Abra qualquer tutorial de quebra de senhas e o comando termina do mesmo jeito: ... rockyou.txt. Ninguém se dá ao trabalho de explicar o que é esse arquivo, de onde ele veio, nem por que as mesmas 14 milhões de linhas continuam aparecendo em write-ups de CTF mais de dezesseis anos depois do vazamento. Este guia resolve isso. Você vai ver onde o rockyou.txt fica no Kali, como descompactar, como apontar Hashcat, John the Ripper e Hydra para ele, e o que a lista realmente contém, medido em vez de chutado. Pratique o ciclo completo no curso Password Cracking da HackerDNA e no lab Shadow Cracker, onde você extrai hashes de uma máquina Linux em execução e os quebra você mesmo.
Trabalhar com wordlists é uma fatia de uma disciplina maior, então, se você ainda está mapeando a área, nosso guia completo de penetration testing coloca os ataques a senhas em contexto. Tudo abaixo foi conferido na cópia do rockyou.txt que o Kali distribui hoje, em agosto de 2026, e cada contagem abaixo foi medida nesse arquivo, não copiada de outro guia.
Resumo: rockyou.txt é um arquivo de texto com 14.344.392 senhas únicas vindas do vazamento da RockYou em 2009. No Kali ele fica em /usr/share/wordlists/rockyou.txt.gz e você descompacta com sudo gunzip /usr/share/wordlists/rockyou.txt.gz. É a primeira tentativa padrão em ataques de dicionário porque contém senhas humanas reais, e não strings geradas. Também está envelhecendo: apenas 0,34% das entradas satisfariam uma política clássica de "8 caracteres, maiúscula, minúscula, número e símbolo".
O que é o rockyou.txt?
rockyou.txt é uma wordlist: um arquivo de texto com uma senha por linha, usado para alimentar ataques de dicionário contra hashes de senha e formulários de login. São 14.344.392 linhas, cada uma delas uma senha que uma pessoa real escolheu, e nenhuma duplicata.
Descompactado, ocupa 139.921.507 bytes, ou seja, 133 MB. O Kali entrega o arquivo em gzip, com cerca de 51 MB.
O valor dele não está no tamanho. Muitas listas geradas são maiores. O rockyou.txt importa porque é um censo de como as pessoas escolhem senhas de verdade, e os hábitos humanos mudaram bem menos do que gostaríamos. A lista começa com 123456, 12345, 123456789, password, iloveyou, princess. Essas senhas ainda abrem contas em 2026.
O arquivo é ordenado por frequência, não em ordem alfabética. Esse detalhe pesa mais do que a maioria dos guias admite, e a seção sobre o conteúdo do arquivo mostra por quê.
O vazamento de 2009 que deu origem ao rockyou.txt
A RockYou era uma empresa que fazia widgets para redes sociais: slideshows, textos com glitter, aquele tipo de coisa que se colava num perfil do MySpace. Para usar um deles, você se cadastrava com o seu e-mail e, surpreendentemente, com a senha dessa conta de e-mail.
Em dezembro de 2009, alguém saiu com a tabela inteira de usuários. As senhas não estavam com hash. Estavam ali, em texto puro.
A Federal Trade Commission dos Estados Unidos processou a empresa, e a petição resultante é a fonte primária do que deu errado. Ler a lista de falhas montada pelo próprio governo ensina mais do que qualquer post-mortem, porque ela nomeia quatro erros específicos:
- "coletar desnecessariamente informações pessoais dos consumidores na forma de senhas de e-mail"
- "armazenar as senhas RockYou dos usuários, junto aos e-mails associados, em texto claro"
- "não segmentar seus servidores; uma vez dentro da rede da ré, o invasor conseguia acessar todas as informações da rede"
- não tratar "vulnerabilidades do sistema a ataques de aplicações web como injeção de SQL e Cross-Site Scripting (XSS)"
A petição estima o dano em "aproximadamente 32 milhões de endereços de e-mail e senhas RockYou". A RockYou fechou acordo em março de 2012, pagando 250 mil dólares de multa civil pelas acusações de privacidade infantil e aceitando vinte anos de auditorias de segurança independentes. O anúncio da FTC pode ser lido na íntegra.
