簡(jiǎn)介Hydra v9.1是一款面向Windows平臺(tái)的網(wǎng)絡(luò)登錄口令安全測(cè)試工具主要服務(wù)于滲透測(cè)試人員、安全運(yùn)維工程師及協(xié)議安全研究者用于在獲得合法授權(quán)后對(duì)SSH、FTP、RDP、HTTP等常見(jiàn)服務(wù)進(jìn)行弱口令檢測(cè)與認(rèn)證強(qiáng)度評(píng)估。工具包共36個(gè)文件核心由可執(zhí)行主程序、密碼字典檢查輔助程序、Cygwin運(yùn)行依賴(lài)庫(kù)、Markdown說(shuō)明文檔及啟動(dòng)配置腳本組成整體壓縮包僅8.43MB解壓至任意目錄即可運(yùn)行顯著降低了Windows下的部署門(mén)檻。目前已有2906人學(xué)習(xí)下載在安全測(cè)試場(chǎng)景中具備較高參考價(jià)值。使用者可直接利用內(nèi)置的hydra與密碼檢查組件開(kāi)展登錄爆破測(cè)試同時(shí)借助說(shuō)明文檔快速掌握參數(shù)用法并可通過(guò)啟動(dòng)腳本簡(jiǎn)化環(huán)境配置適用于合規(guī)的安全測(cè)試項(xiàng)目、企業(yè)內(nèi)部風(fēng)險(xiǎn)評(píng)估及安全意識(shí)培訓(xùn)中的實(shí)操演示。1. 為什么做安全測(cè)試的人手里都留著Hydra v9.1這把九頭蛇Hydra v9.1這個(gè)名字做安全測(cè)試的人幾乎都聽(tīng)過(guò)因?yàn)樗褪莻髡f(shuō)中的九頭蛇。它不是端口掃描器也不負(fù)責(zé)找Web漏洞而是專(zhuān)門(mén)做網(wǎng)絡(luò)登錄口令驗(yàn)證的工具拿字典里的用戶名和密碼去一個(gè)需要認(rèn)證的服務(wù)上反復(fù)試登錄最后把能通過(guò)認(rèn)證的組合撈出來(lái)。很多內(nèi)網(wǎng)系統(tǒng)上線幾年后管理員賬號(hào)密碼還停留在弱口令狀態(tài)人工一個(gè)個(gè)試效率太低Hydra這類(lèi)工具就是為這種場(chǎng)景準(zhǔn)備的。適合有授權(quán)范圍的滲透測(cè)試工程師、做安全基線的運(yùn)維以及應(yīng)急響應(yīng)里需要快速驗(yàn)證一批目標(biāo)賬號(hào)是否可用的人。這篇文章從原理講到參數(shù)再講到最容易翻車(chē)的幾個(gè)坑。2. 拆開(kāi)Hydra v9.1的前提多線程猜密碼背后每個(gè)協(xié)議模塊到底在做什么Hydra v9.1能支持幾十種協(xié)議是因?yàn)樗选霸鯓痈?wù)對(duì)話”這件事拆成了獨(dú)立的模塊。理解這一點(diǎn)比背命令更重要。只有知道模塊和底層流程你才能解釋為什么同一個(gè)密碼在SSH上成功、在HTTP表單上卻報(bào)錯(cuò)以及為什么調(diào)低并發(fā)比加高并發(fā)更有效。2.1 從socket到認(rèn)證響應(yīng)一次登錄嘗試在Hydra內(nèi)部怎么走可以把一次登錄嘗試想象成一個(gè)微型協(xié)議客戶端在跑只是它不和你交互。整個(gè)過(guò)程通常有四步。第一步是建立TCP連接必要時(shí)先讀取服務(wù)端Banner。第二步是按協(xié)議語(yǔ)法把用戶名和密碼拼進(jìn)認(rèn)證報(bào)文。第三步是等待響應(yīng)并做匹配判斷這次嘗試是否成功。第四步是釋放連接從任務(wù)隊(duì)列里取下一條組合繼續(xù)。這個(gè)循環(huán)對(duì)每個(gè)線程都在重復(fù)。這個(gè)流程里最容易產(chǎn)生誤解的是第三步。不同協(xié)議對(duì)“成功”的定義完全不同。FTP返回230就算成功SSH返回“Permission denied”就算失敗HTTP表單則要你自己告訴Hydra“出現(xiàn)哪個(gè)字符串算失敗”。原因也很簡(jiǎn)單Hydra不是通用漏洞掃描器它只能基于模塊內(nèi)置或你提供的成功特征做工。模塊內(nèi)置了特征的就直接判斷比如SSH模塊沒(méi)內(nèi)置的比如http-post-form就必須把特征寫(xiě)在命令里。