Come posso mettere a punto l'hydra per trovare la password corretta

Question

Come posso mettere a punto l'hydra per trovare la password corretta

#1 da (0 voti)

1

Sto avendo un po 'di sottaceti ottenendo hydra per vedere la password corretta quando la pagina viene reindirizzata. La condizione in cui la password è corretta è se l'accesso viene reindirizzato a una determinata pagina nel sito di test di root.

Sto usando il comando di sotto

'hydra -l username -P passwordlist  127.0.0.1 https-post-form "/index.php:UserName=^USER^&Password=^PASS^&submit=logout:invalid" -vV -f'

Mentre hydra esegue questo comando, mostra che la pagina è stata reindirizzata su un'altra pagina. Proprio come ha provato la password corretta che ho precedentemente impostato.

Come posso mettere a punto questo comando hydra per essere in grado di fermarsi e trovare la password corretta dopo che è stata reindirizzata?

password-cracking hydra

posta Greenman 09.07.2018 - 04:07

fonte

1 risposta



                    
                Leggi altre domande sui tag
                                            password-cracking
                                            hydra
                                    
            
        

         
                            Cookie di dominio padre per Single Sign-on
                                        Deserializzazione insicura in C # (.NET) - Come identificare e testare

score 0 · Answer 1

Senza vedere la pagina web del test è difficile dirlo. Tuttavia, guardando il codice sorgente di Hydra, sembra seguire i reindirizzamenti ed eventualmente ispezionare il contenuto della pagina finale (supponendo che non abbia raggiunto il limite di reindirizzamento).

Come per le opzioni del modulo HTTP, puoi specificare un passa o fail criteri.

The option field (following the service field) takes three ":" separated
values and an optional fourth value, the first is the page on the server
to GET or POST to, the second is the POST/GET variables (taken from either
the browser, or a proxy such as PAROS) with the varying usernames and passwords
in the "^USER^" and "^PASS^" placeholders, the third is the string that it
checks for an *invalid* or *valid* login - any exception to this is counted
as a success.
So please:
 * invalid condition login should be preceded by "F="
 * valid condition login should be preceded by "S=".
By default, if no header is found the condition is assume to be a fail,
so checking for *invalid* login.



 Il modello corrente considera la password un errore se la pagina risultante contiene "non valido". Dato che il reindirizzamento dei login corretto, potrebbe essere preferibile cercare invece una condizione di "pass" invece di anteporre il pattern a   S=   .