Esse número de 32 milhões é verificável. O SecLists distribui uma versão da lista com a contagem de ocorrências de cada senha, e somar todos esses contadores dá 32.603.388 contas. O "aproximadamente 32 milhões" da FTC e o arquivo no seu disco descrevem o mesmo evento.
Vale parar um segundo: cada linha do rockyou.txt pertencia a alguém que confiou a senha do próprio e-mail a uma empresa de slideshows. A lista é uma ferramenta de ensino porque uma empresa falhou no básico. Use, e lembre também por que ela existe.
Onde encontrar o rockyou.txt no Kali Linux
No Kali, o arquivo é instalado pelo pacote wordlists e fica em /usr/share/wordlists/rockyou.txt.gz. Ele vem compactado. Quase toda pergunta do tipo "rockyou.txt não encontrado" vem de alguém procurando o .txt sem reparar no .gz.
Descompacte de uma vez:
sudo gunzip /usr/share/wordlists/rockyou.txt.gz
wc -l /usr/share/wordlists/rockyou.txt
# 14344392 /usr/share/wordlists/rockyou.txtSe o wc -l devolver outro número, você pegou um espelho que alguém editou. Confirme o arquivo com uma soma de verificação:
sha256sum /usr/share/wordlists/rockyou.txt
# 16035fea7742cb0561c513de1d946eda5716d7de294e6c732449740096686173Se o diretório estiver vazio, o pacote não está instalado:
sudo apt update && sudo apt install wordlistsSe o apt disser que não encontra o pacote, a sua lista de espelhos está desatualizada, não é o pacote que sumiu. Rode sudo apt update sozinho primeiro e tente de novo.
No Parrot, Ubuntu, macOS e Windows
Fora do Kali não existe pacote de distribuição. Pegue o arquivo no SecLists, a coleção de referência mantida por Daniel Miessler, onde ele fica em Passwords/Leaked-Databases/rockyou.txt.tar.gz:
git clone --depth 1 https://github.com/danielmiessler/SecLists.git
cd SecLists/Passwords/Leaked-Databases
tar -xzf rockyou.txt.tar.gzO Parrot OS também tem um pacote wordlists com a mesma estrutura. No Windows, o Hashcat lê o arquivo sem reclamar de qualquer pasta: as quebras de linha do rockyou.txt são no padrão Unix, e nem o Hashcat nem o John se importam.
O mesmo diretório guarda algo que quase ninguém percebe: fatias prontas chamadas rockyou-05.txt até rockyou-75.txt, indo de 13 linhas a 59.186. São elas a escolha certa para atacar um formulário de login ao vivo, onde disparar 14 milhões de requisições contra o SSH de alguém não é discreto nem gentil.
/etc/shadow de um alvo Linux em execução, descubra o formato do hash e quebre com o rockyou.txt. Roda no navegador, gratuito para começar.
O que existe de fato dentro do rockyou.txt
Os guias descrevem o conteúdo como "senhas comuns" e seguem em frente. Nós contamos todas as 14.344.392 linhas, e o formato do arquivo responde à maior parte das dúvidas que iniciantes têm sobre quando ele funciona.
Comece pela composição:
| Propriedade | Entradas | Fatia da lista |
|---|---|---|
| Menos de 8 caracteres | 4.733.979 | 33,0% |
| 12 caracteres ou mais | 1.573.606 | 11,0% |
| Somente dígitos | 2.346.744 | 16,4% |
| Somente letras minúsculas | 3.726.246 | 26,0% |
| Palavra minúscula seguida de dígitos | 4.720.184 | 32,9% |
| Contém algum caractere especial | 1.016.967 | 7,1% |
| Atende 8+ com maiúscula, minúscula, número e símbolo | 48.211 | 0,34% |
É a última linha que você precisa guardar. Uma política de senhas que quase toda rede corporativa aplica rejeitaria 99,66% do rockyou.txt. O formato mais comum no arquivo continua sendo uma palavra em minúsculas com números colados no fim, o que descreve um terço de todas as senhas escolhidas por 32 milhões de pessoas.