再來(lái)看線程模型。Hydra v9.1默認(rèn)用并行任務(wù)模式工作主進(jìn)程把字典組合派發(fā)給worker每個(gè)worker擁有獨(dú)立的socket。這樣設(shè)計(jì)的好處是一個(gè)連接超時(shí)不會(huì)阻塞其他任務(wù)壞處是目標(biāo)服務(wù)如果限制單IP并發(fā)連接數(shù)你把-t開(kāi)到64就相當(dāng)于從同一IP同時(shí)發(fā)起64個(gè)真實(shí)登錄會(huì)話很容易立刻觸發(fā)防破解策略。所以-t參數(shù)本質(zhì)上是“同時(shí)打開(kāi)的登錄會(huì)話數(shù)”不是機(jī)器上的CPU線程數(shù)不能想調(diào)多大調(diào)多大。還有一點(diǎn)要注意Hydra的每個(gè)模塊處理認(rèn)證請(qǐng)求時(shí)不一定只用一次TCP連接。HTTP表單登錄通常要先跟著302跳轉(zhuǎn)再去拿成功頁(yè)面SMB要完成NTLM協(xié)商后再提交憑據(jù)。如果只看表面就會(huì)覺(jué)得“連接都建立了怎么還報(bào)錯(cuò)”。實(shí)際上連接建立只是第一關(guān)后續(xù)的協(xié)議狀態(tài)碼和響應(yīng)體才是判斷依據(jù)。2.2 模塊列表和三個(gè)關(guān)鍵參數(shù)用 -U 看清協(xié)議插件v9.1內(nèi)置的協(xié)議模塊接近50個(gè)常見(jiàn)的有ssh、ftp、http-post-form、smb、rdp、mysql等。不用硬記一條命令就能看到某個(gè)模塊的模板語(yǔ)法hydra -U http-post-form這條命令不發(fā)起連接只打印模塊幫助。輸出里通常會(huì)有一段SYNTAX示例把URL、POST體、成功失敗關(guān)鍵字的位置標(biāo)清楚。我每次換一個(gè)協(xié)議或者換一個(gè)服務(wù)端版本都會(huì)先執(zhí)行一遍-U確認(rèn)舊模板還能不能用。有三個(gè)全局參數(shù)幾乎每個(gè)場(chǎng)景都會(huì)碰到。-L和-P分別指定用戶名文件和密碼文件每行一個(gè)對(duì)應(yīng)的-l和-p是只測(cè)一個(gè)賬號(hào)或一個(gè)密碼。-e nsr讓Hydra對(duì)每個(gè)用戶名額外附加空密碼、用戶名本身和用戶名反轉(zhuǎn)三種組合適合用來(lái)先摸一遍非常弱的默認(rèn)口令。還有一個(gè)容易被忽略的是-s它用于指定非默認(rèn)端口比如SSH跑在2222上時(shí)必須寫(xiě)-s 2222否則Hydra會(huì)直接連22端口然后看到連接被拒。如果目標(biāo)不止一臺(tái)可以把IP列表按行寫(xiě)入文件用-M targets.txt指定。Hydra會(huì)依次處理列表里的每個(gè)目標(biāo)-t繼續(xù)控制單個(gè)目標(biāo)內(nèi)的并發(fā)數(shù)。我在多目標(biāo)場(chǎng)景里會(huì)把-t調(diào)低到2不然每個(gè)目標(biāo)都開(kāi)8個(gè)會(huì)話整個(gè)網(wǎng)絡(luò)入口都會(huì)被告警刷滿。常用模塊和判斷特征可以這樣看服務(wù)協(xié)議模塊名認(rèn)證報(bào)文特點(diǎn)成功判斷SSHsshSSH用戶認(rèn)證握手服務(wù)端返回認(rèn)證成功FTPftpUSER/PASS命令序列響應(yīng)碼 230HTTP 表單http-post-form表單POST模板自定義 S/F 關(guān)鍵字SMBsmbNTLM 挑戰(zhàn)/響應(yīng)會(huì)話建立成功這個(gè)表不是讓你背而是在排錯(cuò)時(shí)有個(gè)基本方向。比如SMB模塊輸出STATUS_LOGON_FAILURE問(wèn)題多半出在憑據(jù)本身如果輸出重試超時(shí)問(wèn)題多半出在并發(fā)太高或網(wǎng)絡(luò)丟包。后面避坑章還會(huì)再展開(kāi)。2.3 為什么不用自己寫(xiě)腳本Hydra的邊界收益與限制作為工程師你可能會(huì)想登錄爆破不就是循環(huán)發(fā)請(qǐng)求嘛Python寫(xiě)一個(gè)更可控。