20.10.3  John the Ripper：找出不安全的口令

避免选择不良口令的一种方法就是您自己尝试攻破口令，迫使您已经攻破其口令的用户修改他们的口令。John the Ripper是由Solar Designer提供的一种高级工具，它在一种工具里实现了各种破解口令的算法。它代替了老程序crack，后者在本书的上一版中介绍过。

即使绝大多数系统使用隐蔽口令文件把加密后的口令隐藏起来避免公众查看，验证用户的口令是否能抵抗得住破解仍然是明智的。了解用户的口令会很有用，因为人们往往反复使用相同的口令。一个口令可能提供对另一个系统的访问权，可以解密用户主目录下保存的文件，允许访问Web上的资金账号（不用说，这样重复使用一个口令对安全性来说可不大聪明。可是没有人想记住10个不同的口令）。

即使John the Rip的内部很复杂，但是这个程序使用起来却极其简单。直接对要破解的文件（最常用的就是/etc/shadow）执行john命令，然后看看有什么神奇的事情发生：

在这个例子中，从隐蔽文件里读出了25个不同的口令。随着口令被破解，John会把它们显示在屏幕上，并且把它们保存在一个叫做john.pot的文件里。输出的左边一列是口令，右边一列的括号里是登录名。在john执行完以后再次显示口令，可以带-show参数执行相同的命令。

在写本书（英文版）的时候，John the Ripper的最新版本是1.7.0.2。它可以从www.openwall.com/john获得。因为John the Ripper的输出中包含它已经攻破的口令，所以您应该小心地保护它，并在做完之后立即删除。