordlists con combinaciones de letras, números y patrones fijos.
crunch 4 6 abc123 -o salida.txt # palabras de 4-6 caracteres, con abc123
crunch 8 8 -t Pe%%202@ -o salida.txtEn los patrones:
%= número,@= letra minúscula,,= carácter especial. Ejemplo de resultado conPe%%202@:Pe21 202q.
3. Mentalist — generador visual (GUI)
Aplicación gráfica (Windows/Linux/Mac) para combinar palabras, mutaciones (mayúsculas, números, sustituciones tipo a→4, e→3), sufijos y prefijos, exportando el diccionario final. Ideal si prefieres una herramienta visual.
4. CeWL — wordlists desde una web
Crea diccionarios analizando el contenido de una página (scraping) — útil para wordlists específicas de una empresa basadas en contenido público.
sudo apt install cewl
cewl https://example.com # basico
cewl https://example.com -w lista.txt # guardar en archivo
cewl https://example.com -d 2 -w lista.txt # profundidad 2 (sigue enlaces)
cewl https://example.com -m 5 -w lista.txt # longitud minima de palabra
cewl https://example.com -e -w correos.txt # extraer tambien correosUso responsable
Estos comandos son para entornos propios o con autorización explícita por escrito (laboratorios, CTF, auditorías contratadas). Usarlos contra infraestructura ajena sin permiso es ilegal en la mayoría de países.