THC-Hydra es un potente software crackeador de contraseñas por fuerza bruta generado por el grupo The Hackers Choice. Es muy utilizado en la actualidad puesto que soporta múltiples servicios (HTTP, SNMP, IMAP, POP3, Telnet, Cisco, MySQL, Oracle, entre otros) y es multiplataforma.
Hoy en día, la seguridad de la información, es un tema de suma importancia que obliga la utilización de diferentes mecanismos de protección para hacer de los sistemas cada vez menos vulnerables. Es así como aparecen técnicas que evitan el Login Storm bloqueando temporalmente la cuenta de un determinado usuario tras varios intentos fallidos de logueo dificultando, de este modo, los ataques por fuerza bruta.
Instalación
apt-get install hydra
y si queremos con interfaz gráfica
hydra-gtk
-
Utilización de THC Hydra
Para efectos prácticos a continuación se describe como descifrar usuarios de WordPress y como prevenir ataques por fuerza bruta, Se instaló primero Hydra en GNU Linux con la orden “apt-get install hydra”, luego mediante ingeniería social se generó un diccionario con los nombres de los usuarios. Como Wordprees se caracteriza por ser un blog en donde el nombre del autor de algún post esta relacionado con el nombre de un usuario, obtenemos a los usuarios del blog.
Para crear el diccionario (tanto de usuarios y contraseñas) se puede utilizar algún editor de texto como nano, vi o gedit en donde en cada una de las líneas en el archivo de texto corresponde a una lista de usuarios o a una lista de contraseñas.
Por Ejemplo (Diccionario de contraseñas):
Una vez identificados los usuarios y generado nuestro diccionario de contraseñas, vamos a la web de login de wordpress la cual por defecto es “http://sitioweb/wp-login.php” , analizamos el codigo fuente de la página web identificando los campos de usuario y contraseña.
Análisis de los campos de Login:
1) Obtenemos el sitio que recibe los parámetros del usuario (nombre y contraseña)
2) Obtenemos el nombre de la variable POST, para el nombre del usuario
3) Obtenemos el nombre de la variables POST, para la contraseña del usuario
Ahora ya conociendo los usuarios (Jhon, test, Admin), con nuestro diccionario de contraseñas, el nombre del host, y las variables del mecanismo POST utilizamos Hydra con :
hydra -l Test -P dicc_passwords.txt www.balblabla.cl http-post-form "/blog/wp-login.php:log=^USER^&pwd=^PASS^:Incorrect"
donde :
-
dicc_passwords.txt : nombre del archivo de texto con las posibles claves (Diccionario)
-
http-post-form: realiza el ataque por medio de consultas POST
Con el comando anterior Hydra realiza al formulario tantas consultas como llaves erróneas salgan, hasta encontrar la clave correcta, tal como se muestra en la captura de Wireshark
Captura: (El filtro a la dir ip corresponde al sitio web www.blablabla.cl)
Dando como resultado, el usuario y la contraseña:
-
Implementación de Plugin para evitar Login Storm
Para evitar el Login Storm, instalamos y configuramos el módulo mod_security de Apache. Mod_evasive es un módulo de seguridad programado para cargarse junto el servidor Apache y cuyo propósito no es otro que el de prevenir o anular ataques de Denegación de Servicio o de fuerza bruta basados en peticiones masivas al servidor de páginas web (HTTP DoS).
Como medida adicional wordpress posee un plugin llamado Wordfence, el cual perminte asignar reglas que permiten controlar la cantidad de consultar en un lapso de tiempo determinado, evitando ataques como los de fuerza bruta, en el menu izquierdo del panel de administración encontramos .
Para realizar las pruebas se configuro mod_evasive ubicado en “/etc/apache2/mods-enabled”, con las siguientes condiciones.
Para realizar las pruebas configuró dentro de la opción Firewall que trae el Plugin Wordreference, con las siguientes condiciones.
(Nota, el diccionarios de contraseñas , se le aumentaron la cantidad de contraseñas erróneas con el fin que consultará varias veces por segundo y se activará el Firewall)
Luego de implementar estas dos medida se seguridad contra ataques de Fuerza Bruta, con Hydra se volvió a ejecutar la orden anterior , solo que esta vez, Hydra encontró 11 contraseñas válidas, esto se debe a que el programa no es capaz de reconocer la condición de error, debido a que las consultas están siendo bloqueadas, lo que por ende Hydra interpreta esta condición como una autenticación exitosa.



















