Ataque a fuerza bruta con hydra

Hola amigos.

En este caso vamos a hacer un ataque fuerza bruta para averiguar el usuario y la contraseña de una página web.

Usaremos la distribución metasploitable2, en su apartado dvwa, que es un servidor web con distintas vulnerabilidades. Para ello es necesario acceder a la ip de la máquina e ir al enlace dvwa. Y cuando nos salga en login, ponemos admin como usuario y password como contraseña (si váis hacia abajo, tenéis esta información).

Nos iremos a la pestaña bruteforce

Abriremos burpsuite

Burpsuite es un proxy web que, a medida que vamos navegando, nos va mostrando los parámetros que va utilizando. Para utilizarlo, deberemos, además de abrirlo, configurar el navegador para que lo utilice como proxy, para ello deberemos ir a Open menú (las tres rayitas que hay a la derecha, una debajo de otra) → Preferencias → Avanzadas → Red → Configuraciones → Configuración manual de proxy: http proxy: 127.0.0.1 puerto 8080.

Si escribimos cualquier cosa en el usuario y en la contraseña y miramos en la pestaña poxy → intercept de Burpsuite:

Bien, esos son los parámetros que se envían al servidor web. Para que le lleguen, le debemos permitir el paso pulsando el botón forward.

Por supuesto, el usuario y la contraseña son incorrectos.

Usaremos hydra en este formato para sacar ambos. Usaremos este formato.

hydra 192.168.1.133 -v http-get-form "/dvwa/vulnerabilities/brute/:username=^USER^&password=^PASS^&Login=Login:Username and/or password incorrect.:H=Cookie: security=high; PHPSESSID=329be075ec787d0c7967483638ca25fa" -L usuarios -P top500passwords-2008