這種想法沒(méi)錯(cuò)但有三個(gè)現(xiàn)實(shí)約束。第一多協(xié)議兼容。SSH、SMB、RDP這些協(xié)議不僅要構(gòu)造數(shù)據(jù)報(bào)文還要處理加密握手、挑戰(zhàn)/響應(yīng)、服務(wù)端版本差異用Python寫(xiě)要引用一堆庫(kù)還要自己維護(hù)狀態(tài)。Hydra把這些都封裝在模塊里你只需要關(guān)注憑據(jù)和特征。第二多線程調(diào)度。自己寫(xiě)腳本處理線程池、結(jié)果隊(duì)列、超時(shí)和重試很容易在異常條件下卡死Hydra的worker模型已經(jīng)跑了十幾年邊界情況更全。第三參數(shù)體系成熟。-e nsr、-f、-o這些參數(shù)直接對(duì)應(yīng)滲透測(cè)試?yán)锍Ｒ?jiàn)的“找默認(rèn)口令”“命中即?！薄奥浔P(pán)報(bào)告”拿過(guò)來(lái)就能拼接成工作流。但這不意味著Hydra萬(wàn)能。它最大的邊界是只能做登錄嘗試不能處理頁(yè)面里復(fù)雜JavaScript生成的動(dòng)態(tài)token也不能理解驗(yàn)證碼。遇到這類(lèi)場(chǎng)景還是要用Burp、Playwright或自研腳本做狀態(tài)保持。所以我的建議是Hydra適合做標(biāo)準(zhǔn)協(xié)議的口令批量驗(yàn)證遇到需要上下文交互的Web登錄盡早換思路。這條邊界理解了你就不會(huì)在一個(gè)不合適的場(chǎng)景里跟參數(shù)較勁。3. 用Hydra v9.1跑通一次最小弱口令審計(jì)本地靶機(jī)、字典、命令與結(jié)果解析前面把原理講通了現(xiàn)在動(dòng)手。下面所有操作都建議在你自己擁有或明確授權(quán)的機(jī)器上做比如本地虛擬機(jī)而不是拿線上IP直接試。最小閉環(huán)只需要一個(gè)SSH服務(wù)、兩個(gè)字典文件和一條Hydra命令。3.1 準(zhǔn)備本地靶機(jī)和賬號(hào)字典先把實(shí)驗(yàn)環(huán)境圈到內(nèi)網(wǎng)最常見(jiàn)的做法是準(zhǔn)備一臺(tái)本地Linux虛擬機(jī)裝好SSH服務(wù)。如果你的開(kāi)發(fā)機(jī)本來(lái)就是Linux也可以直接在本機(jī)做但要用一個(gè)測(cè)試賬號(hào)不要用自己日常登錄的賬號(hào)。安裝命令如下sudo apt update sudo apt install -y hydra openssh-server sudo systemctl enable ssh sudo systemctl start ssh安裝完先用ss -ltnp | grep :22確認(rèn)端口在監(jiān)聽(tīng)。這一步很重要很多Hydra失敗實(shí)際上是因?yàn)榉?wù)沒(méi)起來(lái)。然后創(chuàng)建測(cè)試賬號(hào)密碼故意設(shè)成弱口令方便驗(yàn)證結(jié)果。比如sudo useradd -m -s /bin/bash admin echo admin:123456 | sudo chpasswd注意這只是實(shí)驗(yàn)賬號(hào)測(cè)完應(yīng)刪除。我一般會(huì)在審計(jì)記錄里寫(xiě)清楚創(chuàng)建了哪些賬號(hào)避免清理遺漏。字典文件用最小集。不要一上來(lái)就掛大字典先確認(rèn)鏈路通再慢慢擴(kuò)大。生成命令printf admin\nroot\ntest\n users.txt printf 123456\npassword\ntest123\n pass.txt生成后最好用cat -A看一眼確認(rèn)每行沒(méi)有多余的空格和^M。Windows格式的字典文件會(huì)讓Hydra把\r當(dāng)成密碼的一部分后面避坑章會(huì)專(zhuān)門(mén)提。3.2 執(zhí)行SSH口令審計(jì)并保存報(bào)告最小命令的每個(gè)參數(shù)都有用途目標(biāo)127.0.0.1模塊選ssh。