A segunda medição é mais útil para decidir quanto tempo deixar um job rodando. Como a lista está ordenada por frequência, dá para perguntar quanto da base original de usuários cada trecho inicial do arquivo cobre:
| Linhas usadas | Contas cobertas |
|---|---|
| 10 primeiras | 2,05% |
| 100 primeiras | 4,55% |
| 1.000 primeiras | 11,30% |
| 10.000 primeiras | 22,30% |
| 100.000 primeiras | 36,67% |
| 1.000.000 primeiras | 54,18% |
Mil linhas, 0,007% do arquivo, recuperam mais de uma conta em cada dez. O primeiro milhão recupera mais da metade. Os 13,3 milhões de linhas restantes existem para a cauda longa: 11.884.632 entradas, 82,9% do arquivo, apareceram exatamente uma vez em 32,6 milhões de contas.
Na prática, isso muda o jeito de trabalhar. Contra um hash lento como bcrypt, rodar primeiro o início do arquivo não é atalho, é a ordem correta das operações. head -n 1000000 rockyou.txt > rockyou-1m.txt não custa nada que você provavelmente encontraria mesmo assim, e termina quatorze vezes antes.
Uma última esquisitice: 14.534 linhas contêm bytes fora do ASCII, coisas como *7¡Vamos! bem no fim do arquivo. É um erro de arredondamento a 0,1%, mas é o motivo de alguma ferramenta engasgar de vez em quando com a lista e reclamar de codificação quando nada mais está errado.
Como usar o rockyou.txt com Hashcat, John e Hydra
O arquivo é inerte. O que você faz com ele depende de ter um hash em mãos ou estar batendo na porta de um serviço ao vivo.
Hashcat: hashes offline
O modo de ataque -a 0 é o ataque de dicionário puro. Aponte para o arquivo e deixe a GPU trabalhar:
hashcat -m 1000 -a 0 hashes.txt /usr/share/wordlists/rockyou.txtAdicione regras para extrair muito mais das mesmas 14 milhões de palavras. Um conjunto de regras muta cada candidato: o best64.rule transforma password em Password, password1, drowssap e outras sessenta e poucas variações:
hashcat -m 1000 -a 0 hashes.txt rockyou.txt -r /usr/share/hashcat/rules/best64.ruleAs regras são a verdadeira fonte das taxas de sucesso, e nosso tutorial de Hashcat percorre os modos de ataque com calma.
John the Ripper: formatos chatos
O John lê o mesmo arquivo com --wordlist:
john --wordlist=/usr/share/wordlists/rockyou.txt --format=sha512crypt hashes.txt
john --show hashes.txtO John ganha seu espaço pela família *2john, que extrai um hash quebrável de um arquivo criptografado: zip2john, ssh2john, keepass2john, pdf2john.pl e outras dezenas. Esse pipeline é clássico em CTF:
zip2john secret.zip > zip.hash
john --wordlist=/usr/share/wordlists/rockyou.txt zip.hashEle também lida com formatos que o Hashcat não cobre, incluindo os hashes yescrypt que viraram padrão no Debian 12 e no Ubuntu 24.04. O guia do John the Ripper trata desses casos.
Hydra: serviços ao vivo, com cuidado
Força bruta online é outro esporte. Cada tentativa é uma requisição de rede que fica registrada, contada e, mais cedo ou mais tarde, limitada pelo servidor:
hydra -l admin -P /usr/share/seclists/Passwords/Leaked-Databases/rockyou-75.txt \
-t 4 ssh://10.10.10.5Repare na fatia em vez do arquivo inteiro, e no -t 4 em vez das 16 threads padrão. Jogar 14 milhões de senhas contra um formulário de login é a melhor forma de bloquear justamente a conta que você queria alcançar e colocar o seu trabalho num relatório de incidente. Use uma lista curta e pare assim que o alvo começar a devolver erros.
Uma confusão que merece nome: rockyou.txt é uma lista de senhas, não de diretórios. Entregá-la ao Gobuster ou ao ffuf rende 14 milhões de 404. Descoberta de conteúdo pede outro tipo de arquivo, e é exatamente disso que trata nosso guia de wordlists do Gobuster.
Quando o rockyou.txt deixa de funcionar
O rockyou.txt falha o tempo todo, e as falhas seguem um padrão. Aprender a ler o padrão poupa horas.
