Hydra

Use o Hydra para quebrar senhas por força bruta

O THC Hydra é uma ferramenta clássica usada para quebrar senhas. Resumidamente, é um programa para crackear senhas de login na rede e tem, como atrativo o fato de ser bastante rápida.
No Ubuntu 14.04 LTS, é possível instalar o Hydra, pelos repositórios oficiais, na versão 7.5 — sob a advertência de que deve ser usada apenas para meios legais. Tá certo…
For legal purposes only
A versão mais nova, pode ser adquirida no site oficial (link no final do texto) e, até o presente momento, se encontra na versão 8.1 — última atualização em Dezembro de 2014.
A ferramenta tem versões para Linux, Windows e Mac. Neste artigo, vou abordar a instalação e o uso (primeiros passos) no sistema operacional Ubuntu 14.04 LTS — os procedimentos de uso devem ser semelhantes nos outros sistemas.


Acesse mais posts sobre segurança e senhas através da caixa de buscas deste site.

O que dá pra fazer com o Hydra?

Salta aos olhos a possibilidade de se adicionar módulos para aumentar sua funcionalidade.
A ferramenta já foi testada e obteve resultados eficientes sobre vários protocolos de rede. Entre eles, citam-se AFP, Cisco AAA, Cisco auth, Cisco enable, CVS, Firebird, FTP, HTTP-FORM-GET, HTTP-FORM-POST, HTTP-GET, HTTP-HEAD, HTTP-PROXY, HTTPS-FORM-GET, HTTPS-FORM-POST, HTTPS-GET, HTTPS-HEAD, HTTP-Proxy, ICQ, IMAP, IRC, LDAP, MS-SQL, MySQL, NCP, NNTP, Oracle Listener, Oracle SID, Oracle, PC-Anywhere, PCNFS, POP3, POSTGRES, RDP, e Rexec.
O Hydra tem suporte a ataques contra proxies HTTP e SOCKS e ao ‘novo’ protocolo IPv6.
É uma excelente ferramenta, portanto, para experimentar e testar a segurança da sua rede e dos seus aplicativos.

Como o Hydra funciona?

Trata-se de uma ferramenta de quebra de senhas pela força bruta — método de adivinhação de senhas baseado em dicionário ou um banco de dados mais complexo. Em outras palavras, o software tenta todas as possíveis combinações de senhas até acertar.
Como sabemos, a maioria dos usuários usa senhas fracas para se logar nos seus sistemas e aplicativos.
É comum usar senhas baseadas em palavras que se tenha mais facilidade para lembrar: nome do(a) parceiro(a), dos filhos, do cachorro/gato, time de futebol, cidade natal etc.
Estes e outros dados podem ser obtidos através de engenharia social e armazenados em uma lista, que poderá ser usada pelo software para gerar combinações possíveis — e terminar o serviço mais rápido.
O Hydra é conhecido como um dos melhores neste setor e pode ajudar a detectar usuários que usam senhas frágeis. A partir daí, o administrador do sistema poderá encorajá-los a usar senhas melhores.

Como instalar o Hydra

No Ubuntu e em outras distros baseadas no Debian, o processo de instalação pode ser feito através do apt-get:

sudo apt install hydra

Existe uma versão gráfica do aplicativo hydra-gtk, que não será abordada neste artigo — mas, se quiser instalar, este é o nome do pacote.
Se quiser usar a versão mais atual, baixar o código fonte do site (link no final) e compilar na sua máquina é uma ótima opção.


Use a caixa de busca do site para encontrar artigos sobre criptografia

Como usar o Hydra

Na linha de comando (no terminal), você deve invocar o Hydra e informar, basicamente, duas coisas:

  • um alvo a ser atacado — endereço IPv4, IPv6 ou um nome DNS
  • um serviço ou protocolo, dentre os vários suportados, a ser quebrado

Roteador tecnicolor tela de autenticação
Para exemplificar, vou jogar o Hydra contra um roteador doméstico — cujo login é admin e a senha é a mesma coisa.

hydra -l admin -esn http://192.168.254.254

Veja o meu resultado…

Hydra v7.5 (c)2013 by van Hauser/THC & David Maciejak - for legal purposes only

Hydra (http://www.thc.org/thc-hydra) starting at 2015-07-22 13:04:50
[WARNING] The service http has been replaced with http-head and http-get, using by default GET method. Same for https.
[WARNING] You must supply the web page as an additional option or via -m, default path set to /
[DATA] 2 tasks, 1 server, 2 login tries (l:1/p:2), ~1 try per task
[DATA] attacking service http-get on port 80
[80][www] host: 192.168.254.254   login: admin   password: 
[80][www] host: 192.168.254.254   login: admin   password: admin
1 of 1 target successfully completed, 2 valid passwords found
Hydra (http://www.thc.org/thc-hydra) finished at 2015-07-22 13:04:51

Veja o que foi feito:

  • -l admin — Quando já se sabe, de antemão, o login do sistema em que se deseja entrar, informe-o na linha de comando com a opção ‘-l’.
  • -esn— Neste caso, só o que resta adivinhar é a senha. A opção ‘-esn’ faz com que o Hydra inclua nas suas tentativas a mesma senha do login e a senha em branco — que são situações corriqueiras em se tratando de roteadores domésticos.

