• B правой части каждого сообщения есть стрелки и . Не стесняйтесь оценивать ответы. Чтобы автору вопроса закрыть свой тикет, надо выбрать лучший ответ. Просто нажмите значок в правой части сообщения.

  • Курсы Академии Кодебай, стартующие в мае - июне, от команды The Codeby

    1. Цифровая криминалистика и реагирование на инциденты
    2. ОС Linux (DFIR) Старт: 16 мая
    3. Анализ фишинговых атак Старт: 16 мая Устройства для тестирования на проникновение Старт: 16 мая

    Скидки до 10%

    Полный список ближайших курсов ...

Hydra трабла

addedie

Well-known member
04.08.2019
157
0
BIT
0
все наверное ломали в свое время DVWA вот и я пытаюсь и вот ответ гидры

Код:
root@buben:~/Документы# hydra -l admin -P passlist 192.168.1.66 http-post-form "/dvwa/login.php:username=^USER^&password=^PASS^&Login=Login:Login failed" -V
Hydra v9.0 (c) 2019 by van Hauser/THC - Please do not use in military or secret service organizations, or for illegal purposes.

Hydra (https://github.com/vanhauser-thc/thc-hydra) starting at 2019-12-27 08:03:38
[DATA] max 6 tasks per 1 server, overall 6 tasks, 6 login tries (l:1/p:6), ~1 try per task
[DATA] attacking http-post-form://192.168.1.66:80/dvwa/login.php:username=^USER^&password=^PASS^&Login=Login:Login failed
[ATTEMPT] target 192.168.1.66 - login "admin" - pass "dkjvskdjv" - 1 of 6 [child 0] (0/0)
[ATTEMPT] target 192.168.1.66 - login "admin" - pass "test45" - 2 of 6 [child 1] (0/0)
[ATTEMPT] target 192.168.1.66 - login "admin" - pass "hello" - 3 of 6 [child 2] (0/0)
[ATTEMPT] target 192.168.1.66 - login "admin" - pass "password" - 4 of 6 [child 3] (0/0)
[ATTEMPT] target 192.168.1.66 - login "admin" - pass "222rt" - 5 of 6 [child 4] (0/0)
[ATTEMPT] target 192.168.1.66 - login "admin" - pass "ffgt" - 6 of 6 [child 5] (0/0)
[80][http-post-form] host: 192.168.1.66   login: admin   password: dkjvskdjv
[80][http-post-form] host: 192.168.1.66   login: admin   password: test45
[80][http-post-form] host: 192.168.1.66   login: admin   password: password
[80][http-post-form] host: 192.168.1.66   login: admin   password: hello
[80][http-post-form] host: 192.168.1.66   login: admin   password: 222rt
[80][http-post-form] host: 192.168.1.66   login: admin   password: ffgt
1 of 1 target successfully completed, 6 valid passwords found
Hydra (https://github.com/vanhauser-thc/thc-hydra) finished at 2019-12-27 08:03:38
root@buben:~/Документы# ^C
root@buben:~/Документы# hydra -l admin -P passlist 192.168.1.66 http-post-form "/dvwa/login.php:username=^USER^&password=^PASS^&Login=Login:Login failed" -V
вобщем что то нетак
вот так тожесамое
Код:
hydra -l admin -P passlist 192.168.1.66 http-post-form "/dvwa/login.php:user_token=9ef33cdfb889cb63fe2f2baa512c4fe2&username=^USER^&password=^PASS^&Login:Login failed" -V
и вот так
Код:
root@buben:~/Документы# hydra -l admin -P passlist 192.168.1.66 http-post-form "/dvwa/login.php:user_token=9ef33cdfb889cb63fe2f2baa512c4fe2&username=^USER^&password=^PASS^&Login=Login:Login failed" -
 
