實例說明：利用 Hydra 暴力破解網站登入密碼

2018/12/20公告：testfire網站已經更版，改用jsp(原為aspx)開發，文章原來使用的暴力破解指令已不再適用，您應該發揮舉一反三的智慧，修正指令中的判斷條件，特此聲明！
指令修正為：
hydra -l admin -P /usr/share/metasploit-framework/data/john/wordlists/password.lst demo.testfire.net http-post-form "/doLogin:uid=^USER^&passw=^PASS^&btnSubmit=Login:Login Failed:C=/login.jsp"

最近(2016年1月)發現 thc.org 的網站被判定有惡意程式，且許多地方下載 hydra 7.5 的檔案也被掃毒軟體視為木馬，請讀者自行斟酌使用。

Hydra 是一套暴力破解工具，可以破解許多系統登入的帳密，一般常見的系統，如：cisco、ftp、http[s]、ldap2[s]、mssql、mysql、oracle-listener、pop3[s]、postgres、rdp、smb、smtp、ssh、telnet[s]、vnc (當然不只這些J)，大部分系統因為配合Command-Line 的登入模式都有固定格式，但http[s] 因每個系統、每個設計師風格不同，欄位名稱、成功或失敗回應方式都不同，前置預備動作比較多。

Hydra 的基本語法及常用選項：

 hydra [[[-l LOGIN | -L FILE] [-p PASS | -P FILE]] | [-C FILE]] [-e nsr] [-o FILE] [-t TASKS] [-M FILE]] [-w TIME] [-f | -F] [-s PORT] [-x MIN:MAX:CHARSET] [-SuvV46] [service://server[:PORT][/OPT]]

-l, -L ：帳號，-l 直接指定一組帳號， -L 利用文字檔指定多組帳號(一行文字表示一組帳號)

-p, -P ：密碼，-p 直接指定一組密碼， -P 利用文字檔指定多組密碼(一行文字表示一組密碼)

-C：利用文字檔，每一行用  login:pass 格式表示一組帳號/密碼組合。

-e：額外嘗試： n (空密碼，即不指定密碼)， s (將帳號同時當成密碼用)，r (將帳號/密碼調換使用)，此一選項是額外嘗試，也就是正常嘗試用，再增加本選項的測試!

-o： 將測試結果輸出到檔案

-t：指定同一時間的連線數，預設是 16 ，如果機器效能夠高、網路頻寬大，可以提高連線數，反之，則應降低連線數!

-M：指定多組要被暴力破解的伺服器網址，一行一個

-w：當發出登入連線後，等待 ? 秒回應的時間。

-x：指定密碼的長度限制及文字集，其中 MIN:MAX 是數字，表示密碼最少 MIN 字，最長 MAX字，而CHARSET 是由  1(數字), a(小寫字母), A(大寫字母)，如果要用其他特殊字，就直接接在後面，例如：1A@#!，表示密碼是由數值、大寫字母及 @#!    三個特殊字元組成! 此一選項是用來自動產生暴力字典!

-SuvVd46：是多個選項的組合，分別表示：

S：使用SSL連線

u：每一組密碼都用帳號輪流測試，而不是每一組帳號用密碼輪流測試。

v V d U 是訊息的詳細度

4 6 是 IP address 格式(IPv4 或 IPv6)

-s ：如果測試的伺服器不是使用預設 port，就利用 -s 指定

-f：如果測到一組成功的帳密就停止，如果指定 -M ，則是每一 site 成功，就換測試下一個 site

-F：同 -f ，但如果指定 -M，只要有一組帳密成功，就結束測試。

底下的選項最重要：

server 要測試的單一位址，如果要同時測試多個位址，就要使用 -M 選項

service 就是要破解的協定，常用：ftp  ftps  http[s]-{head|get}  http[s]-{get|post}-form  ldap2[s]  ldap3[-{cram|digest}md5][s]  mssql  mysql  oracle-listener  pop3[s]  postgres  rdp   rsh  smb  smtp[s]   ssh  telnet[s]  vmauthd  vnc
OPT 就是其他額外指定的參數，例如 WebForm 的欄位名稱等...

輔助說明提供的範例如：

hydra -l user -P passlist.txt ftp://192.168.1.1

hydra -L userlist.txt -p defautpass imap://192.168.1.1/PLAIN

hydra -C userpass.txt -6 pop3s://[fe80::2c:31ff:fe12:ac11]:1433/TLS:DIGEST-MD5

看完 hydra 的使用說明後，我們嘗試對 Web Form 進行暴力破解，對像是 IBM提供的一個測試網站：http://www.testfire.net/
在進行破解前，要先完成預備動作：

(1) 網頁如果有啟用圖型認證或其他需人為進行判斷的機制，就不適合使用暴力破解!

(2) 是用 post 或 get 傳遞欄位(可利用原始碼觀看)

(3) 帳號及密碼欄位名稱

(4) 處理(action)的網址

(5) 如果帳密錯誤時，回傳的訊息

 

在 www.testfire.net 首頁的中上地方可以看到「Sign In」，點選之後出現登入畫面

 

在登入畫面按右鍵，查看原始碼(如下)，找出正確的 form 位置，記下處理的網頁網址及帳密欄位!

我們觀看原始碼，發現此網站的欄位分別為：uid 與 passw，使用 post 方式傳給 login.aspx 處理，因此我們決定使用  http-post-form，所以在 kali 的Console 中輸入

 hydra -l admin -P /usr/share/metasploit-framework/data/john/wordlists/password.lst www.testfire.net http-post-form "/bank/login.aspx:uid=^USER^&passw=^PASS^:Login Failed"

你可能發現上面的語法跟基本語法不太一樣! 其實  service://server:PORT/OPT ，也可以改用：

server:PORT service "OPT" ，而其中對欄位的指定「帳號欄位=^USER^&密碼欄位=^PASS^:錯誤回應」，^USER^ 及 ^PASS^ 表示 hydra 會自動幫我們替換值，以達到暴力破解的目的，而 「錯誤回應」則是 hydra 判斷是否成功登入的依據，當回應的訊息中如果有對應的文字，就表示失敗，必須繼續嘗試下一組帳號/密碼!

由於我們沒有帳號字典，而密碼字典就利用 kali 已內建的字典檔「/usr/share/metasploit-framework/data/john/wordlists/password.lst」，幾分鐘之後，我們看到結果：

原來，可用的帳密是 admin/admin，當然如果是用帳號清單檔，可能可以找出很多組密碼組合!

PS: 這一篇是為了要進行弱密碼測試而寫，而測試的目標並不限於登入畫，如果網站有漏洞，可以直接接觸到變更密碼或忘記密碼，也可以嘗試利用hydra進行改擊!

除了hydra之外，另一組 ncrack 也有相似的功用，只是個人覺得 hydra 的選項比較簡潔，所以偏好 hydra !