Open-source beveiligingshulpmiddelen
THC-Hydra: Brute Force over protocollen heen
Hydra is protocol brute-force loodgieterswerk: gebruikersnaam/wachtwoord testen tegen SSH, FTP, HTTP-formulieren, RDP en tientallen andere services vanaf één enkele opdrachtregel. In een methodologie bevindt het zich in de fase van toegang tot referenties, waar je serviceblootstelling hebt (van Nmap) en een hypothese over zwakke wachtwoorden, en Hydra test die hypothese op protocol-native snelheid. De deugd ervan is breedte; het gevaar is precies even groot, omdat elke dienst die ermee in aanraking komt, fouten registreert en sommige accounts vergrendelt.
Kernpunten
- Lees de syntaxis één keer en je bent eigenaar van deze: hydra -l user -P passlist.txt ssh://10.0.0.5 — -l of -L voor gebruikersnamen, -p of -P voor wachtwoorden, service://host:port.
- Webformulieren hebben parameters nodig: http-post-form met het pad, de foutreeks (inlogfilter) en de parameters; Het formulier eerst via Burp lezen is de professionele stap.
- Threads (-t) zijn een ruil: meer threads gaan sneller en leiden sneller tot lock-outs; SSH op -t 4 is beleefd waar -t 16 pagina's een SOC zijn en het lockout-beleid beslist, niet ongeduld.
- Match woordenlijsten met bereik: rockyou.txt is prima voor labboxen, productiedomeinen verdienen aangepaste lijsten die zijn opgebouwd uit de naamgevingspatronen van de klant.
- Kies protocollen waar Hydra echt goed in is, FTP via RDP, en laat moderne Kerberos- of MFA-beveiligde stromen over aan tools die daarvoor zijn gebouwd.
- Stopvoorwaarden zijn belangrijk: een bevinding op de tweede referentie heeft geen tienduizendste poging nodig, en -F of uw eigen wrapper beslist wanneer deze eindigt.
- De ethiek hier is concreet, niet abstract: brute kracht tegen een systeem waarvoor je niet bent gecontracteerd om het te testen, is op zichzelf een ongeoorloofde toegangspoging (een misdaad in de meeste rechtsgebieden), en zelfs geautoriseerde runs hebben afgesproken tarieven, vensters en een telefoonnummer nodig om te stoppen.
- De professionele output is een gecontroleerde bevinding: een of twee bewezen referenties die voldoende zijn om de zwakte aan te tonen, namen die per contract worden geredigeerd en de uitsluitingsparadox die wordt gedocumenteerd als de volgende oplossing voor de klant.
Notitie uit de praktijk
Lockout-beleid is het eerste waar ik nu om vraag. Ik hoorde vanmiddag dat een SSH-run met 16 threads de helpdesk van een klant opriep en veertig ploegendienstaccounts bevroor. Langzaam is prima voor Hydra – het bewijst nog steeds het punt.
Veelgestelde vragen
Hydra versus Medusa versus Ncrack?
Dezelfde functiefamilie, verschillende protocoldekking en gedrag: Hydra's breedte houdt het op de standaard, Medusa en Ncrack verdienen plaatsen op specifieke protocolsets.
Zullen hierdoor accounts worden vergrendeld?
Vaak, en dat is een kwestie van betrokkenheidsplanning, geen instrumentele setting: overeengekomen pogingen en gesprekken over uitsluitingstolerantie komen vóór de eerste brand.
Is wachtwoord-sprayen hetzelfde?
Nee: sprayen is één wachtwoord voor veel accounts, verspreid over de tijd, en beleidsbewuste teams schrijven het als hun eigen (stillere) methode in plaats van als een brute krachtvervaging.
Hoe zit het met moderne doelstellingen met MFA?
Hydra test de frontfactor; alles achter MFA, kerberos of slimme auth-stromen heeft een andere methodologie en totaal andere tools nodig.
Hoe Kinetikatech helpt bij open-source beveiligingshulpmiddelen
Dit hebben wij al honderden keren opgelost: De professionals in de testtoolbox blijven feitelijk geladen: scanners, sniffers, crackers en webproxy's legden de manier uit waarop ze worden gebruikt bij echte opdrachten: opdrachten, vlaggen, uitvoer en waar elk ervan in een methodologie zit. Met Penetratietests en Linux-serverbeveiliging krijgt u de volledige cyclus: wij beoordelen, implementeren, bewaken dag en nacht en reageren binnen 30 minuten als het erop aankomt.