命令如下hydra -L users.txt -P pass.txt 127.0.0.1 ssh \ -t 4 -w 5 -W 2 -f -o ssh_result.txt解釋一下參數(shù)。-L和-P讀取字典ssh是協(xié)議模塊名-t 4表示同時(shí)開(kāi)4個(gè)登錄會(huì)話本地實(shí)驗(yàn)用足夠-w 5表示一個(gè)連接等待服務(wù)端響應(yīng)的超時(shí)時(shí)間為5秒-W 2表示兩個(gè)組合之間間隔2秒降低目標(biāo)日志壓力-f是找到第一組有效口令就停止-o ssh_result.txt把結(jié)果寫(xiě)入文件避免終端緩沖丟了記錄。跑完查看結(jié)果文件cat ssh_result.txt如果成功會(huì)有一行類(lèi)似[22][ssh] host: 127.0.0.1 login: admin password: 123456的記錄。這一行的含義是完整的連接建立、SSH握手、密碼認(rèn)證全部通過(guò)。單看這個(gè)就得記到報(bào)告里但更可靠的做法是去服務(wù)端日志里再確認(rèn)一次后面第6章會(huì)講。如果命令報(bào)[ERROR] error: 10061說(shuō)明端口連不上大概率是sshd沒(méi)啟動(dòng)或端口不對(duì)。如果一直停在某個(gè)組合沒(méi)有輸出先按CtrlC中止然后檢查-W是否把間隔設(shè)得太大或者-w太小導(dǎo)致慢服務(wù)還沒(méi)響應(yīng)就超時(shí)。3.3 讀懂輸出中的INT: 1和error: 10061跑Hydra時(shí)終端會(huì)不斷刷新進(jìn)度信息。很多人看到[ERROR] missed reply就慌了其實(shí)要先區(qū)分這是單次連接問(wèn)題還是整體失敗。[ERROR] error: 10061這類(lèi)信息在Windows平臺(tái)代表連接被拒絕對(duì)應(yīng)Linux下的Connection refused意思是目標(biāo)端口沒(méi)有服務(wù)。解決辦法很簡(jiǎn)單ss -ltnp確認(rèn)監(jiān)聽(tīng)或者檢查-s端口參數(shù)。另一個(gè)常見(jiàn)狀態(tài)是INT: 1。INT統(tǒng)計(jì)的是連接中斷次數(shù)不是成功次數(shù)。如果INT數(shù)字一直漲說(shuō)明目標(biāo)服務(wù)或中間設(shè)備在主動(dòng)斷你的連接。此時(shí)不應(yīng)該繼續(xù)加線程而應(yīng)該把-t調(diào)低把-W調(diào)大或者換一個(gè)時(shí)間段再跑?？吹絒STATUS] attack finished表示任務(wù)正常結(jié)束而不是崩潰。只有DONE配合結(jié)果文件里的成功記錄才代表審計(jì)閉環(huán)。我一般習(xí)慣在跑完后再執(zhí)行一次hydra -l admin -p 123456 127.0.0.1 ssh用它作為單次驗(yàn)證。這樣能把多線程帶來(lái)的干擾排除掉確保成功記錄不是線程競(jìng)爭(zhēng)產(chǎn)生的誤報(bào)。3.4 默認(rèn)口令初篩用 -e nsr 判斷服務(wù)商默認(rèn)憑據(jù)在投人投時(shí)間跑大字典之前我會(huì)先用默認(rèn)口令掃一遍。-e nsr是Hydra內(nèi)置的三種附加嘗試。n代表空密碼s代表密碼和用戶名相同r代表密碼是用戶名的反寫(xiě)。這個(gè)參數(shù)特別適合那種把a(bǔ)dmin/123456當(dāng)標(biāo)配的內(nèi)網(wǎng)設(shè)備。命令hydra -L users.txt -P pass.txt 127.0.0.1 ssh -e nsr -t 4執(zhí)行時(shí)Hydra會(huì)對(duì)users.txt里的每個(gè)用戶名按順序測(cè)試空密碼、用戶名本身、用戶名倒序然后再開(kāi)始跑你提供的pass.txt。它的價(jià)值是能用極小代價(jià)覆蓋一類(lèi)高頻弱口令代價(jià)是延長(zhǎng)總嘗試次數(shù)。