Adım 1: THC-Hydra Açalım.
Ve yavaştan işleme başlayalım. Kali'yi açıp Applications -> Kali Linux -> Password Attacks -> Online Attacks -> hydra kısmından uygulamamızı açalım.
Adım 2: Web Form Parametrelerini Alalım.
Web form kullanıcı adlarını ve parolalarını hackleyebilmek için formun nasıl yanlış giriş yaparkenki gibi döndürdüğü gibi parametrelerini tespit etmemiz gerek. Bulmamız gereken anahtar parametreler:
Bunların her birini Tamper Data veya Burp Suite gibi bir proxy kullanarak tanımlayabiliriz.
Adım 3: Burp Suite Kullanımı
Bu işi yapmak için Tamper Data dahil herhangi bir proxy'yi kullanabiliriz, bu yazıda Burp Suite'i kullanacağız. Applications -> Kali Linux -> Web Applications -> Web Application Proxies -> burpsuite yolundan Burp Suite'i açabilirsiniz. Açtığınızda aşağıdaki gibi bir açılış ekranıyla karşılaşacaksınız.
Sonra, DVWA'da parolayı crack'lemeyi deneyeceğiz. Métasploitable OS'da çalıştırabilirsiniz (Rapid7'de mevcut) ve sonrasında bende de olduğu gibi giriş yapma sayfasına bağlanalım.
Aşağıda gördüğünüz gibi Burp Suite'de Proxy ve Intercept kısımlarını seçelim. Sekmelerde üst kısımda Proxy'yi, alt kısımda da Intercept'i göreceksiniz. "Intercept is on" olduğundan emin olun.
Sonunda, bir proxy kullanmak için IceWasel (Firefox veya Mozilla da olur) tarayıcımızı yapılandırmamız gerek. Aşağıda da görebileceğiniz gibi "Connection Settings"i açmak için Edit -> Preferences -> Advanced -> Network -> Settings yolunu takip edebilirsiniz. Burada, IceWeasel'ı 127.0.0.1 port 8080 kullanarak bir proxy gibi yapılandırmak için "HTTP Proxy" kısmına 127.0.0.1 ve "Port" kısmına 8080 yazıp aşağıdaki "No Proxy for" kısmındaki tüm bilgileri silin. Ayrıca, "Use this proxy server for all protocols" kutucuğa tik atmayı unutmayın.
Adım 4: Başarısız Giriş Yanıtı Alalım
OTW kullanıcı adım ve OTW parolamla beraber giriş yapmaya çalışalım. Giriş yaptığımda Burp Suite, isteği yakalayacak ve THC-Hydra web form crack için gereken anahtar bölümleri gösterecek.
Bilgileri topladıktan sonra en soldaki "Forward" butonuna tıklayarak Burp Suite'den isteği yönlendirelim. DVWA bize "Login failed" (Giriş başarısız) mesajı döndürdü. Şimdi ise bu web uygulamasını cracklemek adına THC-Hydra'yı yapılandırabilmemiz için gereken tüm bilgiler elimde.
Başarısız mesajı almak, web formlarında THC-Hydra'nın çalışmasını sağlamanın anahtarıdır. Burada, bu bir metin tabanlı mesajdır ama her zaman öyle olacak diye bir kaide yok. Bazen bu bir çerez de olabilir ama işin asıl kısmı uygulamanın, başarısız bir girişe nasıl cevap verdiğini çözmektir. Bu yolda, THC-Hydra farklı parolaları denemeye devam eder, başarısız mesajı gözükmediğinde başarmışız diyebiliriz.
Adım 5: THC-Hydra Komutuna Parametreleri Yerleştirelim
Şimdi ise parametreler bizde, bunları THC-Hydra komutuna yerleştirebiliriz. Sözdizimi şöyle gözükmesi lazım:
Burp Suite'den elde ettiğimiz bilgilere dayanarak, komutumuz şuna benzemeli:
kali >hydra -L <kelime_listesi> -P <parola_listesi> 192.168.1.101 http-post-form "/dvwa/login.php:username=^USER^&password=^PASS^&Login=Login:Login failed"
Birkaç önemli nokta, öncelikle kullanıcı adı listesi kullanmak isterseniz harfleri "L" gibi büyük kullanmanız lazım. Ama eğer küçük harf "l" kullanırsanız verdiğiniz tek bir kullanıcı adını cracklemeye çalışacaktır. Bu yazıda biz sadece "admin" parolası cracklemeye çalışacağımız için küçük harfte "l" kullanacağız.
