Jak nainstalovat a používat THC Hydra?

Nejslabšími odkazy jsou hesla. Pokud někdo získá vaše heslo, je po všem! Jako taková jsou hesla nejdůležitější slabiny zabezpečení. Existuje mnoho nástrojů, které vám umožňují vyzkoušet kombinace uživatelské jméno: heslo, žádný z nich však není tak silný jako THC Hydra. Je to proto, že je to rychlé a nabízí velké množství protokolů k hrubé síle. Ve skutečnosti dokáže zpracovat asi 55 různých protokolů. Kromě toho existují dvě verze THC Hydra: verze GUI a verze CLI.

Instalace THC Hydra

Stáhněte si THC hydra z https: // github.com / vanhauser-thc / thc-hydra.

Po stažení rozbalte soubory a proveďte následující:

cd thc-hydra-master /
./ konfigurovat
udělat
provést instalaci

Pokud používáte Ubuntu / Debian, zadejte také následující:

apt-get install libssl-dev libssh-dev libidn11-dev libpcre3-dev \
libgtk2.0-dev libmysqlclient-dev libpq-dev libsvn-dev \
firebird-dev libmemcached-dev libgpg-error-dev \
libgcrypt11-dev libgcrypt20-dev

Použití CLI

Zde zkoumáme, jak používat hydru s běžnými protokoly.

SSH / FTP / RDP / TELNET / MYSQL

Je třeba si uvědomit, že Hydra dokáže pracovat s přibližně 55 různými protokoly. Toto je jen několik příkladů nejuznávanějších protokolů, například ssh, ftp, rdp, telnet a mysql. Stejný princip však platí i pro zbývající protokoly.

Abyste mohli Hydru pracovat s protokolem, budete potřebovat buď uživatelské jméno (-l) nebo seznam uživatelských jmen (-L), seznam hesel (soubor hesel) a cílovou IP adresu přidruženou k protokol. Pokud chcete, můžete přidat další parametry. Například -V pro výřečnost.

hydra -l -P : //

Můžete jej také naformátovat následujícím způsobem:

hydra -l -P -s -PROTI

-l nebo -L: uživatelské jméno nebo seznam uživatelských jmen k pokusu
-P: seznam hesel
-s: port
-V: podrobně
: ftp / rdp / ssh / telnet / mysql / atd…
: IP adresa

Například pro FTP:

hydra -V -f -l -P ftp: //

Nebo

hydra -l -P -s 21 -V ftp

HTTP-ZÍSKEJTE FORMULÁŘ

V závislosti na typu požadavku, GET nebo POST, můžete použít buď http-get-form, nebo http-post-form. Pod prvkem inspekce můžete zjistit, zda je stránka GET nebo POST. Poté můžete použít http-get-form při pokusu o nalezení hesla k kombinaci uživatelské jméno: heslo na webu (například na webu).

hydra -l -P -VF http-get-form “a: b: c: d”

-l nebo -L: uživatelské jméno nebo seznam uživatelských jmen k pokusu
-P: seznam hesel
-f: zastavit, když je nalezeno heslo
-V: podrobně
a: přihlašovací stránka
b: kombinace uživatelského jména a hesla
c: chybová zpráva přijata, pokud přihlášení selže
d: H = cookie relace

Předpokládejme například, že chceme hacknout DVWA (Damn Vulnerable Web Application). Jakmile jste online pomocí apache2, měl by být na vaší místní IP. V mém případě je to na http: // 10.0.2.15.

Takže:
: 10.0.2.15
A: / zranitelnosti / brutální /

Dále potřebujeme b a c. Zkusme se tedy přihlásit pomocí falešných údajů (cokoli zde bude dělat). Stránka zobrazuje tuto zprávu: „Nesprávné uživatelské jméno nebo heslo.„Proto použijeme zprávu c:

c: nesprávné uživatelské jméno nebo heslo

Takže b bude následující:

b: uživatelské jméno = ^ UŽIVATEL ^ & heslo = ^ PASS ^ & Přihlášení = Přihlášení #

Nahraďte přihlašovací údaje zadané pomocí ^ USER ^ a ^ PASS ^. Pokud se jednalo o požadavek POST, najdete tyto informace pod prvkem kontroly> karta Požadavek.

Dále v části Zkontrolovat prvek zkopírujte soubor cookie. To bude d:

d: H = Cookie: PHPSESSID = 3046g4jmq4i504ai0gnvsv0ri2; zabezpečení = nízké

Například:

hydra -l admin -P / home / kalyani / rockyou.txt -V -f 10.0.2.15 http-get-form
"/ zranitelnosti /brute /: username = ^ USER ^ & password = ^ PASS ^ & Login = Přihlášení
#: nesprávné uživatelské jméno nebo heslo:
H = Cookie: PHPSESSID = 3046g4jmq4i504ai0gnvsv0ri2; zabezpečení = nízké “

Když toto spustíte a pokud je heslo v seznamu, pak ho najde za vás.

Pokud se to však pro vás ukáže jako příliš mnoho práce, nemusíte se stresovat, protože existuje také verze grafického uživatelského rozhraní. Je to mnohem jednodušší než verze CLI. Verze GUI THC hydra se nazývá Hydra GTK.

Instalace Hydra GTK

V Ubuntu můžete jednoduše nainstalovat Hydra GTK pomocí následujícího příkazu:

sudo apt-get install hydra-gtk -y

Po instalaci budete potřebovat následující:

Cíl nebo seznam cílů: Toto je IP adresa protokolu, na který chcete zaútočit
Číslo portu: číslo portu spojené s protokolem
Protokol: ssh, ftp, mysql atd ..
Uživatelské jméno: zadejte uživatelské jméno nebo seznam uživatelských jmen
Heslo nebo Seznam hesel

V závislosti na tom, zda chcete hacknout jeden nebo více cílů, můžete do pole cíle zadat jeden nebo více cílů. Předpokládejme, že útočíte na jediný cíl, SSH, umístěný na 999.999.999.999 (samozřejmě falešná IP adresa). Do cílového pole vložíte 999.999.999.999 a v části přístavu byste dali 22. Pod protokol byste vložili SSH. Bylo by také vhodné zaškrtnout políčka „být upovídaný“ a „ukázat pokusy“. Pole „be verbose“ odpovídá -v v THC Hydra, zatímco políčko „show places“ odpovídá -V v THC Hydra. Plusem u Hydry je, že dokáže pracovat s velkým počtem protokolů.

Na další kartě zadejte požadované uživatelské jméno nebo seznam uživatelských jmen (v tomto případě umístění seznamu uživatelských jmen). Například do „seznamu uživatelských jmen“ bych vložil „/ home / kalyani / usernamelist.txt “. Totéž platí pro hesla. Umístění souboru s heslem se zadává do pole s názvem „seznam hesel“. Jakmile jsou tyto vyplněny, zbytek je snadný. Ladění a konkrétní karty můžete nechat tak, jak jsou, a kliknout na tlačítko Start pod kartou Start.

Hydra GTK je mnohem jednodušší než THC Hydra, i když jsou to samé. Ať už používáte THC Hydra nebo Hydra GTK, oba jsou skvělým nástrojem k prolomení hesel. Obvykle se vyskytující problém bude mít podobu použitého seznamu hesel. Samozřejmě můžete použít jiné programy, jako jsou generátory krizí a seznamů slov, abyste si přizpůsobili svůj seznam hesel podle vašich představ. Pokud si však můžete seznam hesel také přizpůsobit svému použití, může se Hydra stát velmi mocným spojencem.

Happy Hacking!