No exemplo, abaixo, um ataque ao servidor MySQL local.

hydra 127.0.0.1 mysql -l root -P /usr/share/dict/portuguese -t 4

Uma situação comum, é usar o root como login padrão em instalações “domésticas” do MySQL.
A lista de senhas foi retirada do arquivo de dicionário ‘/usr/share/dict/portuguese’, presente no meu sistema. Você pode usar outro.
A opção ‘-t 4’ informa ao Hydra para rodar 4 tarefas em paralelo, o que ajuda concluir o trabalho mais cedo. O padrão do aplicativo é 16.
Veja o meu resultado:

Hydra v7.5 (c)2013 by van Hauser/THC & David Maciejak - for legal purposes only

Hydra (http://www.thc.org/thc-hydra) starting at 2015-07-22 13:43:06
[DATA] 4 tasks, 1 server, 429196 login tries (l:1/p:429196), ~107299 tries per task
[DATA] attacking service mysql on port 3306
[STATUS] 21726.00 tries/min, 21726 tries in 00:01h, 407470 todo in 00:19h, 4 active
[STATUS] 21484.67 tries/min, 64454 tries in 00:03h, 364742 todo in 00:17h, 4 active
[3306][mysql] host: 127.0.0.1   login: root   password: baleia
1 of 1 target successfully completed, 1 valid password found
Hydra (http://www.thc.org/thc-hydra) finished at 2015-07-22 13:46:45

Como se defender de ataques do Hydra

Há várias formas de se defender de ataques de força bruta.
Veja alguns métodos adotados por administradores de sistemas e engenheiros de rede:

  • Desabilitar ou bloquear contas após um número predeterminado de tentativas de acesso fracassadas.
  • Usar mais de um método de autenticação no sistema.
  • Implementar sistemas de autenticação baseados em hardwares, em vez de senhas.
  • Encorajar os funcionários a usar senhas geradas automaticamente. No ambiente Unix e GNU/Linux, podemos usar o sha1 ou o apg para gerar senhas seguras e difíceis de quebrar.

Use a caixa de busca para encontrar mais artigos sobre segurança.

Referências

Site oficial do THC Hydra: https://github.com/vanhauser-thc/thc-hydra.
Site do Concise-courses: https://www.concise-courses.com/hacking-tools/password-crackers/thc-hydra/.

Publicado por

Elias Praciano

Autor de tecnologia (livre, de preferência), apaixonado por programação e astronomia. Fã de séries, como "Rick and Morty" e "BoJack Horseman". Me siga no Twitter e vamos trocar ideias!

24 comentários sobre “Use o Hydra para quebrar senhas por força bruta”

  1. Elias, caso possa me responder mesmo se não tiver a resposta, ficarei grato.

    Tanto o Hydra, quanto o Medusa me retornam várias senhas corretas, ou seja, várias Key Found.

    Já testei em 3 roteadores, 2 deles eu sabia a senha e login, fiz só o teste. Mesmo assim ele retorna a lista inteira da wordlist como correta. Se tiver 1000 senhas, ele diz que as 1000 estão corretas.

    Pode me ajudar?

  2. Olá, tenho testado já faz tempoo Hydra pelo terminal do Ubuntu porém ele sempre me retorna como usuario: 123456 e password: 123456. que estão errados

    estou setando o Hydra da seguitne maneira:
    root@rafa-Aspire-5350:/home/rafa# hydra -L /home/rafa/Downloads/dicionario1.txt -P /home/rafa/Downloads/dicionario1.txt 192.168.0.254 telnet -f

  3. Eu perdi uma senha minha de um jogo (do nada apareceu senha incorreta mesmo estando salva há tempos…), imagino que roubaram minha conta. Enfim, eu fui recuperar a senha, mas descobri que o email que eu tinha da conta nem existe, porque era um personagem que eu não ligava tanto. Sei que o jogo gera uma nova senha de 6 caracteres (letras maiúsculas e números apenas), muito fácil de adivinhar. Um programa desse naipe consegue me ajudar a recuperar minha conta? Por favor, me ajudem

  4. Encontrei seu site por acaso, tenho que parabenizá-lo por tamanho conteúdo excelente. Já que não é qualquer um que compartilha tais conhecimentos.

Deixe uma resposta

O seu endereço de e-mail não será publicado. Campos obrigatórios são marcados com *