Giriş form adresinden (/dvwa/login.php) sonraki kısım kullanıcı adını alan kısmın adıdır. Bizim durumumuzda bu "username" ama bazı formlarda karşınıza "login" gibi farklı şeyler çıkabilir.
Bu web form girişini crack'leyecek komutu oluşturalım.
Adım 6: Wordlist Seçelim
Şimdi de bir kelime listesi seçmemiz lazım. Saldırının anahtarıdır bu wordlist. Crunch veya CeWl ile yapılmış bir liste kullanabilirsiniz ama Kali içinde çok sayıda wordlist bulunduruyor. Hepsini görmek için şu kodu yazmanız yeterlidir:
Ek olarak, 100 GB'a kadar çıkan wordlist siteleri de var. Ama akıllıca düşünün arkadaşlar. Ben 1000 kelime bile tutmayan kendi listemi kullanacağım. Wordlist yolu:
Adım 7: Komutu Oluşturalım
kali > hydra -l admin -P /usr/share/dirb/wordlists/small.txt 192.168.1.101 http-post-form "/dvwa/login.php:username=^USER^&password=^PASS^&Login=Lo gin:Login failed" -V
Kısım kısım inceleme:
Adım 8: Ateşleyelim
Şimdi ise çalıştırma vakti. -V kısmını da eklediğimizden THC-Hydra bize her denemesini tek tek verecek.
Birkaç dakika sonra Hydra, bize uygulamanın parolasını başarılı bir şekilde döndürecek.
Ve yavaştan işleme başlayalım. Kali'yi açıp Applications -> Kali Linux -> Password Attacks -> Online Attacks -> hydra kısmından uygulamamızı açalım.
Adım 2: Web Form Parametrelerini Alalım.
Web form kullanıcı adlarını ve parolalarını hackleyebilmek için formun nasıl yanlış giriş yaparkenki gibi döndürdüğü gibi parametrelerini tespit etmemiz gerek. Bulmamız gereken anahtar parametreler:
- Websitenin IP Adresi
- URL
- Formun türü
- Kullanıcı adının bulunduğu kısım
- Parolanın bulunduğu kısım
- Başarısız mesajı
Bunların her birini Tamper Data veya Burp Suite gibi bir proxy kullanarak tanımlayabiliriz.
Adım 3: Burp Suite Kullanımı
Bu işi yapmak için Tamper Data dahil herhangi bir proxy'yi kullanabiliriz, bu yazıda Burp Suite'i kullanacağız. Applications -> Kali Linux -> Web Applications -> Web Application Proxies -> burpsuite yolundan Burp Suite'i açabilirsiniz. Açtığınızda aşağıdaki gibi bir açılış ekranıyla karşılaşacaksınız.
Sonra, DVWA'da parolayı crack'lemeyi deneyeceğiz. Métasploitable OS'da çalıştırabilirsiniz (Rapid7'de mevcut) ve sonrasında bende de olduğu gibi giriş yapma sayfasına bağlanalım.
Aşağıda gördüğünüz gibi Burp Suite'de Proxy ve Intercept kısımlarını seçelim. Sekmelerde üst kısımda Proxy'yi, alt kısımda da Intercept'i göreceksiniz. "Intercept is on" olduğundan emin olun.
Sonunda, bir proxy kullanmak için IceWasel (Firefox veya Mozilla da olur) tarayıcımızı yapılandırmamız gerek. Aşağıda da görebileceğiniz gibi "Connection Settings"i açmak için Edit -> Preferences -> Advanced -> Network -> Settings yolunu takip edebilirsiniz. Burada, IceWeasel'ı 127.0.0.1 port 8080 kullanarak bir proxy gibi yapılandırmak için "HTTP Proxy" kısmına 127.0.0.1 ve "Port" kısmına 8080 yazıp aşağıdaki "No Proxy for" kısmındaki tüm bilgileri silin. Ayrıca, "Use this proxy server for all protocols" kutucuğa tik atmayı unutmayın.
Adım 4: Başarısız Giriş Yanıtı Alalım
OTW kullanıcı adım ve OTW parolamla beraber giriş yapmaya çalışalım. Giriş yaptığımda Burp Suite, isteği yakalayacak ve THC-Hydra web form crack için gereken anahtar bölümleri gösterecek.
Bilgileri topladıktan sonra en soldaki "Forward" butonuna tıklayarak Burp Suite'den isteği yönlendirelim. DVWA bize "Login failed" (Giriş başarısız) mesajı döndürdü. Şimdi ise bu web uygulamasını cracklemek adına THC-Hydra'yı yapılandırabilmemiz için gereken tüm bilgiler elimde.
