Программа hydra что это

Пароли — самое слабое звено. Если кто-то узнает ваш пароль, игра окончена! Таким образом, пароли являются наиболее серьезным недостатком безопасности. Существует множество инструментов, которые позволяют вам пробовать комбинации имени пользователя и пароля, однако ни один из них не является таким мощным, как THC Hydra.

Это потому, что он быстрый и предлагает большое количество протоколов для грубой силы. Фактически, он может работать примерно с 55 различными протоколами. Кроме того, существует две версии THC Hydra: версия с графическим интерфейсом пользователя и версия с интерфейсом командной строки.

Установка THC Hydra

Загрузите THC hydra из https://github.com/vanhauser-thc/thc-hydra.

После загрузки извлеките файлы и выполните следующие действия:

компакт диск thc-гидра-мастер /
. / настроить
делать
делать установить

Если вы используете Ubuntu / Debian, введите также следующее:

apt-get install libssl-dev libssh-dev libidn11-dev libpcre3-dev

Hydra: история крупнейшего интернет-магазина наркотиков

libgtk2.0-dev libmysqlclient-dev libpq-dev libsvn-dev
firebird-dev libmemcached-dev libgpg-error-dev
libgcrypt11-dev libgcrypt20-dev

Использование интерфейса командной строки

Здесь мы исследуем, как использовать Hydra с общими протоколами.

SSH / FTP / RDP / TELNET / MYSQL

Следует помнить, что Hydra может работать примерно с 55 различными протоколами. Это лишь несколько примеров наиболее часто используемых протоколов, таких как ssh, ftp, rdp, telnet и mysql. Однако тот же принцип применяется к остальным протоколам.

Чтобы заставить Hydra работать с протоколом, вам понадобится имя пользователя (-l) или список имена пользователей (-L), список паролей (файл паролей) и целевой IP-адрес, связанный с протокол. При желании вы можете добавить дополнительные параметры. Например, -V означает многословие.

Кроме того, вы также можете отформатировать его следующим образом:

-l или -L: имя пользователя или список имен пользователей для попытки
-P: список паролей
-s: порт
-V: подробный

: ftp / rdp / ssh / telnet / mysql / и т. д.
: айпи адрес

Например, для FTP:

HTTP-GET-FORM

В зависимости от типа запроса, GET или POST, вы можете использовать http-get-form или http-post-form. Под элементом inspect вы можете определить, является ли страница GET или POST. Затем вы можете использовать http-get-form при попытке найти пароль к комбинации имя пользователя: пароль в Интернете (например, на веб-сайте).

-l или -L: имя пользователя или список имен пользователей для попытки
-P: список паролей
-f: остановить, когда пароль найден
-V: подробный
a: страница входа в систему
b: комбинация имени пользователя и пароля
c: сообщение об ошибке получено, если логин не удался
d: H = файл cookie сеанса

Например, предположим, что мы хотим взломать DVWA (чертовски уязвимое веб-приложение). После подключения к сети с использованием apache2 он должен находиться на вашем локальном IP-адресе. В моем случае это на http://10.0.2.15.

Что происходит с Hydra и её основателем?

Так что:
: 10.0.2.15
а: /vulnerabilities/brute/

Далее нам понадобятся b и c. Итак, давайте попробуем войти в систему с поддельными учетными данными (здесь подойдет все, что угодно). На сайте отображается это сообщение: «Неверное имя пользователя или пароль». Поэтому мы будем использовать сообщение c:

c: неверное имя пользователя или пароль

Итак, b будет таким:

б: имя пользователя = ^ ПОЛЬЗОВАТЕЛЬ ^ Авторизоваться = Войти #

Замените введенные учетные данные с помощью ^ USER ^ и ^ PASS ^. Если бы это был запрос POST, эту информацию можно было бы найти в элементе проверки> вкладка «Запрос».

Затем в разделе «Проверить элемент» скопируйте файл cookie. Это будет d:

d: ЧАС = Cookie: PHPSESSID = 3046g4jmq4i504ai0gnvsv0ri2; безопасность = низкий

Когда вы запустите это, и если пароль есть в списке, он найдет его для вас.

Однако, если это окажется для вас слишком много работы, не нужно беспокоиться, потому что есть версия с графическим интерфейсом. Это намного проще, чем версия с интерфейсом командной строки. Версия THC hydra с графическим интерфейсом называется Hydra GTK.

Установка Hydra GTK

В Ubuntu вы можете просто установить Hydra GTK, используя следующую команду:

судо apt-get install гидра-gtk -у

После установки вам понадобится следующее:

1. Цель или список целей: это IP-адрес протокола, который вы хотите атаковать.
2. Номер порта: номер порта, связанный с протоколом.
3. Протокол: ssh, ftp, mysql и т. Д.
4. Имя пользователя: введите имя пользователя или список имен пользователей.
5. Пароль или список паролей

В зависимости от того, хотите ли вы взломать одну или несколько целей, вы можете ввести одну или несколько целей в поле цели. Предположим, вы атакуете единственную цель, SSH, расположенный по адресу 999.999.999.999 (очевидно, поддельный IP-адрес). В поле назначения вы должны указать 999.999.999.999, а в разделе порта — 22. В соответствии с протоколом вы должны поставить SSH.

