Hướng Dẫn Sử Dụng Hydra

*



*
14" srcset="https://pixshare.vn/huong-dan-su-dung-hydra/imager_2_65046_700.jpg 120w, https://pixshare.vn/wp-content/uploads/2021/10/1_TPtoIN4c4bLgS8fCGCU8Wg-350x250.jpg 350w" sizes="(max-width: 120px) 100vw, 120px" title="TryHackMe: Thử thách OWASP Top 10 18">
*
15" srcset="https://pixshare.vn/huong-dan-su-dung-hydra/imager_3_65046_700.jpg 120w, https://pixshare.vn/wp-content/uploads/2021/10/1__o9kgTkh_63l51skO0hGcQ-350x250.jpg 350w" sizes="(max-width: 120px) 100vw, 120px" title="TryHackMe: Thử thách OWASP Top 10 19">
*

Hydra là gì?

Hydra là một công cụ brute force mạnh mẻ; một công cụ ‘hack’ mật khẩu đăng nhập hệ thống nhanh chóng.

Bạn đang xem: Hướng dẫn sử dụng hydra


Chúng ta có thể sử dụng Hydra để duyệt qua một danh sách và ‘bruteforce‘ một số dịch vụ xác thực. Hãy tưởng tượng bạn đang cố gắng đoán thủ công một số mật khẩu trên một dịch vụ cụ thể (SSH, Web Application Form, FTP hoặc SNMP) – chúng ta có thể sử dụng Hydra để duyệt qua danh sách mật khẩu và tăng tốc quá trình này để xác định mật khẩu chính xác.


Hydra có khả năng thực thi các giao thức sau: Asterisk, AFP, Cisco AAA, Cisco auth, Cisco enable, CVS, Firebird, FTP, HTTP-FORM-GET, HTTP-FORM-POST, HTTP-GET, HTTP-HEAD, HTTP -POST, HTTP-PROXY, HTTPS-FORM-GET, HTTPS-FORM-POST, HTTPS-GET, HTTPS-HEAD, HTTPS-POST, HTTP-Proxy, ICQ, IMAP, IRC, LDAP, MS-SQL, MYSQL, NCP , NNTP, Oracle Listener, Oracle SID, Oracle, PC-Anywhere, PCNFS, POP3, POSTGRES, RDP, Rexec, Rlogin, Rsh, RTSP, SAP / R3, SIP, SMB, SMTP, SMTP Enum, SNMP v1 + v2 + v3 , SOCKS5, SSH (v1 và v2), SSHKEY, Subversion, Teamspeak (TS2), Telnet, VMware-Auth, VNC và XMPP.

Để biết thêm thông tin về các tùy chọn của từng giao thức trong Hydra, hãy đọc trang công cụ Kali Hydra chính thức tại đây.

Điều này cho thấy tầm quan trọng của việc sử dụng một mật khẩu mạnh, nếu mật khẩu của bạn là phổ biến, không chứa các ký tự đặc biệt hoặc không trên 8 ký tự, thì mật khẩu đó sẽ dễ bị đoán trúng. 100 triệu danh sách mật khẩu tồn tại chứa các mật khẩu phổ biến, vì vậy khi một ứng dụng ngoại vi sử dụng mật khẩu dễ đăng nhập, thi bạn nên thay đổi mật khẩu đó đi. Thường thì camera CCTV và các frameworks web sử dụng admin:password làm mật khẩu mặc định, thì rất dễ bị hack.


Cài Hydra

Nếu bạn đang sử dụng Kali Linux, thì hydra đã được cài đặt sẵn. Nếu không bạn có thể tải về tại đây.

Xem thêm: Thủ Thuật Cách Chơi Game Gunny Mobi, Hướng Dẫn Đo Khoảng Cách Để Bắn Gunny Chuẩn Xác


Nếu bạn không có Linux hoặc môi trường máy tính để bàn phù hợp, bạn có thể triển khai máy Kali Linux của riêng mình với tất cả các công cụ bảo mật cần thiết. Bạn thậm chí có thể điều khiển Linux trong trình duyệt của mình tại đây.

Cách sử dụng Hydra

Các tùy chọn mà chúng ta chuyển vào Hydra phụ thuộc vào dịch vụ (giao thức) mà chúng ta đang tấn công. Ví dụ: nếu chúng ta muốn bruteforce FTP với tên người dùng là user và danh sách mật khẩu là passlist.txt, chúng ta sẽ sử dụng lệnh sau:


hydra -l user -P passlist.txt ftp://192.168.0.1

passlist bạn có thể tải ở bài Worlist Password mới nhất.

Với mục đích của thử thách Christmas, đây là các lệnh sử dụng Hydra trên SSH và web form (phương thức POST).

SSH

hydra -l -P -t 4 ssh


-l là tên người dùng-P Sử dụng danh sách mật khẩu-t chỉ định số lượng luồng sẽ sử dụng

Post Web Form

Chúng ta cũng có thể sử dụng Hydra để bruteforce các web forms, bạn sẽ phải đảm bảo rằng bạn biết loại yêu cầu của nó – phương thức GET hoặc POST thường được sử dụng. Bạn có thể sử dụng tab Network trong trình duyệt (bấm F12 – developer tools) để xem các loại phương thức của request.

Dưới đây là ví dụ về lệnh Hydra để brute force một form login dùng phương thức POST.

hydra -l -P http-post-form "/:username=^USER^&password=^PASS^:F=incorrect" -V

Giải thích các tùy chọn:

-l: Tên người dùng duy nhất-P: cho biết sử dụng danh sách mật khẩu sauhttp-post-form: cho biết loại phương thức (post)/login url: URL trang đăng nhập:username: trường biểu mẫu nơi tên người dùng được nhập^USER^: yêu cầu Hydra sử dụng tên người dùngpassword: trường biểu mẫu nơi mật khẩu được nhập^PASS^: yêu cầu Hydra sử dụng danh sách mật khẩu đã cung cấp trước đóLogin: cho biết để rút lại thông báo đăng nhập không thành côngLogin failed: là thông báo đăng nhập thất bại mà biểu mẫu trả vềF=incorrect: nếu từ này xuất hiện trên trang, thì nó không chính xác-V: đầu ra cho mọi lần thử

Bây giờ bạn sẽ có đủ thông tin về hydra để thực hành và hoàn thành thử thách Hydra Christmas rồi đó.


Previous Post

Cách lấy địa chỉ IP của người khác trong Discord

Next Post

Key Windows giá 140K, Office 2019 giá 500K