Başarısız mesajı almak, web formlarında THC-Hydra'nın çalışmasını sağlamanın anahtarıdır. Burada, bu bir metin tabanlı mesajdır ama her zaman öyle olacak diye bir kaide yok. Bazen bu bir çerez de olabilir ama işin asıl kısmı uygulamanın, başarısız bir girişe nasıl cevap verdiğini çözmektir. Bu yolda, THC-Hydra farklı parolaları denemeye devam eder, başarısız mesajı gözükmediğinde başarmışız diyebiliriz.
Adım 5: THC-Hydra Komutuna Parametreleri Yerleştirelim
Şimdi ise parametreler bizde, bunları THC-Hydra komutuna yerleştirebiliriz. Sözdizimi şöyle gözükmesi lazım:
Kod:
[COLOR="White"]kali > hydra -L <kullanıcı_adı_listesi> -P <parola_listesi> <IP_adresi> <form_parametreleri><başarısız_giriş_mesajı>[/COLOR]Burp Suite'den elde ettiğimiz bilgilere dayanarak, komutumuz şuna benzemeli:
kali >hydra -L <kelime_listesi> -P <parola_listesi> 192.168.1.101 http-post-form "/dvwa/login.php:username=^USER^&password=^PASS^&Login=Login:Login failed"
Birkaç önemli nokta, öncelikle kullanıcı adı listesi kullanmak isterseniz harfleri "L" gibi büyük kullanmanız lazım. Ama eğer küçük harf "l" kullanırsanız verdiğiniz tek bir kullanıcı adını cracklemeye çalışacaktır. Bu yazıda biz sadece "admin" parolası cracklemeye çalışacağımız için küçük harfte "l" kullanacağız.
Giriş form adresinden (/dvwa/login.php) sonraki kısım kullanıcı adını alan kısmın adıdır. Bizim durumumuzda bu "username" ama bazı formlarda karşınıza "login" gibi farklı şeyler çıkabilir.
Bu web form girişini crack'leyecek komutu oluşturalım.
Adım 6: Wordlist Seçelim
Şimdi de bir kelime listesi seçmemiz lazım. Saldırının anahtarıdır bu wordlist. Crunch veya CeWl ile yapılmış bir liste kullanabilirsiniz ama Kali içinde çok sayıda wordlist bulunduruyor. Hepsini görmek için şu kodu yazmanız yeterlidir:
Kod:
[COLOR="white"]kali > locate wordlist[/COLOR]Ek olarak, 100 GB'a kadar çıkan wordlist siteleri de var. Ama akıllıca düşünün arkadaşlar. Ben 1000 kelime bile tutmayan kendi listemi kullanacağım. Wordlist yolu:
Kod:
[COLOR="white"]/usr/share/dirb/wordlists/short.txt[/COLOR]Adım 7: Komutu Oluşturalım
kali > hydra -l admin -P /usr/share/dirb/wordlists/small.txt 192.168.1.101 http-post-form "/dvwa/login.php:username=^USER^&password=^PASS^&Login=Lo gin:Login failed" -V
Kısım kısım inceleme:
- "-l" tek bir kullanıcı adını gösterir ("-L" ise kullanıcı adı listesi)
- "-P" sağında belirtilen parola listesini kullanmasını söyler
- "http-post-form" formun türünü söyler
- "/dvwa/login-php" kısmı giriş sayfası
- "username" kullanıcı adının verildiği kısım
- "^USER^" Hydra'ya alanda verilen kullanıcı adını veya listesini kullanmasını söyler
- "password" parolaların verildiği kısım
- "^PASS^" Hydra'ya alanda verilen parola listesini kullanmasını söyler
- "Login" kısmı Hydra'ya giriş başarısız mesajını söyler
- "Login failed" kısmı formdan dönen başarısız mesajı
- "-V" kısmı da her denemeyi ayrıntılı şekilde çıktı verir
Adım 8: Ateşleyelim
Şimdi ise çalıştırma vakti. -V kısmını da eklediğimizden THC-Hydra bize her denemesini tek tek verecek.
Birkaç dakika sonra Hydra, bize uygulamanın parolasını başarılı bir şekilde döndürecek.
Kaynak: https://www.hackers-arise.com/post/2018/06/21/online-password-cracking-with-thc-hydra-and-burpsuite
Dipnot: Konu içerisinde 2 kod kısmı
Kod:
tag'i içinde gözükmediğinden düz yazdım farklı fontta beyaz renkte farkedilir ama yine de uyarayım alırken ona göre bilirsiniz.[/RIGHT][/SIZE][/COLOR]
Moderatör tarafında düzenlendi:
