Dependiendo de la jurisdicción, lo que está haciendo puede ser ilegal, sin embargo, incluso si es "su propia cuenta". Técnicamente, lo que hace es un ataque de diccionario en línea , por lo que implica muchas conexiones con el servidor de destino, lo que difícilmente es el "uso normal y justo" de los recursos de ese servidor. Tiene una cuenta en ese servidor basada en la aceptación tácita (o explícita) de algunas reglas de uso, que rompe su intento de ataque. Para hacer una analogía: si usted alquila una caja de seguridad en un banco, entonces lleve al banco un perforador industrial y comience a perforar la puerta de la caja de seguridad, los bancos pueden llamar a la policía, incluso si esa es "su" caja de seguridad. p>
Por lo tanto, se recomienda precaución. Para realizar pruebas sin incurrir en ningún inconveniente legal, le sugiero que ejecute su propio servidor como una máquina virtual en su propia PC.
En cualquier caso, lo que THC-HYDRA hace es que envía posibles parejas de inicio de sesión + contraseña a una Web determinada servidor a través de solicitudes POST - y debe ser capaz de determinar si el intento tuvo éxito o no. En el nivel HTTP, el código de respuesta siempre será un 200 (un código "OK") (esa es la diferencia entre "Autenticación básica HTTP" y "Autenticación basada en formulario HTTP"); la herramienta debe "entender" de alguna manera la página web devuelta, lo que necesariamente implica un análisis heurístico (la página web que dice "contraseña perdida" está destinada a un ser humano , no a una máquina). Supongo que cualquier heurística aplicada de forma predeterminada por Hydra no funciona bien (o no funciona) para el sitio al que se dirige. Tal vez después de una docena de intentos, el sitio devuelve otra página de error (ya no es "la contraseña lo siento, está mal", sino algo como "begone, hacker malvado") que Hydra interpreta erróneamente en un informe de éxito. Esto explicaría lo que observa (se devolvieron contraseñas incorrectas).
Si el cuadro de diálogo con el servidor utiliza HTTP simple (no HTTPS), puede observar las solicitudes y respuestas con una herramienta de monitor de red como Wireshark. De lo contrario, consulte la documentación de Hydra para ver cómo configurarlo para el reconocimiento de respuestas.