¿Cómo puedo ajustar la Hidra para encontrar la contraseña correcta?

Question

¿Cómo puedo ajustar la Hidra para encontrar la contraseña correcta?

#1 de Mr. Llama (0 votos)

1

Estoy teniendo un poco de lío al hacer que la hidra vea la contraseña correcta cuando se redirige la página. La condición para que la contraseña sea correcta es si el inicio de sesión se redirige a una página determinada en el sitio de prueba de raíz.

Estoy usando el siguiente comando

'hydra -l username -P passwordlist  127.0.0.1 https-post-form "/index.php:UserName=^USER^&Password=^PASS^&submit=logout:invalid" -vV -f'

Mientras Hydra ejecuta este comando, muestra que la página se ha redirigido a otra página. Igual que había probado la contraseña correcta que había establecido previamente.

¿Cómo puedo ajustar este comando hydra para poder detener y encontrar la contraseña correcta después de que se haya redirigido?

password-cracking hydra

pregunta Greenman 09.07.2018 - 04:07

fuente

1 respuesta



                    
                Lea otras preguntas en las etiquetas
                                            password-cracking
                                            hydra
                                    
            
        

         
                            Detectar visitantes web controlados por RDP o comprometidos por RAT / RAT-in-the-Browser (RitB)
                                        Snort no funciona con IDSWakeup

score 0 · Answer 1

Sin ver tu página web de prueba es difícil de decir. Sin embargo, al observar el código fuente de Hydra, parece seguir los redireccionamientos y, finalmente, inspeccionar el contenido de la página final (suponiendo que no haya alcanzado el límite de redireccionamiento).

En cuanto a las opciones del módulo HTTP, puede especificar un pasa los criterios o fallidos .

The option field (following the service field) takes three ":" separated
values and an optional fourth value, the first is the page on the server
to GET or POST to, the second is the POST/GET variables (taken from either
the browser, or a proxy such as PAROS) with the varying usernames and passwords
in the "^USER^" and "^PASS^" placeholders, the third is the string that it
checks for an *invalid* or *valid* login - any exception to this is counted
as a success.
So please:
 * invalid condition login should be preceded by "F="
 * valid condition login should be preceded by "S=".
By default, if no header is found the condition is assume to be a fail,
so checking for *invalid* login.



 Su patrón actual considera que la contraseña es un error si la página resultante contiene "no válido". Dado que los inicios de sesión correctos redirigen, puede ser mejor buscar una condición de "aprobación" en lugar de prefijar el patrón con    S=    .