A senha não está na lista. Óbvio, mas a reação comum é baixar uma lista maior quando o certo é mutar a lista que você já tem. Regras transformam 14 milhões de candidatos em bilhões de candidatos realistas. Qualquer coisa que um humano digitaria, um conjunto de regras provavelmente gera.
O hash é lento de propósito. bcrypt, scrypt, Argon2 e yescrypt existem para encarecer a adivinhação, e conseguem. Meça antes de se comprometer: rode hashcat -b -m <modo>, divida 14.344.392 pela taxa informada e você vai saber se isso é uma pausa para o café ou um fim de semana. Se for um fim de semana, use o primeiro milhão de linhas.
A senha é específica da organização. Nenhum vazamento de 2009 contém Acme2026!. Monte uma lista dirigida com o cewl, que raspa o vocabulário do próprio site da empresa, e depois aplique regras no resultado. Dez mil palavras tiradas do alvo batem quatorze milhões tiradas de desconhecidos.
Você está num CTF e deveria ter funcionado. Quando o rockyou.txt erra um desafio, a resposta quase nunca é uma wordlist maior. É que você está com o tipo de hash errado, a flag está escondida em outro lugar, ou o caminho previsto nunca passou por quebra de senha. Os autores de desafios sabem o que existe no rockyou.txt. Se quisessem que você gastasse seis horas nele, teriam avisado.
O resumo honesto: rockyou.txt é uma primeira tentativa, não uma estratégia. É rápido, é gratuito, e acerta com frequência suficiente para nunca ser pulado. Quando não acerta, o próximo passo é um conjunto de regras ou uma lista sob medida, nunca um download duas vezes maior.
rockyou2021 e rockyou2024: maior não é melhor
Pesquise por rockyou e você vai esbarrar em dois arquivos muito maiores que pegaram o nome emprestado. Vale entender os dois, principalmente para decidir ignorá-los.
O rockyou2021.txt apareceu num fórum de hacking em junho de 2021 com 8.459.060.239 entradas. O rockyou2024.txt veio em 4 de julho de 2024 com 9.948.575.739 strings únicas em texto puro, número verificado pelos pesquisadores da Cybernews que analisaram o upload.
Nenhum dos dois é um vazamento. Ambos são compilações, costuradas a partir de milhares de dumps antigos mais enchimento gerado, e nenhum tem ligação real com o incidente RockYou de 2009 além da marca emprestada.
Três motivos os tornam menos úteis do que o tamanho sugere. Não são ordenados, então a ordenação por frequência que torna o arquivo original eficiente desaparece. Vêm inflados com strings geradas que nenhum humano jamais digitou. E, com centenas de gigabytes, entregar um deles ao Hashcat transforma um trabalho de GPU em trabalho de leitura de disco.
Fique com os 14 milhões originais e um bom conjunto de regras. Essa combinação supera dez bilhões de strings desordenadas em quase todo alvo que você vai encontrar, e cabe na memória RAM.
Considerações legais e éticas
Lembrete essencial: só quebre hashes que sejam seus ou para os quais você tenha autorização escrita explícita. Quebra de senhas sem autorização é crime sob o Computer Fraud and Abuse Act nos Estados Unidos, o Computer Misuse Act no Reino Unido e o artigo 154-A do Código Penal brasileiro, incluído pela Lei 12.737/2012. Ter o arquivo não é o problema: o que você mira com ele, sim.
Poucas ferramentas ofensivas são tão pacificadas juridicamente quanto o rockyou.txt. Vem dentro do Kali Linux, é usado em disciplinas universitárias e seu conteúdo é público há mais de uma década. Baixar não é a parte arriscada.
É a força bruta online que coloca as pessoas em apuros. Fazer password spraying contra um formulário de login real gera logs, alertas de autenticação falha e contas bloqueadas, tudo a partir do seu endereço IP. Garanta que ataques a credenciais estejam por escrito no escopo antes de um trabalho começar. "Teste de intrusão autorizado" e "você pode rodar Hydra contra o portal VPN" não são a mesma frase.