如果你只需要看附加嘗試不想跑pass.txt可以把-P臨時(shí)指向一個(gè)只含占位符的文件或者用-p指定一個(gè)單一密碼再疊加-e nsr。還有一點(diǎn)-e nsr產(chǎn)生的成功記錄同樣會(huì)寫(xiě)入結(jié)果文件但賬號(hào)和密碼看起來(lái)是admin/admin這類(lèi)容易讓不熟悉的人以為輸錯(cuò)了字典其實(shí)這是工具自帶的組合。這個(gè)附加環(huán)節(jié)跑完后再?zèng)Q定是否擴(kuò)大字典。很多時(shí)候默認(rèn)口令就能覆蓋大部分風(fēng)險(xiǎn)大字典只是為了讓報(bào)告更完整。不要一開(kāi)始就跑幾十GB的字典尤其是對(duì)外部防護(hù)嚴(yán)格的目標(biāo)。4. 面對(duì)真實(shí)協(xié)議SSH/FTP/HTTP表單/SMB的Hydra v9.1參數(shù)組合實(shí)際工作中不會(huì)只碰SSH。FTP、Web登錄、Windows共享是高頻場(chǎng)景。這一章按協(xié)議給出參數(shù)組合也指出每個(gè)協(xié)議最需要小心的點(diǎn)。4.1 明文協(xié)議SSH/FTP端口、超時(shí)和重試是收斂速度的關(guān)鍵FTP和SSH一樣是標(biāo)準(zhǔn)認(rèn)證流程Hydra用起來(lái)相對(duì)省心。FTP命令hydra -L users.txt -P pass.txt 192.168.1.10 ftp -s 21 -t 8 -w 5 -W 2-s 21顯示指定端口防止目標(biāo)FTP跑在非標(biāo)準(zhǔn)口。-t 8對(duì)FTP來(lái)說(shuō)已經(jīng)偏高因?yàn)楹芏郌TP服務(wù)的MaxClients默認(rèn)不超過(guò)10同時(shí)8個(gè)連接很容易占滿名額。如果報(bào)錯(cuò)login:后面跟著空賬號(hào)通常就是連接數(shù)滿了。SSH也一樣但要注意OpenSSH的MaxAuthTries默認(rèn)6意思是同一個(gè)TCP連接里最多試6次密碼。Hydra每次嘗試都是獨(dú)立連接所以這個(gè)限制攔不住它可是它會(huì)觸發(fā)系統(tǒng)的日志告警。我建議SSH命令里加-W 2給日志留出喘息空間。另外SSH和FTP都存在服務(wù)端Banner識(shí)別問(wèn)題。如果目標(biāo)前面的防火墻改了BannerHydra可能不認(rèn)識(shí)服務(wù)版本這時(shí)要用-s和-m手動(dòng)指定版本參數(shù)。大多數(shù)情況下直接寫(xiě)協(xié)議名就夠了。排錯(cuò)時(shí)我會(huì)在另一個(gè)終端用tcpdump看FTP控制通道確認(rèn)USER/PASS是否按預(yù)期發(fā)送。比如sudo tcpdump -i eth0 port 21 -A。如果看到服務(wù)端返回530 Login incorrect說(shuō)明認(rèn)證失敗特征匹配正確如果看到連接在USER之前就被復(fù)位那就是并發(fā)問(wèn)題。流量側(cè)能直接區(qū)分“認(rèn)證不過(guò)”和“根本沒(méi)送進(jìn)去”。4.2 HTTP表單登錄把POST模板寫(xiě)進(jìn)參數(shù)避開(kāi)兩個(gè)響應(yīng)模板誤區(qū)HTTP表單模塊是所有模塊里最靈活的也是最容易踩坑的。它的協(xié)議關(guān)鍵字是一整段用冒號(hào)分隔的模板hydra -l admin -P pass.txt 192.168.1.20 http-post-form \ /login.php:user^USER^pass^PASS^submitLogin:FInvalid credentials這段模板分三部分。第一部分是登錄URL必須寫(xiě)到具體處理登錄的腳本路徑不是網(wǎng)站首頁(yè)。第二部分是POST體字段名要和真實(shí)表單完全一致^USER^和^PASS^是占位符登錄時(shí)被替換成字典內(nèi)容。第三部分是判斷關(guān)鍵字F開(kāi)頭表示“響應(yīng)里包含這個(gè)字符串就算失敗”S開(kāi)頭表示“包含這個(gè)字符串就算成功”。