0

我只是在学习如何使用 Hydra 进行蛮力攻击，并试图在我为旧网站构建的登录页面上进行测试。有时我可以让 Hydra 运行并尝试攻击，但即使我在 password.txt 文件中输入了正确的密码，它也无法正常工作。关于为什么我的代码不会正确触发的任何建议都会很棒。我以为我做对了，但我想不是。

以下是我认为可能是一个问题，但我似乎无法弄清楚它们是否存在。

  • 登录表单发布到自身以验证凭据
  • 如果密码是错误的，它会输出糟糕，错误的用户名或密码！（如果我在命令中使用整个字符串，我会遇到问题）
  • 也许我没有扎根于我的攻击的正确位置

还要注意，该站点现在位于我站点的子目录中。登录也只使用 MD5，我在 password.txt 文件中包含了密码字符串和密码的 MD5 版本

这是我的命令：

hydra 69.57.9.2 http-form-post "/john_smith_blog/admin_login/index.php:username=^USER^&password=^PASS^:Oops" -l JohnSmith -P password.txt -t 10 -w 30 -o hydra- http-post-attack.txt

这是来自wireshark的发布数据

POST /john_smith/admin_login/index.php HTTP/1.1
Host: DomainNameDotCom
Connection: keep-alive
Content-Length: 359
Cache-Control: max-age=0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Origin: DomainNameDotCom
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_10_3) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/46.0.2490.86 Safari/537.36
Content-Type: multipart/form-data; boundary=----WebKitFormBoundary3vaAYMlCejOUFLH5
Referer: DomainNameDotCom/john_smith/admin_login/index.php
Accept-Encoding: gzip, deflate
Accept-Language: en-US,en;q=0.8,nb;q=0.6
Cookie: __utmz=237398355.1442340459.1.1.utmcsr=(direct)|utmccn=(direct)|utmcmd=(none); __utma=237398355.593524857.1442328243.1442340459.1445019147.2; __unam=7639673-14fd22d2da8-49c4842-202; PHPSESSID=npth83ho7cg7di5bps0qtlm1i7; _ga=GA1.2.593524857.1442328243

------WebKitFormBoundary3vaAYMlCejOUFLH5
Content-Disposition: form-data; name="username"

JohnSmith
------WebKitFormBoundary3vaAYMlCejOUFLH5
Content-Disposition: form-data; name="password"

JohnSmith94
------WebKitFormBoundary3vaAYMlCejOUFLH5
Content-Disposition: form-data; name="Submit"

Login
------WebKitFormBoundary3vaAYMlCejOUFLH5--
HTTP/1.1 200 OK
Date: Sun, 22 Nov 2015 23:07:43 GMT
Server: Apache
X-Powered-By: PHP/5.3.6
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0
Pragma: no-cache
Connection: close
Transfer-Encoding: chunked
Content-Type: text/html

49a
Oops, Wrong Username Or Password!
4

2 回答 2

0

关于为什么我的代码不会正确触发的任何建议都会很棒。

您使用的是 THC 还是制作了自己的 Hydra 版本？

四氢大麻酚

尝试更新您的 hydra，如果没有尝试下载最新的并仔细检查您的选项。

自己的九头蛇版本

你用的是什么PL？尝试以数组形式制作您的 password.txt 文件，并让您的代码尝试按数组顺序使用数组。在我看来，首先像这样从“a”到“zzzzzzzzzzzz”制作一个完整的bruteforce.txt。

最好让你自己的，使用别人的工作。只是在说 ：）

于 2015-11-21T20:49:03.977 回答
0

确保表单参数与 hydra 攻击中的相同（例如用户名和密码）。

另请记住，您的查询旨在处理 POST 请求表单。您可能需要在那里放置更多参数（例如 Login=Login 或类似的东西）。

要检查是否最好安装一个简单的浏览器插件（例如篡改数据或标题），在侦听模式下制作时，它将能够向您显示完整的发布数据请求。从那里你可以修改你的 hydra 参数。

祝你好运。

于 2015-11-21T22:19:26.150 回答