Последнее редактирование:

larchik

Администратор
07.06.2019
374
426
BIT
242
Тут была аналогичная проблема, в комментах варианты решения:
 

addedie

Well-known member
04.08.2019
157
0
BIT
0
спасибо но там ответа ненашел, пробовал вот так еще
Код:
root@buben:~/Документы# hydra -l admin  -P passlist -u -t 1 -w 32 -v -V 192.168.1.66 http-post-form "/dvwa/login.php:username=^USER^&password=^PASS^&Login=Login:S=Welcome:F=200:H=Cookie\: security=low; PHPSESSID=tkf01iuu61h8hjs5nfd32ouk2p"
но тогда он вообще зависает на одном, а если убрать F=200 то так выходит что вообще невидит ниодин пароль
Код:
root@buben:~/Документы# hydra -l admin  -P passlist -u -t 1 -w 32 -v -V 192.168.1.66 http-post-form "/dvwa/login.php:username=^USER^&password=^PASS^&Login=Login:S=Welcome:H=Cookie\: security=low; PHPSESSID=tkf01iuu61h8hjs5nfd32ouk2p"
ну и если вместо S=Welcome написать просто Login failed без S= то по первому паролю говорит подошло и останавливается, выглядит это так
Код:
root@buben:~/Документы# hydra -l admin  -P passlist -u -t 1 -w 32 -v -V 192.168.1.66 http-post-form "/dvwa/login.php:username=^USER^&password=^PASS^&Login=Login:Login failed:H=Cookie\: security=low; PHPSESSID=tkf01iuu61h8hjs5nfd32ouk2p"
собственно так тоже самое
Код:
root@buben:~/Документы# hydra -l admin  -P passlist -u -t 1 -w 32 -v -V 192.168.1.66 http-post-form "/dvwa/login.php:username=^USER^&password=^PASS^&Login=Login:Welcome:H=Cookie\: security=low; PHPSESSID=tkf01iuu61h8hjs5nfd32ouk2p"
ну и вот так бубен тоже гудит
Код:
# hydra -l admin  -P passlist -u -t 1 -w 32 -v -V 192.168.1.66 http-post-form "/dvwa/login.php:username=^USER^&password=^PASS^&Login=Login&user_token=d7b5bcefc4c1f29c1a14e6618bef92c8:Welcome:H=Cookie\: security=low; PHPSESSID=tkf01iuu61h8hjs5nfd32ouk2p"
в холостую одним плевком паса
 
Последнее редактирование:

addedie

Well-known member
04.08.2019
157
0
BIT
0
я так пониаю проблема совсем не гидре а втом что когнсолька получает отдельные от браузера результаты кукисов и токена тобишь не те что в браузере светятся, теперь надо както их получить , хз с чего начать
еще так
Код:
hydra -l admin  -P passlist -u -t 1 -w 32 -v -V 192.168.1.66 http-post-form "/dvwa/login.php:username=^USER^&password=^PASS^&Login=Login&user_token=d7b5bcefc4c1f29c1a14e6618bef92c8:Login failed"
и вот так
Код:
hydra -l admin  -P passlist -u -t 1 -w 32 -v -V 192.168.1.66 http-post-form "/dvwa/login.php:username=^USER^&password=^PASS^&Login=Login&user_token=d7b5bcefc4c1f29c1a14e6618bef92c8:Welcome"
результат одинаковый , первый пароль из листа

и очевидно вот так
Код:
hydra -l admin  -P passlist 192.168.1.66 http-post-form "/dvwa/login.php:username=^USER^&password=^PASS^&Login=Login&user_token=d7b5bcefc4c1f29c1a14e6618bef92c8:Welcome"
он запускает несколько потоков и все положительные, какаято кривая мне гидра попалась или руки из задницы ростут незнаю
 
Последнее редактирование:

larchik

Администратор
07.06.2019
374
426
BIT
242
я так пониаю проблема совсем не гидре а втом что когнсолька получает отдельные от браузера результаты кукисов и токена
А в DVWA в каком режиме файрвол? Там есть несколько уровней, насколько я помню, от "файрвол выключен" до "невозможно взломать", условно говоря.
И убери из команды все маркеры, кроме F=200, остальное лишнее.
 
Последнее редактирование:

addedie

Well-known member
04.08.2019
157
0
BIT
0
Код:
oot@buben:~/Документы# hydra -l admin  -P passlist 192.168.1.66 http-post-form "/dvwa/login.php:username=^USER^&password=^PASS^&Login=Login&user_token=d7b5bcefc4c1f29c1a14e6618bef92c8:F=200"
Hydra v9.0 (c) 2019 by van Hauser/THC - Please do not use in military or secret service organizations, or for illegal purposes.