這里最容易翻車(chē)的是把F和S用反。我見(jiàn)過(guò)有人把登錄成功后的歡迎語(yǔ)寫(xiě)在F里結(jié)果所有嘗試都被判定為失敗。正確做法是先用瀏覽器或curl走一次錯(cuò)誤密碼看返回什么再走一次正確密碼看返回什么然后選其中一個(gè)有區(qū)分度的字符串寫(xiě)進(jìn)模板。例如curl -s -d useradminpasswrongsubmitLogin http://192.168.1.20/login.php | grep -i invalid curl -s -d useradminpass123456submitLogin http://192.168.1.20/login.php | grep -i welcome看哪條命令有輸出就把對(duì)應(yīng)的關(guān)鍵字放到F或S后面。第二個(gè)坑是動(dòng)態(tài)token。如果登錄頁(yè)里有csrf_token并且每次刷新頁(yè)面都會(huì)變那么用固定POST體直接跑是幾乎必失敗的。服務(wù)端會(huì)把你提交的舊token判成無(wú)效請(qǐng)求。遇到這種場(chǎng)景Hydra外部的腳本預(yù)處理通常比硬改參數(shù)更靠譜。你要是堅(jiān)持用Hydra就只能找一個(gè)不接受token的登錄接口或者先用腳本抓取token再公開(kāi)到本地再讓Hydra讀取但這個(gè)鏈路已經(jīng)超出Hydra本身了。4.3 SMB與NTLM的附加選項(xiàng)低并發(fā)和二次驗(yàn)證SMB登錄和上面的協(xié)議都不一樣。Hydra的smb模塊要完成NTLM挑戰(zhàn)/響應(yīng)協(xié)商不是簡(jiǎn)單發(fā)USER/PASS。所以它的命令看起來(lái)簡(jiǎn)單實(shí)際上每次嘗試的開(kāi)銷(xiāo)更大hydra -L users.txt -P pass.txt 192.168.1.20 smb -t 2 -w 5這里-t 2是必須的我?guī)缀鯊牟挥贸^(guò)4。SMB服務(wù)對(duì)單IP并發(fā)連接非常敏感開(kāi)8個(gè)會(huì)話往往直接返回拒絕。如果輸出大量STATUS_LOGON_FAILURE先認(rèn)真檢查賬號(hào)密碼因?yàn)镾MB模塊不太會(huì)因網(wǎng)絡(luò)問(wèn)題產(chǎn)生假失敗如果大量Connection refused多半是并發(fā)太高或端口不對(duì)。還有一個(gè)容易被忽略的點(diǎn)Hydra的SMB模塊判斷成功可能只是賬號(hào)能建立會(huì)話不代表能訪問(wèn)業(yè)務(wù)共享。尤其在一個(gè)賬號(hào)被禁用但還殘留IPC$訪問(wèn)權(quán)限的情況下Hydra可能把它標(biāo)記為成功。拿到結(jié)果后務(wù)必用smbclient之類(lèi)的客戶端手連一次確認(rèn)共享列表。例如smbclient -L //192.168.1.20 -U admin%123456我把這個(gè)步驟叫“二次驗(yàn)證”SMB場(chǎng)景下不做這步報(bào)告里的“已認(rèn)證”就會(huì)被高估。5. Hydra v9.1避坑指南5個(gè)讓口令審計(jì)翻車(chē)的常見(jiàn)問(wèn)題與排查這章直接給結(jié)論都是我在實(shí)際使用中遇到過(guò)的現(xiàn)象。每一條按“現(xiàn)象、原因、解決”三個(gè)角度拆開(kāi)。5.1 服務(wù)端把重試當(dāng)暴力破解連接被中途斷開(kāi)現(xiàn)象任務(wù)跑到一半屏幕上連續(xù)出現(xiàn)[ERROR] missed reply緊接著一批嘗試返回Connection refused。再往后連目標(biāo)IP都ping不通或者SSH直接連接失敗。原因目標(biāo)服務(wù)或安全設(shè)備檢測(cè)到同一來(lái)源短時(shí)間大量認(rèn)證失敗啟動(dòng)了防爆破策略。最典型的是fail2ban它會(huì)在閾值觸發(fā)后臨時(shí)封禁來(lái)源IP。