Kali linux. hydra не находит пароль

[kasperai]

Hydra не находит мой пароль который находиться в тексте. Решил забрутфорсить один сайт вписал всё правильно.

hydra -l 17626225577 -P '/root/password' 111.111.111.111 https-post-form "/cab/auth?return_uri=/cab:return_uri=%2Fcab&login=^USER^&password=^PASS^:Неверный пароль"
Hydra v8.8 (c) 2019 by van Hauser/THC - Please do not use in military or secret service organizations, or for illegal purposes.

Hydra (https://github.com/vanhauser-thc/thc-hydra) starting at 2019-07-29 22:47:14
[DATA] max 16 tasks per 1 server, overall 16 tasks, 21 login tries (l:1/p:21), ~2 tries per task
[DATA] attacking http-post-forms://111.111.111.111:443/cab/auth?return_uri=/cab:return_uri=%2Fcab&login=^USER^&password=^PASS^:Неверный пароль
[443][http-post-form] host: 111.111.111.111   login: 17626225577   password: asgweqghwe
[443][http-post-form] host: 111.111.111.111   login: 17626225577   password: wqrfq
[443][http-post-form] host: 111.111.111.111   login: 17626225577   password: dfa
[443][http-post-form] host: 111.111.111.111   login: 17626225577   password: ajl15q
[443][http-post-form] host: 111.111.111.111   login: 17626225577   password: h
[443][http-post-form] host: 111.111.111.111   login: 17626225577   password: dfs
[443][http-post-form] host: 111.111.111.111   login: 17626225577   password: gd
[443][http-post-form] host: 111.111.111.111   login: 17626225577   password: sah
[443][http-post-form] host: 111.111.111.111   login: 17626225577   password: dfsw
[443][http-post-form] host: 111.111.111.111   login: 17626225577   password: fady
[443][http-post-form] host: 111.111.111.111   login: 17626225577   password: ew
[443][http-post-form] host: 111.111.111.111   login: 17626225577   password: y
[443][http-post-form] host: 111.111.111.111   login: 17626225577   password: jfd
[443][http-post-form] host: 111.111.111.111   login: 17626225577   password: afwq
[443][http-post-form] host: 111.111.111.111   login: 17626225577   password: zcqweadce15
[443][http-post-form] host: 111.111.111.111   login: 17626225577   password: j
1 of 1 target successfully completed, 16 valid passwords found
Hydra (https://github.com/vanhauser-thc/thc-hydra) finished at 2019-07-29 22:47:18

 

[larchik]

Гидра тут определила все 16 паролей, как правильные. Значит что-то вы делаете не так.
Покажите оригинальный POST запрос и ответ от сервера.

При верном ответе вот:

Скрин

Посмотреть вложение 31923

Скрин

Посмотреть вложение 31927

Скрин

Посмотреть вложение 31926

при удачном логине статус-код 302, при неудачном - код 200, поэтому пробуйте использовать его, как маркер - “:F=200" - маркер неудачных входов, “:S=302” - маркер удачного входа. На скринах не видно, но наверняка при удачном входе в ответе сервера появляется заголовок set-cookie, его тоже можно использовать при бруте, как признак успешного логина.
upd: обратил внимание, что есть капча. Это может помешать при подборе, всегда будет приходить ответ 200.

 

[kasperai]

Извините за мою тупость и глупость, поэтому что именно от меня требуется.

 

[larchik]

Извините за мою тупость и глупость, поэтому что именно от меня требуется.

Не стоит считать себя тупым, никто не рождается сразу с опытом и знаниями.
Когда вы вводите на сайте логин и пароль, они (логин и пароль) отправляются на сервер в теле POST-запроса, это вы наверно понимаете, раз в команде Гидры указали поля login и password. Вот этот запрос посмотреть бы целиком. И какой ответ приходит от сервера в случае неверного и верного пароля, с каким кодом (200, 302, 403).
Может после каждого запроса на сервер происходит перенаправление (код 302) и поэтому в ответе сервера нет строки “Неверный пароль”, и гидра считает, что пароль верный.

Запросы и ответы можно смотреть через перехватывающий прокси, Burp или ZAP.

 

[kasperai]

Скрин

Скрин

Скрин

 

[larchik]

Скрин

Посмотреть вложение 31916

Скрин

Посмотреть вложение 31917

Скрин

Посмотреть вложение 31918

Это при входе с неверным паролем?
А если пароль верный, то какой ответ?

Вместо “Неверный пароль” попробуйте использовать какой-нибудь другой маркер, например заголовок cookie (при удачном логине cookie должны измениться).

 

[kasperai]

При верном ответе вот:

Скрин

Скрин

Скрин

Я использовал маркер F=200, он только иногда показывал правильный пароль, введя повторно эту же команду такого уже результата не будет.

 

[larchik]

Я использовал маркер F=200, он только иногда показывал правильный пароль, введя повторно эту же команду такого уже результата не будет.

может все-таки из-за капчи?

 

[kasperai]

Можно как-то обойти капчу ?

 

[centr]

Как вариант добавить прокси лист.
Или использовать в связке с proxychains.

 

[larchik]

Можно как-то обойти капчу ?

Смотря какая капча. У вас там в капче цифры какие-то, может значение капчи формируется по какому-то алгоритму, который вы сможете разгадать и предсказывать.
Я встречал такой вариант, можно просто спарсить цифры и посчитать значение капчи скриптом:

В этом же примере в исходном коде страницы в поле "value" какой-то хэш, который наверняка можно сбрутить и получить нужное значение:

У гугла раньше была фича - его капчу можно было прослушать (сделано для незрячих) и гуловским же софтом прослушать, перевести в текст и применить, но сейчас фичу прикрыли.
Мысль, думаю, ясна. Надо исследовать и пробовать )
Если нельзя обойти напрямую, то, как предложил centr, можно использовать прокси-сервера, что бы Гидра при бруте каждый новый запрос отправляла с разных IP-адресов.

 

[mrOkey]

пс поц, ML умеет резолвить капчу в 92% случаях

 

[sever0ever]

Можете конечно закидать меня тапками, но после последних изменений в синтаксисе гидры этот инструмент можно отправлять на свалку. Пататор куда надежнее, проще и обладает большим функционалом.