Брут сайта hydra

61
26/02/2022 в 01:22 ТС Avuke (Поддержка)

39 сделок

205 лайков

Уважаемые пользователи, в связи с прекращением поддержки доменов v2 сайт будет открываться по адресам:

http://hydraclubbioknikokex7njhwuahc2l67lfiz7z36md2jvopda7nchid.onion

http://hydrarusawyg5ykmsgvnyhdumzeawp465jp7zhynyihexdv5p74etnid.onion

http://hydrarusoeitpwagsnukxyxkd4copuuvio52k7hd6qbabt4lxcwnbsad.onion
30
26/02/2022 в 03:24 Yzymusob

YZ

2 сделок

36 лайк

Log -n 100 Чтобы посмотреть прогресс в самой программе, нажмите enter. Большие объемы данных используются в форумах, почтовых службах, заполнении базы данных, при пересылке файлов. Txt -t 10 "http-get-form localhost/dvwa/vulnerabilities/brute usernameuser passwordpass LoginLogin:incorrect:hCookie: securitylow; phpsessid1n3b0ma83kl75996udoiufuvc2" И тор опять, хорошая команда, правильно составлено, но есть одно «но Много ложных срабатываний и ни одного угаданного пароля Я пробовал менять команду, в качестве условия устанавливал успешный вход с соответствующей строкой. Поэтому собрались! Связанные статьи.

По умолчанию этот модуль настроен следовать максимум пяти редиректам подряд. Если я введу в текстовое поле, например hackware, то после нажатия на кнопку «Отправить» будет открыта страница./p?strhackware. Это не ошибка patator это проблема наших словарей, в которых одни и те же имена пользователя и/или пароли повторялись несколько раз. Теперь адрес страницы у нас будет статичным (не будет меняться а для указания передаваемых данных мы будем использовать специальную опцию. Если они отсутствуют, то используются значения по умолчанию.
23
26/02/2022 в 04:25 Nylofyc

NY

16 сделок

80 лайк

Но нужно не забывать добавлять значение скрытых полей в тело запроса, а про кукиз помнить, что сессия может закончиться по таймауту и нужно получить новое куки. Всё это требует дополнительных сил на анализ. Начинается команда с вызова бинарного файла Medusa /usr/local/bin/medusa. Использование THC-Hydra для брут-форса веб-форм, передающих данные методом GET Как обычно, начнём знакомство с Hydra со страницы с опциями и выпишем те из них, которые нужны для брут-форса веб-форм. Мы воспользуемся Burp Suite Free Edition.
9
26/02/2022 в 08:29 Uqiri

UQ

16 сделок

87 лайк

Подготовка Web Security Dojo Установим необходимые нам программы и немного обновимся (это внутри Web Security Dojo sudo apt-get update # sudo apt-get dist-upgrade # по желанию можно выполнить полное обновление системы. Мы только что в этом убедились сами. Там в самом верху в Proxy Listeners нажимаем Add и добавляем новый прослушиватель: на любом не занятом порту, например, 7070.
32
26/02/2022 в 23:44 Cetuwu

CE

10 сделок

69 лайк

Вы должны проверить веб-приложение, на что похожа строка, которую он выдаёт при неуспешном входе и указать её в этом параметре! Для нашего примера верной является такая строка: -m form-data get? Txt wc -l.е. t число : Общее число логинов для одновременного тестирования -T число : Общее число хостов для одновременного тестирования -L : Распараллеливание входов используя одно имя пользователя на поток. Это важно знать, поскольку даже при верном логине и пароле форма выдаст ошибку входа, если отсутствуют другие требуемые данные.
3
27/02/2022 в 09:54 Tepanyxu

1 сделок

40 лайк

Ну а если в дело вступают серьёьзные проактивные защиты, такие как капча, блокировка попыток входа при нескольких неудачных попытках, двухфакторная аутентификация.д., то даже у опытных пентестеров опускаются руки. Пример формы, которая отправляет данные методом GET: form action"p" method"get" p input type"text" name"str" /p p input type"submit" value"Отправить" /p /form Обратите внимание на action"p" значение этого атрибута говорит о том, что данные будут отправлены файлу. Третье это строка, которая проверяет неверный вход (по умолчанию). Файлы расположены в той же директории, что и скрипт patator, поэтому к нашей команде я добавляю 0namelist.
10
27/02/2022 в 16:00 Ejapot

EJ

15 сделок

29 лайк

Если же мы переходим к перебору паролей в веб-формах, то тут всё по-другому: трудно найти два сайта, на которых был бы одинаковый набор полей формы с одинаковыми именами и одинаковое поведение при успешном или неуспешном входе. F : Остановить аудит после первого найденного действительного имени пользователя/пароля на любом хосте. Он каждый раз собирает новое куки с того же URL без переменных. В нашем случае обязательным являются только куки: -m custom-header Cookie: securitylow; phpsessid1n3b0ma83kl75996udoiufuvc2" Итак, собираем всё вместе в одну команду: /usr/local/bin/medusa -h localhost -U opened_names. Не забываем добавить заполнители file0 и file1: body'usernamefile0 passwordfile1 login-php-submit-buttonLogin' С опциями 0 и 1 мы передаём в программу словари имён пользователя и паролей: 0namelist_new.
5
27/02/2022 в 19:03 Afiliz

7 сделок

74 лайк

Все двоеточия, которые не являются разделителями опций, должны быть экранированы. Также посмотрим ответ веб-сервера: Редиректа (Location и записи новых кукиз не происходит. На самом деле, там под звёздочками уже имеется пароль пользователя admin. Post Метод post посылает на сервер данные в запросе браузера.