Açık Bulma

Thc-Hydra & Burp-Suite ile Çevrimiçi Web Formu Parolalarını Kırma

Hydra nedir

Hydra, veya bilindik adıyla “thc-hydra”, bir kaba kuvvet parola saldırı aracıdır. Hydra’yı FTP, SSH, SMTP, Telnet, HTTP & HTTPS, RDP, POP3 gibi bilindik protokollerin yanında, POSTGRES, Radmin, TeamSpeak, Oracle gibi servislerde de brute-force saldırıları için kullanabilirsiniz. Hydra’nın öne çıkan özelliklerinden bir tanesi de, SSL kullanan protokollere de brute-force saldırısı düzenlemenize olanak sağlamasıdır. 

Hydra’yı hem konsol üzerinden hem de kullanıcı arayüzüne sahip bir şekilde (xHydra) 4 farklı modda kullanabilmeniz mümkün:

  • 1 Kullanıcı Adı ve 1 Parola
  • Kullanıcı Adı listesi ve 1 Parola
  • 1 Kullanıcı Adı ve Parola listesi
  • Kullanıcı Adı listesi ve Parola listesi

Burp-Suite nedir

Burp-Suite, bir proxy aracıdır. Web uygulamaları HTTP protokolünü kullanır ve HTTP protokolü ise istemci/sunucu mimarisi üzerine kurulu olan bir protokoldür. İstemci ve sunucu arasında proxy olarak kullanılan Burp Suite tüm istek ve cevapların ayrıntılı bir şekilde incelenebilmesine ve diğer özellikleri ile farklı işlemler yapılabilmesine olanak sağlayan bir araçtır. Burp Suite ile ilgili daha fazla bilgiye buradan.

Deneme amaçlı DVWA sanal laboratuvarı kullanmaktayım, UYARI; eğer ki bir site veya uygulama üzerinde denerseniz sorumluluk ‘gencprogramci‘ ait değildir.

Giriş;

İşlem 1-‘hydra -h‘ komutunu yazıp araç hakkında bilgi alabilirsin.

İşlem 2- 'burp suite‘ uygulamasını açın.

DVWA sanal laboratuvarı, ‘login sayfası’

  • Sanal laboratuvar nedir, Hacking laboratuvarı sanal dünyada test etmek istediğiniz sızma ve hackleme işlemlerini gelişmiş araçlarla, kontrol edilebilir ve 3. şahıslara zarar vermeden uygulamanızı sağlayacak bir ortamdır.

işlem 3- ‘firefox ağ ayarları’

  1. Vekil sunucuyu ayarlarını kullanın.
  2. BurpSuite için local ip yazın ‘127.0.0.1’.
  3. Port için 8080 girin.
  4. tamam,

İşlem 4- DVWA istek gönderelim.

1-proxy =  Intecept kısmı sunuculara giden istekleri durdurup görebildiğimiz kısım. Forward ile paket gönderilir, Drop ile ise droplanır. Giden isteklerin durdurulabilmesi için ‘Intercept on’ seçilmiş olmalıdır.

RAW: Raw sekmesinde Siber Talimhane sunucusuna yapılan HTTP GET isteğini görüntülüyoruz.

2-DVWA = Username&password girin

3-/dvwa/login.php adresine POST isteği yaptık. POST isteği olduğu için parametreler istek gövdesinde ‘username=test&password=test&Login=Login’ şeklinde iletiliyor.

–not “kullanıcı adı doğru” olduğu için ben sadece “password saldırı gerçekleştireceğim”.

İşlem 5- Wordlist oluşturma

Kali linux içinde Wordlist olduğu için ben bu wordlisti kullana-çam, siz kendi oluşturduğunuz wordlisiti kullanabilirsiniz.

İşlem 6- ‘hydra ‘ ile kaba kuvvet saldırısı gerçekleştirelim.

  • hydra 192.168.136.129 site adresidir
  • -l  tek bir kullanıcı adını belirtir ( kullanıcı adı listesi için -L kullanın )
  • -P , şifre listesinin yolunu gösterir( tek bir password için -p kullanın)
  • http-post-form , formun türünü belirtir
  • / dvwa / login-php giriş sayfası URL’sidir
  • username , kullanıcı adının girildiği form alanıdır
  • ^ USER ^ Hydra’ya alandaki kullanıcı adını veya listeyi kullanmasını söyler
  • password , şifrenin girildiği form alanıdır (passwd, pass vb. olabilir)
  • ^ PASS ^ Hydra’ya verilen şifre listesini kullanmasını söyler
  • Login ,açma, Hydra’ya oturum açma başarısız mesajını gösterir
  • Login failed ,Oturum açma başarısız, formun döndürdüğü oturum açma hatası iletisidir
  • -V ,her denemeyi gösteren ayrıntılı çıktı içindir

hydra -l <kullanıcı adı listesi> -P <şifre listesi> <IP Adresi> <form parametreleri> <başarısız giriş mesajı>

Eğer ki kullanıcı adı saldırı yapılacaksa .

hydra -L <kullanıcı adı listesi> -p<şifre listesi> <IP Adresi> <form parametreleri> <başarısız giriş mesajı>

-hydra hakkında da fazla bilgi içim https://tools.kali.org/password-attacks/hydra

UYARI; eğer ki bir site veya uygulama üzerinde denerseniz sorumluluk ‘gencprogramci‘ ait değildir.

Genç Programcı Youtube Kanalımızı Takip Etmeyi Unutmayın.

0 0 vote
Article Rating
[Toplam: 1   Ortalama: 5/5]
Yorum Yapmak İçin Tıklayın
0 Yorum
Inline Feedbacks
View all comments
To Top
0
Would love your thoughts, please comment.x
()
x