Hydraが間違ったパスワードを与える
私はヒドラ（教育的方法）を使用しようとしましたが、成功しませんでした。サイトの方法はhttp-postですが、ajaxによって実行されます（問題になるのでしょうか？私はそうは思いません）。コマンドを実行した後、有効であるとされるパスワードとユーザー名の出力を取得しました。 hydraが間違ったパスワードとユーザー名を与える理由について何人かの人々が尋ねたのを見ました、そして答えはコマンドがPHPSESSIDを含むべきであるということでした。そのため、私はPHPSESSIDを使用しようとしていますが、何も変更されていません。
コマンド：
hydra -L id.txt -P id.txt -s 80 -f 62.239.61.241 http-post-form "/Login/ajax/user-login.php:data=username=^USER^&password=^Pass^&remember=off&returnpath=:Fail :H=Cookie: security=low;PHPSESSID=9adriqaprd8f1qgot3ia1k3"
間違ったパスワードに対する提案はありますか？
Hydraが試行が成功したかどうかを判断する方法は、成功したページと失敗したページで見つかった文字列を比較することです。
あなたのシナリオでは、試行が失敗した場合はアプリケーションが失敗を返し、失敗した場合は何かを返すと想定しています。どちらの場合もページが空白の場合、すべての試行が成功したと見なされます。
戻りページ（またはページソース）で一意の文字列を見つけ、それを：の後に置く必要があります。
詳細はこちら
http://insidetrust.blogspot.com/2011/08/using-hydra-to-dictionary-attack-web.html