Herramientas de seguridad de código abierto
THC-Hydra: fuerza bruta a través de protocolos
Hydra es un protocolo de fuerza bruta: prueba de nombre de usuario/contraseña contra SSH, FTP, formularios HTTP, RDP y docenas de servicios más desde una única línea de comando. En una metodología, se encuentra en la fase de acceso con credenciales, donde tiene exposición al servicio (de Nmap) y una hipótesis sobre contraseñas débiles, e Hydra prueba esa hipótesis a la velocidad nativa del protocolo. Su virtud es la amplitud; su peligro es exactamente de la misma magnitud, porque cada servicio que toca registra fallas y algunas cuentas bloqueadas.
Puntos clave
- Lea la sintaxis una vez y será suya: hidra -l usuario -P passlist.txt ssh://10.0.0.5 — -l o -L para nombres de usuario, -p o -P para contraseñas, servicio://host:puerto.
- Los formularios web necesitan parámetros: http-post-form con la ruta, la cadena de error (filtro de inicio de sesión) y los parámetros; Leer primero el formulario a través de Burp es el paso profesional.
- Los subprocesos (-t) son un intercambio: más subprocesos van más rápido y activan los bloqueos más rápido; SSH en -t 4 es cortés donde -t 16 páginas es un SOC y las políticas de bloqueo deciden, no la impaciencia.
- Haga coincidir las listas de palabras con el alcance: rockyou.txt está bien para cajas de laboratorio, los dominios de producción merecen listas personalizadas creadas a partir de los patrones de nombres del cliente.
- Elija los protocolos en los que Hydra es realmente bueno, FTP a través de RDP, y deje los flujos modernos protegidos por Kerberos o MFA a herramientas creadas para ellos.
- Las condiciones de detención importan: un hallazgo en la segunda credencial no necesita el décimo intento, y -F o su propio contenedor decide cuándo finaliza.
- La ética aquí es concreta, no abstracta: la fuerza bruta contra un sistema para el que no estás contratado para probar es un intento de acceso no autorizado en sí mismo (un delito en la mayoría de las jurisdicciones), e incluso las ejecuciones autorizadas necesitan tarifas, ventanas y un número de teléfono acordados para detenerse.
- El resultado profesional es un hallazgo controlado: una o dos credenciales comprobadas suficientes para demostrar la debilidad, nombres redactados por contrato y la paradoja del bloqueo documentada como la próxima solución del cliente.
Nota de campo
La política de bloqueo es lo primero que pido ahora, supe la tarde que una ejecución SSH de 16 subprocesos llamó a la mesa de ayuda de un cliente y congeló cuarenta cuentas de turno. La lentitud está bien para Hydra; todavía lo demuestra.
Preguntas frecuentes
¿Hydra vs Medusa vs Ncrack?
Misma familia de trabajos, diferente cobertura de protocolo y comportamiento: la amplitud de Hydra lo mantiene como predeterminado, Medusa y Ncrack ganan lugares en conjuntos de protocolos específicos.
¿Esto bloqueará las cuentas?
A menudo, y esa es una cuestión de planificación de la participación, no una configuración de herramientas: las tasas de intentos acordadas y las conversaciones sobre tolerancia al bloqueo vienen antes del primer incendio.
¿La pulverización de contraseñas es lo mismo?
No: la pulverización es una contraseña para muchas cuentas distribuidas a lo largo del tiempo, y los equipos conscientes de las políticas la escriben como su propio método (más silencioso) en lugar de un desenfoque de fuerza bruta.
¿Qué pasa con los objetivos modernos con MFA?
Hydra prueba el factor frontal; Cualquier cosa detrás de MFA, Kerberos o flujos de autenticación inteligentes necesita una metodología diferente y herramientas completamente diferentes.
Cómo ayuda Kinetikatech con herramientas de seguridad de código abierto
La propuesta es sencilla: Los profesionales de la caja de herramientas de prueba en realidad se mantienen cargados: escáneres, rastreadores, crackers y servidores proxy web explicaron la forma en que se utilizan en interacciones reales: comandos, indicadores, resultados y dónde se ubica cada uno en una metodología. Déjelo en manos de nuestro servicio Pruebas de penetración y Seguridad de servidores Linux y queda cubierto: evaluado a fondo, implementado con limpieza, monitoreado las 24 horas.