Se você está do lado defensivo, a contramedida não é uma política de complexidade mais dura. A NIST SP 800-63B recomenda abandonar regras de composição e expiração forçada em favor de frases-senha mais longas e da checagem de cada senha nova contra listas de vazamentos conhecidos. Esse último controle é exatamente uma consulta ao rockyou.txt, feita pelo defensor. O mesmo arquivo que quebra contas também impede a quebra, o que é um belo argumento para conhecê-lo bem.
Perguntas frequentes sobre o rockyou.txt
O que é o arquivo rockyou.txt?
rockyou.txt é uma wordlist em texto puro com 14.344.392 senhas únicas, uma por linha, recuperadas do vazamento de dezembro de 2009 da RockYou, empresa de widgets sociais. Como a RockYou guardava as senhas sem hash, o vazamento expôs escolhas humanas genuínas, e é por isso que o arquivo virou o dicionário padrão da quebra de senhas.
Quantas senhas existem no rockyou.txt?
Exatamente 14.344.392, sem duplicatas. O arquivo tem 139.921.507 bytes descompactado, cerca de 133 MB. Uma versão distribuída com o SecLists mantém a contagem de ocorrências, e essas contagens somam 32.603.388 contas, batendo com o "aproximadamente 32 milhões" citado pela FTC.
Onde fica a wordlist rockyou no Kali Linux?
Em /usr/share/wordlists/rockyou.txt.gz, instalada pelo pacote wordlists. Ela vem em gzip por padrão. Se o arquivo não estiver lá, rode sudo apt install wordlists. Em outras distribuições, pegue no repositório SecLists, em Passwords/Leaked-Databases/rockyou.txt.tar.gz.
Como descompactar o rockyou.txt.gz?
Rode sudo gunzip /usr/share/wordlists/rockyou.txt.gz. Isso substitui o arquivo compactado por um rockyou.txt de 133 MB. Para manter também a cópia compactada, use sudo gunzip -k. Confirme o resultado com wc -l, que deve imprimir 14344392.
O rockyou.txt ainda é útil em 2026?
Sim, como jogada de abertura. Continua sendo o jeito mais rápido de descobrir se um hash corresponde a uma senha fraca, e ainda acerta com frequência em contas pessoais e desafios de CTF. Contra uma política corporativa moderna, o valor cai bastante: só 0,34% das entradas satisfazem a regra de "8 caracteres com maiúscula, minúscula, número e símbolo". Combine com um conjunto de regras como o best64.rule e ele segue relevante.
É legal baixar o rockyou.txt?
Na prática sim, e ele vem pré-instalado no Kali Linux, distribuído abertamente no mundo todo. O risco jurídico está no uso, não na posse: quebrar hashes ou fazer força bruta em logins sem autorização escrita é crime na maioria das jurisdições. Pratique em ambientes feitos para isso, como os labs da HackerDNA, competições de CTF ou hashes que você mesmo gera.
Dá para usar o rockyou.txt com Gobuster ou ffuf?
Dá, mas não convém. O rockyou.txt guarda senhas, não nomes de diretórios ou arquivos, então a força bruta de diretórios com ele devolve quase só 404 enquanto queima 14 milhões de requisições. Descoberta de conteúdo pede uma lista orientada a caminhos, como o directory-list-2.3-medium.txt ou a coleção Discovery do SecLists.
Seus próximos passos com o rockyou.txt
O rockyou.txt sobreviveu à empresa que o vazou, aos widgets que ele deveria proteger e à maioria das contas às quais pertencia. Ele sobrevive porque 14 milhões de escolhas autênticas de senha ensinam algo que nenhuma lista gerada consegue: as pessoas pegam uma palavra de que gostam e colam um número atrás, e não pararam.
Conhecer o arquivo é uma habilidade pequena. Saber quando parar de alimentá-lo contra um hash lento, quando recorrer a um conjunto de regras e quando a wordlist nunca foi a resposta, essa é a habilidade que vale construir, e ela só vem das execuções que você fez.
Faça essas execuções no lab Shadow Cracker e depois siga o curso Password Cracking, que joga a mesma wordlist contra arquivos shadow do Linux, dumps NTLM do Windows, arquivos criptografados e handshakes de Wi-Fi, passo a passo. Tudo no navegador, plano gratuito, sem cartão de crédito.
Parte da série Penetration Testing
Artigos relacionados:
