Outils de sécurité open source
THC-Hydra : Brute Force Across Protocols
Hydra est un protocole de plomberie par force brute : test du nom d'utilisateur/mot de passe contre SSH, FTP, formulaires HTTP, RDP et des dizaines d'autres services à partir d'une seule ligne de commande. Dans une méthodologie, il se situe à la phase d'accès authentifié, où vous avez une exposition au service (de Nmap) et une hypothèse sur les mots de passe faibles, et Hydra teste cette hypothèse à la vitesse native du protocole. Sa vertu est la largeur ; son danger est exactement de la même ampleur, car chaque service qu'il touche enregistre les échecs et certains comptes verrouillés.
Points clés
- Lisez la syntaxe une fois et vous la possédez : hydra -l user -P passlist.txt ssh://10.0.0.5 — -l ou -L pour les noms d'utilisateur, -p ou -P pour les mots de passe, service://host:port.
- Les formulaires Web nécessitent des paramètres : http-post-form avec le chemin, la chaîne d'échec (filtre de connexion) et les paramètres ; lire d'abord le formulaire via Burp est l'étape professionnelle.
- Les threads (-t) sont un échange : plus de threads vont plus vite et déclenchent les verrouillages plus rapidement ; SSH en -t 4 est poli là où -t 16 pages un SOC et les politiques de verrouillage décident, pas l'impatience.
- Faites correspondre les listes de mots à la portée : rockyou.txt convient aux boîtes de laboratoire, les domaines de production méritent des listes personnalisées construites à partir des modèles de dénomination du client.
- Choisissez les protocoles pour lesquels Hydra est réellement bon, FTP via RDP, et laissez les flux modernes protégés par Kerberos ou MFA aux outils conçus pour eux.
- Les conditions d'arrêt sont importantes : une découverte sur le deuxième identifiant n'a pas besoin de la dixième tentative, et -F ou votre propre wrapper décide quand elle se termine.
- L'éthique ici est concrète et non abstraite : la force brute contre un système que vous n'êtes pas engagé à tester est en soi une tentative d'accès non autorisé (un crime dans la plupart des juridictions), et même les exécutions autorisées nécessitent des tarifs, des fenêtres et un numéro de téléphone convenus pour être arrêtées.
- Le résultat professionnel est une découverte contrôlée : une ou deux informations d'identification prouvées suffisantes pour démontrer la faiblesse, les noms expurgés par contrat et le paradoxe du verrouillage documenté comme la prochaine solution du client.
Note de terrain
La politique de verrouillage est la première chose que je demande maintenant, j'ai appris l'après-midi qu'une exécution SSH à 16 threads avait paginé le service d'assistance d'un client et gelé quarante comptes d'équipe. La lenteur est très bien pour Hydra – cela prouve encore le point.
Questions fréquentes
Hydra contre Méduse contre Ncrack ?
Même famille d'emplois, couverture de protocole et comportement différents : l'étendue d'Hydra le conserve par défaut, Medusa et Ncrack gagnent des places sur des ensembles de protocoles spécifiques.
Cela bloquera-t-il les comptes ?
Souvent, et il s'agit d'une question de planification d'engagement, pas de configuration d'outils : les taux de tentatives convenus et les négociations sur la tolérance au lock-out surviennent avant le premier incendie.
La pulvérisation de mot de passe est-elle la même chose ?
Non : la pulvérisation est un mot de passe unique pour de nombreux comptes répartis dans le temps, et les équipes soucieuses des politiques l'écrivent comme sa propre méthode (plus silencieuse) plutôt que comme un flou de force brute.
Qu'en est-il des cibles modernes avec MFA ?
Hydra teste le facteur frontal ; tout ce qui se cache derrière MFA, Kerberos ou les flux d'authentification intelligents nécessite une méthodologie et des outils entièrement différents.
Comment Kinetikatech vous aide avec outils de sécurité open source
C'est notre quotidien : Les professionnels de la boîte à outils de test restent chargés : les scanners, les renifleurs, les crackers et les proxys Web expliquent la manière dont ils sont utilisés lors d'engagements réels : commandes, indicateurs, sorties et où chacun se situe dans une méthodologie. Notre service Tests d'intrusion et Sécurité des serveurs Linux le couvre de bout en bout : évaluation, mise en œuvre, supervision 24/7 et intervention d'urgence en 30 minutes.