Corrigir os limites de tentativas de login é um projeto prático com Hydra para quem conhece a entrada básica de comandos no terminal e caminhos de arquivos. Em um serviço preparado de empréstimo de equipamentos e reservas de oficinas, falhas repetidas podem bloquear outro membro ou deixar uma página alternativa de login desprotegida. Sua tarefa é corrigir a política e demonstrar proteção, acesso normal e recuperação natural com requisições reais.
O curso contém dois laboratórios guiados e um desafio independente. O primeiro laboratório separa o contador de um membro das outras contas. O segundo faz com que as duas páginas de login compartilhem o mesmo limite por conta. O desafio combina essas decisões em um portal de reservas com outros caminhos, nomes de campos, membros e registros. Cada unidade começa de forma independente. Reserve cerca de 55, 50 e 45 minutos, respectivamente; são estimativas do autor que incluem leitura e erros comuns, não tempos medidos com iniciantes.
O que você aprenderá
Ao concluir este curso, você será capaz de:
- gerar com Hydra uma sequência pequena e autorizada de tentativas reais de autenticação, distinguindo configurações do cliente de um limite do servidor;
- diferenciar uma senha rejeitada, uma requisição limitada e uma identidade realmente autenticada;
- modificar uma política JSON curta para que falhas repetidas sejam contadas por conta, sem bloquear membros não relacionados;
- associar os dois pontos de entrada POST reais a um contador por conta e testar as duas direções;
- aplicar uma política explicitamente, sem reiniciar o serviço nem apagar tentativas ativas, e comprovar o resultado com eventos da revisão atual;
- preservar o acesso normal da conta de referência e os registros originais completos, demonstrando a recuperação quando o período de bloqueio terminar naturalmente.
Para quem é este curso
Este curso é para iniciantes em cibersegurança que desejam avaliar e melhorar um limite de login mantendo um serviço real utilizável.
Pré-requisitos: Você deve saber digitar comandos no terminal, reconhecer um caminho de arquivo e alternar entre abas do navegador. Não é necessário programar, instalar serviços ou ter experiência com limitação de tentativas. O primeiro laboratório explica os campos POST, as opções do Hydra, os argumentos entre aspas, a estrutura JSON e os comandos de diagnóstico necessários. Conclua-o antes do segundo; o desafio utiliza os dois mecanismos ensinados.
Ambiente de aprendizagem: Cada unidade fornece um terminal Linux preparado em Workstation e um site funcional Equipment Desk, ou Workshop Desk no desafio. Todas as contas, senhas, empréstimos e reservas são recursos sintéticos locais de treinamento. Os documentos estão disponíveis em inglês e em outros oito idiomas; os sites em execução, os rótulos das interfaces e a saída dos comandos permanecem em inglês.
Perguntas frequentes
Preciso instalar Hydra ou construir uma aplicação de autenticação?
Não. O serviço local e as ferramentas estão preparados. Seu trabalho é compreender o limite do contador, editar e aplicar a política permitida e testar o resultado real. Você não desenvolve o servidor nem modifica as configurações de login da plataforma.
Estou tentando descobrir senhas?
Não. As credenciais corretas de teste e de referência são fornecidas, junto com cinco candidatos deliberadamente incorretos para a conta de teste autorizada. Hydra produz falhas em quantidade limitada para avaliar a resposta do serviço. Não informar nenhuma senha, por si só, não comprova a proteção.
Um arquivo de política correto é suficiente?
Não. Ele deve corresponder à política em execução, e essa revisão precisa conter evidências reais de limitação, acesso de referência e recuperação. Você também abre os registros originais dos dois membros. Um relatório ou marcador de conclusão não substitui esses resultados.
Os limites pequenos são uma recomendação para produção?
Não. Três falhas em uma janela de 30 segundos e um bloqueio de 12 segundos formam um contrato de treinamento controlado. O projeto utiliza um processo local com dois pontos de entrada POST; não implementa limitação distribuída, prevenção de abuso em escala de produção ou proteção contra todos os ataques de autenticação.