這時(shí)Hydra并不是壞了而是你自己把對(duì)方惹毛了。解決第一步降低-t改成2或1第二步加大-W給相鄰嘗試之間加延遲第三步控制字典規(guī)模不要在不知道賬號(hào)是否存在時(shí)就對(duì)全量字典跑。命令可以收斂成hydra -L users.txt -P pass.txt 192.168.1.10 ssh -t 2 -W 5如果服務(wù)器確實(shí)允許可以把來(lái)源IP加入白名單但這已經(jīng)不是Hydra參數(shù)問(wèn)題了。記住一個(gè)原則更快不一定是好事能跑完才是。5.2 字典里的非ASCII密碼被終端或編碼吃掉現(xiàn)象密碼文件里包含bamboo這類(lèi)非ASCII字符串Hydra要么全部返回錯(cuò)誤要么結(jié)果文件里出現(xiàn)亂碼。甚至有些密碼看著少了一個(gè)字符。原因字典文件編碼不是UTF-8或者終端在生成文件時(shí)把字符轉(zhuǎn)成了本地編碼。服務(wù)端期望的字節(jié)序列和字典里實(shí)際傳出去的字節(jié)序列不一致認(rèn)證自然失敗。解決生成字典統(tǒng)一用UTF-8無(wú)BOM編碼并且用腳本處理而不是手動(dòng)復(fù)制。可以先執(zhí)行file pass.txt看編碼再用iconv轉(zhuǎn)換。如果目標(biāo)服務(wù)是Windows體系常常需要GBK編碼那就反方向轉(zhuǎn)成GBK。例如iconv -f GBK -t UTF-8 pass_gbk.txt pass.txt最穩(wěn)妥的辦法是在字典里只保留可見(jiàn)ASCII字符除非你明確知道服務(wù)端編碼。血淚經(jīng)驗(yàn)是為了一個(gè)帶特殊字符的密碼折騰一下午最后發(fā)現(xiàn)是編碼問(wèn)題。5.3 HTTP表單帶動(dòng)態(tài)token時(shí)永遠(yuǎn)返回失敗現(xiàn)象字典里有正確的賬號(hào)密碼但http-post-form模塊全部命中F關(guān)鍵字導(dǎo)致沒(méi)有任何成功記錄。手動(dòng)用瀏覽器登錄卻可以成功。原因登錄頁(yè)里存在CSRF token它每次GET都會(huì)更新。Hydra第一次加載頁(yè)面拿到的token在第二次POST時(shí)已經(jīng)失效服務(wù)端拒絕認(rèn)證。解決先檢查登錄表單里有沒(méi)有csrf或token字段。如果有Hydra不是一個(gè)好選擇?？梢赃x擇用腳本抓取token并復(fù)用寫(xiě)成一個(gè)小循環(huán)也可以把登錄接口改成API形式繞開(kāi)token。如果目標(biāo)授權(quán)允許最徹底的做法是先關(guān)閉該接口的CSRF校驗(yàn)再測(cè)但多數(shù)情況下不能這么做。腳本思路可以是這樣# 先用curl取login頁(yè)把csrf_token提出來(lái) token$(curl -s http://192.168.1.20/login.php | grep -o namecsrf value[^]* | cut -d -f4) curl -d useradminpass123456csrf$token http://192.168.1.20/login.php不要浪費(fèi)時(shí)間在Hydra參數(shù)上方向錯(cuò)了。5.4 多線程下輸出亂序誤以為某個(gè)IP已經(jīng)全測(cè)完現(xiàn)象任務(wù)結(jié)束終端顯示1 of 1 target successfully completed結(jié)果文件里也只有一條成功記錄。但之后復(fù)核發(fā)現(xiàn)還有另一個(gè)賬號(hào)密碼也能登錄當(dāng)時(shí)沒(méi)測(cè)出來(lái)。原因使用了-f參數(shù)讓Hydra在找到第一組有效口令后立即停止。多線程環(huán)境下其他線程還沒(méi)跑完的組合會(huì)被直接丟棄所以這個(gè)結(jié)果不是全量覆蓋。解決單點(diǎn)登錄測(cè)試需要快速拿一個(gè)口令時(shí)用-f沒(méi)問(wèn)題但全量弱口令審計(jì)不能這么做。要去掉-f讓它跑完全部組合。如果想控制時(shí)長(zhǎng)用-t限制并發(fā)比提前中斷更安全。