Fast det är ju åt andra hållet. Man behöver inte kolla hashar mot ett mål, utan man kan sätta en "dator" att generera alla hashar för alla lösenordslängder och diverse teckenuppsättningskomplexitet. Sen sparar man dem i en databas och kan jämföra med hashar som man får tag på. Hasharna kan alltså genereras i förväg, och distribuerat, så tiden startar inte när lösenordsdatabasen har läckt ut, utan kan ha startat för flera år sen.
Säg att man först kör en vända med enbart siffror och bokstäver, små som stora, men inga specialtecken, med längder från 4 tecken (gissar att inga är kortare än så), åtta tecken. När alla såna är klara kan man gå på nästa variant, att blanda in ett specialtecken på en plats, köra alla upp till en viss längd, osv.
Plus att man kan köra flera vändor med längre lösenord där man kör mot orddatabaser och tidigare lösenord från läckor, för att bygga en ännu större databas med färdiga hashar att jämföra mot.
