THC-Hydra: Obtener credenciales de usuario por fuerza bruta

THC-Hydra es un software que se utiliza para crackear los sistemas de login de diferentes servicios como HTTP, FTP, TELNET, IMAP, SMB, SSH, etc. de una manera muy fácil y rápida, cuya última versión (7.4.2) se hizo pública el pasado 7 de enero.

Esta herramienta ha obtenido una gran reputación gracias a poder ser ejecutada desde consola tanto en sistemas Linux como Windows (ofreciendo además a los usuarios de Linux la posibilidad de utilizar una interfaz gráfica) y por poder ejecutar los ataques utilizando threads, dando al usuario la opción de elegir el número con los que quiere realizar el ataque.

Para realizar los ataques, su funcionamiento se basa en el uso de diccionarios, los cuales contendrán todas aquellas posibles opciones que se quieran probar. Siendo estos completamente necesarios para la ejecución del programa e ir probando las diferentes posibilidades y poder llegar así a obtener las credenciales de usuario.

Su ejecución básica desde la línea de comandos es muy sencilla: simplemente deberemos indicar el host que queremos atacar, el tipo de servicio, los archivos que contendrán los valores de usuario y de password, y las características de dicho protocolo (en caso de ser necesarias).

Para atacar a un servicio FTP por ejemplo, únicamente deberíamos indicar el host a analizar, el tipo de servicio (ftp), el fichero que contendrá la lista de usuarios (opción -L) y el fichero que contendrá la lista de passwords (opción -P), quedando una instrucción como la siguiente:

./hydra dirección_host ftp -L diccionario_users -P diccionario_passwords

Otro ejemplo un poco más específico, podría ser para realizar un ataque contra el login HTTP de una página web que envía los datos utilizando el método POST. En este caso además de los datos anteriores, se deberá especificar la url exacta del formulario de login, el nombre de los valores de usuario y password en el formulario web, y la cadena del código HTML que indicará si se ha tenido éxito o no (en base a la respuesta por parte del servidor). Para este ejemplo, la instrucción quedaría como sigue:

./hydra dirección_host http-post-form "/login.php?var_user=^USER^&var_pass=^PASS^:S=Login 
            correcto" -L "dicc_usuarios" -P "dicc_passwords"

Donde la url exacta del formulario es “login.php”, el nombre del parámetro del formulario que contendrá el usuario es “var_user”, el de la contraseña es “var_pass” y la cadena que indicará que el login es correcto es “Login correcto”.

En la siguiente imagen podemos ver cómo sería la salida con los diferentes usuarios y passwords que la herramienta va encontrando en el formulario de login HTTP por método POST:

Hay que remarcar que estas no son las únicas opciones que se pueden establecer en la herramienta, ya que por ejemplo también se puede especificar el número de threads a utilizar (opción -t), realizar el ataque con un usuario concreto (opción -l) o un password concreto (opción -p), añadir cookies (C=valor_cookie), añadir headers (H=valor_cabecera), etc. Por lo que se recomienda encarecidamente analizar las diferentes opciones que nos muestra la ayuda del programa (opción -h) y los diferentes enlaces de ejemplos y ayuda que se ofrecen en su página web http://www.thc.org/thc-hydra/.

Por último, decir que gracias a herramientas como THC-Hydra, podemos ver lo sencillo que puede llegar a ser obtener una lista de aquellos usuarios que utilizan contraseñas demasiado obvias y/o comunes. Por lo que una vez más se demuestra la importancia de crear contraseñas seguras en aquellos servicios que utilizamos.