ccupp-password-profiler

ccupp ソーシャルエンジニアリング用パスワード辞書生成ツール

ccupp（Chinese Common User Passwords Profiler）は、対象者の個人情報に基づいてパスワード辞書を自動生成します。多くの人のパスワードには氏名、生年月日、電話番号などが含まれるため、汎用辞書よりも的確です。

プロジェクトのURL：https://github.com/WangYihang/ccupp

インストール

# 方式 1: 手动安装（ccupp 未发布到 PyPI，需 clone 后本地安装）
git clone https://github.com/WangYihang/ccupp.git
cd ccupp
pipx install .

# 方式 2: 若团队内已分发 f8x CLI（WgpSec 内部工具集，随内网环境提供，本仓库不含其源码与安装方式），
# 可用它一键安装：f8x -install ccupp

クイックスタート

# 生成示例配置文件
ccupp init

# 交互式输入目标信息
ccupp interactive

# 从配置文件生成密码
ccupp generate -o passwords.txt

設定ファイルの形式

config.yaml を作成し、対象者のソーシャルエンジニアリング情報を入力します。

- surname: 张
  first_name: 三
  phone_numbers:
    - '13800138000'
  identity: '110101199001011234'
  birthdate:
    - '1990'
    - '01'
    - '01'
  hometowns:
    - 北京
    - 海淀
  workplaces:
    - - 阿里巴巴
      - alibaba
  educational_institutions:
    - - 北京大学
      - pku
  accounts:
    - zhangsan
  passwords:
    - old_pass123

各フィールドはすべてパスワードの組み合わせに使われます。情報が多いほど、辞書の網羅性が高まります。

生成戦略と優先順位

ccupp は可能性の高い順に出力します。先頭にあるパスワードほど、ヒット率が高くなります。

1. 旧パスワードのバリエーション — 大文字・小文字、リートスピーク、サフィックスの変更（古いパスワードを少し変えて使う傾向があります）
2. 氏名＋生年月日 — 中国のユーザーに最もよく見られる脆弱なパスワードのパターン（zhangsan1990）
3. 氏名＋電話番号の下数桁 — 例：zs8000、zhangsan138
4. 2つの要素の組み合わせ — 任意の2種類の情報を組み合わせます
5. 文化的な数字 — 要素＋520／1314／888／666（中国ならではの数字）
6. キーボードパターン — qwerty／1qaz2wsx＋要素

よく使うパラメーター

# 过滤密码长度（配合目标密码策略）
ccupp generate --min-length 8 --max-length 16

# 禁用某些策略（缩小字典体积）
ccupp generate --no-leetspeak --no-cultural --no-keyboard

# JSON 格式输出（便于程序处理）
ccupp generate -f json -o passwords.json

# 查看统计信息
ccupp generate --stats

実践的なワークフロー

收集目标信息（姓名/生日/电话/公司）
  │
  ├─ ccupp generate → 定制字典 passwords.txt
  │
  └─ 用字典爆破
     ├─ zombie -i target -s ssh -u zhangsan -P passwords.txt
     ├─ zombie -i target -s rdp -u zhangsan -P passwords.txt
     └─ hydra -l zhangsan -P passwords.txt target ssh

判断ツリー

需要密码字典？
├─ 有目标个人信息 → ccupp generate（定制字典，精准命中）
├─ 无个人信息，通用场景 → SecLists/rockyou.txt
├─ 企业批量弱口令 → 公司名+年份+特殊字符（手工或脚本）
└─ 已有旧密码 → ccupp 旧密码变体策略（填入 passwords 字段）