Hydra (https://github.com/vanhauser-thc/thc-hydra) starting at 2019-12-27 22:00:56
[DATA] max 6 tasks per 1 server, overall 6 tasks, 6 login tries (l:1/p:6), ~1 try per task
[DATA] attacking http-post-form://192.168.1.66:80/dvwa/login.php:username=^USER^&password=^PASS^&Login=Login&user_token=d7b5bcefc4c1f29c1a14e6618bef92c8:F=200
1 of 1 target completed, 0 valid passwords found
Hydra (https://github.com/vanhauser-thc/thc-hydra) finished at 2019-12-27 22:00:56
вот пожалуйста и ломаю я главную страницу апликайшена только тобишь морду стоит low security но он передается через кукисы и никак не влияет на консоль
так тоже самое - убрал токен
Код:
hydra -l admin  -P passlist 192.168.1.66 http-post-form "/dvwa/login.php:username=^USER^&password=^PASS^&Login=LoginЖF=200"
 

larchik

Администратор
07.06.2019
374
426
BIT
242
Код:
oot@buben:~/Документы# hydra -l admin  -P passlist 192.168.1.66 http-post-form "/dvwa/login.php:username=^USER^&password=^PASS^&Login=Login&user_token=d7b5bcefc4c1f29c1a14e6618bef92c8:F=200"
Hydra v9.0 (c) 2019 by van Hauser/THC - Please do not use in military or secret service organizations, or for illegal purposes.

Hydra (https://github.com/vanhauser-thc/thc-hydra) starting at 2019-12-27 22:00:56
[DATA] max 6 tasks per 1 server, overall 6 tasks, 6 login tries (l:1/p:6), ~1 try per task
[DATA] attacking http-post-form://192.168.1.66:80/dvwa/login.php:username=^USER^&password=^PASS^&Login=Login&user_token=d7b5bcefc4c1f29c1a14e6618bef92c8:F=200
1 of 1 target completed, 0 valid passwords found
Hydra (https://github.com/vanhauser-thc/thc-hydra) finished at 2019-12-27 22:00:56
вот пожалуйста и ломаю я главную страницу апликайшена только тобишь морду стоит low security но он передается через кукисы и никак не влияет на консоль
так тоже самое - убрал токен
Код:
hydra -l admin  -P passlist 192.168.1.66 http-post-form "/dvwa/login.php:username=^USER^&password=^PASS^&Login=LoginЖF=200"
Утром до ноута доберусь и отвечу
 

larchik

Администратор
07.06.2019
374
426
BIT
242
При каждом новом запросе user_token обновляется, а предыдущий становится невалидным, поэтому брут не удается. Тут все очень подробно расписано .
 

larchik

Администратор
07.06.2019
374
426
BIT
242
Если вкратце, то:


  1. user_token и PHPSESSID обновляются при каждом GET-запросе к странице login.php.
  2. Использовать повторно значения этих параметров нельзя!
  3. При вводе логина и пароля всегда происходит редирект (код 302) на login.php (при неверных логин:пасс) или на index.php (при верных логин:пасс)
  4. То есть после POST-запроса автоматом происходит GET-запрос и токены обновляются.
  5. Поэтому Гидре для успешного брута всегда нужны актуальные user_token и PHPSESSID. Но!
  6. Если после POST-запроса запретить редирект каким-то образом (не обращаться к странице login.php), то новые токены не генерируются и старые токены можно использовать повторно.
  7. У Гидры нет встроенного механизма для запрета перенаправлений. Автор статьи использовал Burp в качестве прокси для Гидры и с помощью Burp настроил запрет для всех GET-запросов. Таким образом Гидра при бруте могла повторно использовать токены.
  8. Так как GET-запросов при бруте больше не происходило, соответственно и страница с текстом 'login failed' больше не возвращалась. Значит этот маркер не подходит для использования.
  9. Но при неудачном логине возвращается заголовок location: login.php, при удачном логине - location: index.php. Это можно использовать в качестве маркера.
Статья написано интересно, автор подробно описывает каждый свой шаг и ход мыслей. Легко читается даже с гугл.транслитом, так что все же рекомендую прочесть.
 
Мы в соцсетях:

Обучение наступательной кибербезопасности в игровой форме. Начать игру!