Желательно также поставить галочки в полях «Подробно» и «Показывать попытки». Поле «быть подробным» эквивалентно -v в THC Hydra, а поле «показывать попытки» эквивалентно -V в THC Hydra. Плюс Hydra в том, что она может работать с большим количеством протоколов.

На следующей вкладке введите желаемое имя пользователя или список имен пользователей (в данном случае расположение списка имен пользователей). Например, в «списке имен пользователей» я бы поместил «/home/kalyani/usernamelist.txt». То же самое и с паролями. Местоположение файла паролей вводится в поле, называемое «список паролей». После того, как они будут заполнены, все остальное будет легко.

Вы можете оставить настройки и определенные вкладки как есть и нажать кнопку «Пуск» под вкладкой «Пуск».

Hydra GTK намного проще в использовании, чем THC Hydra, хотя это одно и то же. Независимо от того, используете ли вы THC Hydra или Hydra GTK, оба являются отличными инструментами для взлома паролей. Обычно проблема возникает в виде используемого списка паролей. Очевидно, вы можете использовать другие программы, такие как генераторы кранчей и словаря, чтобы настроить свой список паролей по своему вкусу. Однако, если вы также можете адаптировать список паролей к своему использованию, Hydra может стать очень мощным союзником.

Источник: ciksiti.com

Hydra

Это вводная статья, которая познакомит вас с проектом Hydra. Это опенсорсный микросервис, который предоставляет альтернативное решение для реализации авторизации. Вам понадобится всего 5 минут, чтобы поднять свой OAuth2 провайдер с расширенным набором функций, включая контроль доступа и управление идентификацией.

Hydra появилась на свет благодаря острой необходимости в масштабируемом 12factor приложении для OAuth сервисе корпоративного уровня и, при этом, без всяких сумасшедших фич и тонны сторонних зависимостей. Кроме того, мы добавили политики, управление аккаунтами/клиентами и еще кое-какие фичи. Мы решили не реализовывать поддержку 5 различных баз данных, что позволило сократить дерево зависимостей и теперь Hydra работает только с PostgreSQL и другими SQL’ными базами данных.

Краткое описание основных возможностей Hydra:

• Управление аккаунтами: вход пользователей, настройки, востановление пароля
• Контроль доступа/Реализация политики/Хранение политик реализованные через Ladon.
• Богатый набор различных фич OAuth2:

• Hydra реализует протокол OAuth2 согласно спецификациям rfc6749 и draft-ietf-oauth-v2-10 с использованием using osin и osin-storage.
• Hydra использует автономные токены доступа согласно rfc6794#section-1.4 через эммисионные JSON веб-токены, описанные в rfc7519 с RSASSA-PKCS1-v1_5 SHA-256 шифрованием.
• Hydra реализует OAuth2 Introspection (rfc7662) и OAuth2 Revokation (rfc7009)
• Hydra предоставляет возможность для входа через сторонние провайдеры, такие как ropbox, LinkedIn, Google и т.д.

Hydra написан мной (GitHub/LinkedIn) как часть бизнес приложения, которое пока в разработке. Сейчас Hydra поддерживает Thomas Aidan Curran.

Почему Hydra это бекенд?

Hydra не предоставляет HTML страницы для логина, разлогирования или авторизации. Вместо это, если необходимо выполнить некоторое действие, то Hydra редиректит на заранее определенный URL, к примеру http://sign-up-app.yourservice.com/sign-up или http://sign-in-app.yourservice.com/sign-in . К тому же, пользователь может использовать другой OAuth2 провайдер, например Dropbox или Google.

Мне нужны действия, пацанчик!

Отлично, мне тоже! 🙂 Давайте попробуем как установить Hydra и получить токен для клиентского приложения, его еще называют OAuth2 Client Grant (секция «Application Access»). Если вы не знаете как работать в консоли или у вас возникли вопросы, можете проконсультироваться на GitHub Issue Tracker.

Обратите внимание: в будущем, Hydra будет работать в Docker контейнере. Но сейчас, чтобы ее запустить, вам необходим Vagrant, VirtualBox и Git.

$ git clone https://github.com/ory-am/hydra.git $ cd hydra $ vagrant up

В рамках этого туториала я рассчитываю, что у вас не меняется рабочая директория. Я так же рассчитываю что вы работаете на Linux/Unix системе и у вас есть доступ к командной строке. Вы можете запускать vagrant ssh чтобы попасть в виртуальную машину. После этого вы можете выполнять все команды(например curl ) без проблем.

Только убедитесь что внутри виртуальной машине и избегайте всяких exit вызовов.

Для начала научимся запускать Hydra. Vagrant роутит 9000(HTTPS для Hydra) и 9001(для Postgres) на ваш локальный хост. Перейдите по URL https://localhost:9000/alive чтобы убедится, что Hydra запушен и все работает. Возможно, вам придется добавить исключение для HTTP сертификата, так-как он самоподписанный, и после это вы должны увидеть , что означает что сервис Hydra запушен и работает.