使用 Hydra 尝试对我的登录页面进行暴力攻击是行不通的

Question

我正在学习如何使用 Hydra 进行暴力攻击，并尝试在我为旧网站构建的登录页面上进行测试。有时我可以让 Hydra 运行并尝试攻击，但即使我在 password.txt 文件中输入正确的密码，它也不会起作用。任何关于为什么我的代码不能正确触发的建议都会很棒。我以为我是对的，但我想不是。

以下是我认为可能是问题的事情，但我似乎无法弄清楚它们是否是问题。

• 登录表单会向自身发送信息以验证凭据
• 如果密码错误，则会输出“糟糕，用户名或密码错误！” （如果我在命令中使用整个字符串，我会遇到问题）
• 也许我没有扎根到正确的位置来进行攻击

还要注意的是，该网站现在位于我网站的子目录中。此外，登录仅使用 MD5，我将密码字符串和密码的 MD5 版本都包含在我的 password.txt 文件中

这是我的命令：

Hydra 69.57.9.2 http-form-post“/john_smith_blog/admin_login/index.php:用户名=^USER^&密码=^PASS^:哎呀”-l JohnSmith -P 密码.txt -t 10 -w 30 -o Hydra -http-post-attack.txt

这是来自wireshark的Post数据

POST /john_smith/admin_login/index.php HTTP/1.1
Host: DomainNameDotCom
Connection: keep-alive
Content-Length: 359
Cache-Control: max-age=0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Origin: DomainNameDotCom
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_10_3) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/46.0.2490.86 Safari/537.36
Content-Type: multipart/form-data; boundary=----WebKitFormBoundary3vaAYMlCejOUFLH5
Referer: DomainNameDotCom/john_smith/admin_login/index.php
Accept-Encoding: gzip, deflate
Accept-Language: en-US,en;q=0.8,nb;q=0.6
Cookie: __utmz=237398355.1442340459.1.1.utmcsr=(direct)|utmccn=(direct)|utmcmd=(none); __utma=237398355.593524857.1442328243.1442340459.1445019147.2; __unam=7639673-14fd22d2da8-49c4842-202; PHPSESSID=npth83ho7cg7di5bps0qtlm1i7; _ga=GA1.2.593524857.1442328243

------WebKitFormBoundary3vaAYMlCejOUFLH5
Content-Disposition: form-data; name="username"

JohnSmith
------WebKitFormBoundary3vaAYMlCejOUFLH5
Content-Disposition: form-data; name="password"

JohnSmith94
------WebKitFormBoundary3vaAYMlCejOUFLH5
Content-Disposition: form-data; name="Submit"

Login
------WebKitFormBoundary3vaAYMlCejOUFLH5--
HTTP/1.1 200 OK
Date: Sun, 22 Nov 2015 23:07:43 GMT
Server: Apache
X-Powered-By: PHP/5.3.6
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0
Pragma: no-cache
Connection: close
Transfer-Encoding: chunked
Content-Type: text/html

49a
Oops, Wrong Username Or Password! 

Answer 1

任何关于为什么我的代码无法正确触发的建议都会很棒。

您使用 THC 还是制作自己的 Hydra 版本？

四氢大麻酚

尝试更新您的 Hydra，如果没有尝试下载最新版本并仔细检查您的选项。

自己的九头蛇版本

您使用什么 PL？尝试以数组形式制作password.txt 文件，并让您的代码尝试按数组顺序使用数组。在我看来，首先制作一个完整的 bruteforce.txt 从 'a' 到 'zzzzzzzzzzz' 这样。

最好自己做一个，利用别人的作品。只是说:)

Answer 2

确保表单参数与 Hydra 攻击中的相同（例如用户名和密码）。

另请记住，您的查询旨在处理 POST 请求表单。您可能需要在那里放置更多参数（例如 Login=Login 或类似的东西）。

要检查是否最好安装一个简单的浏览器插件（例如篡改数据或标头），该插件在侦听模式下能够向您提供完整的发布数据请求。从那里您可以修改您的 Hydra 参数。