拿到結(jié)果后檢查統(tǒng)計(jì)行里的嘗試次數(shù)是否等于用戶字典數(shù)量乘密碼字典數(shù)量。如果少了說(shuō)明有組合被跳過(guò)?？梢韵扔脀c -l users.txt pass.txt算一下預(yù)期數(shù)量再和Hydra的統(tǒng)計(jì)對(duì)照。5.5 結(jié)果文件里出現(xiàn)重復(fù)成功記錄日志審計(jì)對(duì)不上現(xiàn)象ssh_result.txt里同一組login: admin password: 123456出現(xiàn)兩三次但服務(wù)端auth.log里只有一次Accepted password。原因Hydra在連接中斷后會(huì)自動(dòng)重試重試成功后也會(huì)寫(xiě)一條結(jié)果。尤其是網(wǎng)絡(luò)抖動(dòng)頻繁時(shí)同一個(gè)組合可能被發(fā)送了多次而服務(wù)端只成功認(rèn)證了一次其余都斷在TCP層。解決先對(duì)結(jié)果文件去重sort -u ssh_result.txt再結(jié)合服務(wù)端日志確認(rèn)真正成功的次數(shù)。更重要的是在命令里用-w 5 -W 2讓每次嘗試都建立在干凈連接上減少重試。還有一點(diǎn)不要用-o覆蓋模式重復(fù)跑同一個(gè)目標(biāo)換個(gè)輸出文件名能避免舊記錄混淆。6. 把Hydra v9.1的驗(yàn)證做干凈交叉核對(duì)日志與自定義成功特征前面的命令能拿到結(jié)果但結(jié)果要對(duì)得起審計(jì)報(bào)告。最后說(shuō)兩個(gè)我常用的驗(yàn)證技巧。6.1 用 -v -d 打開(kāi)調(diào)試流先確認(rèn)失敗長(zhǎng)什么樣正式跑全量字典之前我會(huì)先制造一次必然失敗的嘗試再用調(diào)試模式觀察輸出。命令是hydra -l admin -p wrongpass 127.0.0.1 ssh -v -d-v會(huì)打印每次嘗試的完整過(guò)程-d會(huì)把模塊和服務(wù)端交互的原始內(nèi)容打出來(lái)。確認(rèn)失敗特征穩(wěn)定后再換成正確密碼跑一次確認(rèn)成功特征。這樣在正式結(jié)果里看到成功記錄你心里就有底了——它不是某個(gè)關(guān)鍵字偶然匹配出來(lái)的。6.2 交叉核對(duì)服務(wù)端日志別讓結(jié)果文件騙你Hydra的輸出只是客戶端視角。拿到成功記錄后去服務(wù)端查一次認(rèn)證日志。SSH服務(wù)在Linux上通常記錄到/var/log/auth.loggrep Accepted password for admin /var/log/auth.log | tail -10如果結(jié)果文件里寫(xiě)著admin / 123456而auth.log里沒(méi)有對(duì)應(yīng)的Accepted行那這條結(jié)果大概率是假的可能來(lái)自調(diào)試狀態(tài)或誤匹配。HTTP服務(wù)就查訪問(wèn)日志看有沒(méi)有對(duì)應(yīng)的POST登錄請(qǐng)求和302跳轉(zhuǎn)。只有兩邊能對(duì)上我才會(huì)把結(jié)果寫(xiě)進(jìn)報(bào)告。6.3 一個(gè)血淚教訓(xùn)并發(fā)參數(shù)不是越大越好我在一次內(nèi)網(wǎng)審計(jì)里把-t調(diào)成64去測(cè)FTP結(jié)果目標(biāo)FTP服務(wù)直接崩潰最后客戶不但沒(méi)拿到報(bào)告還因?yàn)榉?wù)受影響被運(yùn)維投訴。從那以后我給自己定了一個(gè)習(xí)慣所有協(xié)議先用-t 2驗(yàn)證鏈路再按服務(wù)承載能力逐步往上調(diào)最多不超過(guò)16。安全測(cè)試本身就是在可控范圍內(nèi)做驗(yàn)證沒(méi)授權(quán)不要測(cè)有授權(quán)也要輕拿輕放。Hydra v9.1是一把好用的九頭蛇但用它的前提是思路清楚、參數(shù)克制、結(jié)果可審計(jì)。希望幫到你。本文還有配套的精品資源點(diǎn)擊獲取