Php 使用Hydra在我的登录页面上尝试暴力攻击是行不通的

我正在学习如何使用Hydra进行暴力攻击，并尝试在为旧站点构建的登录页面上进行测试。有时，我可以让Hydra运行并尝试攻击，但即使我在password.txt文件中输入了正确的密码，它也无法工作。任何关于为什么我的代码不能正确启动的建议都是非常好的。我以为我是对的，但我想不是

以下是我认为可能存在问题的事情，但我似乎无法确定它们是否存在

• 登录表单发送到自身以验证凭据
• 如果pw是错误的，它会输出Oops，错误的用户名或密码！（如果在命令中使用整个字符串，则会出现问题）
• 也许我没有找到合适的攻击地点

还要注意的是，该站点现在位于我的站点的子目录中。此外，登录只使用MD5，我在password.txt文件中包含了密码字符串和MD5版本的密码

这是我的命令：

---

hydra 69.57.9.2 http form post“/john_smith_blog/admin_login/index.php:username=^USER^&password=^PASS^:Oops”-l JohnSmith-p password.txt-t 10-w 30-o hydra-http-post-attack.txt

这是wireshark发布的数据

POST /john_smith/admin_login/index.php HTTP/1.1
Host: DomainNameDotCom
Connection: keep-alive
Content-Length: 359
Cache-Control: max-age=0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Origin: DomainNameDotCom
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_10_3) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/46.0.2490.86 Safari/537.36
Content-Type: multipart/form-data; boundary=----WebKitFormBoundary3vaAYMlCejOUFLH5
Referer: DomainNameDotCom/john_smith/admin_login/index.php
Accept-Encoding: gzip, deflate
Accept-Language: en-US,en;q=0.8,nb;q=0.6
Cookie: __utmz=237398355.1442340459.1.1.utmcsr=(direct)|utmccn=(direct)|utmcmd=(none); __utma=237398355.593524857.1442328243.1442340459.1445019147.2; __unam=7639673-14fd22d2da8-49c4842-202; PHPSESSID=npth83ho7cg7di5bps0qtlm1i7; _ga=GA1.2.593524857.1442328243

------WebKitFormBoundary3vaAYMlCejOUFLH5
Content-Disposition: form-data; name="username"

JohnSmith
------WebKitFormBoundary3vaAYMlCejOUFLH5
Content-Disposition: form-data; name="password"

JohnSmith94
------WebKitFormBoundary3vaAYMlCejOUFLH5
Content-Disposition: form-data; name="Submit"

Login
------WebKitFormBoundary3vaAYMlCejOUFLH5--
HTTP/1.1 200 OK
Date: Sun, 22 Nov 2015 23:07:43 GMT
Server: Apache
X-Powered-By: PHP/5.3.6
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0
Pragma: no-cache
Connection: close
Transfer-Encoding: chunked
Content-Type: text/html

49a
Oops, Wrong Username Or Password! 

任何关于为什么我的代码不能正确启动的建议都是非常好的

您是使用THC还是自己制作Hydra版本

THC 尝试更新您的hydra，如果没有，尝试下载最新版本并仔细检查您的选项

自有Hydra版本 你在用什么样的PL？试着把你的password.txt文件做成一个数组形式，让你的代码试着按数组顺序使用数组。我认为，先把一个完整的bruteforce.txt从'a'变成'zzzzz'

---

最好让您自己的使用他人的方式工作。只需说：）

确保表单参数与hydra攻击中的参数相同（例如用户名和密码）

还请记住，您的查询设计用于POST请求表单。您可能需要在那里输入更多参数（例如Login=Login或类似的参数）

检查是否最好安装一个简单的浏览器插件（例如篡改数据或标题），当在侦听模式下创建时，该插件将能够向您提供完整的post数据请求。从那里您可以修改hydra参数

---

祝你好运。

谢谢你的意见！我目前正在使用THC，我只学了几天这类东西，所以我还不完全知道所有最好的方法。这只是一个友好的提示。如果你是PL或任何相关的新手，最好使用第三方软件进行教育，但如果你可以自己制作版本，我想说去吧！根据我在THC上的经验，我很难使用它。那么为什么要在互联网上搜索它呢？如果我能自己做的话？祝你将来好运^谢谢你的建议！我也确保了凭证是一样的，而且表单本身也没有get方法。我还使用Wireshark跟踪所有的数据表单以确保获得所需的所有信息。当我使用上述代码时，我无法得到任何类型的响应，它甚至无法在之后发出命令，但如果我使用类似hydra-l JohnSmith-P password.txt http from post“/john_smith/admin_login/index.php:Oops”这样的代码，它总是尝试并说它没有得到匹配Wireshark非常适合此任务。你介意从虚拟登录粘贴帖子数据吗？只是更新了这个问题，以显示我从wireshark那里得到的关于帖子的信息。我更改了一些内容，比如主机名为DomainNameDotCom，因为堆栈溢出不允许我进入域hosthydra 69.57.9.2 http表单post“/john_smith_blog/admin_login/index.php:username=^USER^&password=^PASS^&Submit=login:Oops”-l JohnSmith-P password.txt-t 10-w 30-o hydra-http-post-attack.txt您可以在数据包中看到还有一个参数。试试看，如果不行就告诉我。谢谢你挑出来，这仍然是一个很大的帮助。它似乎仍然不起作用。无论出于何种原因，它似乎只在我运行两次命令（第一个命令上没有发生任何事情）时才会运行，它会尝试运行，但它需要很长时间才能完成，而且它永远也不会找到答案。只有两个密码需要检查，所以也不应该花这么长时间。