Trong bài này mình sẽ hướng dẫn các bạn cách brute-force HTTP form đơn giản bằng Firefox (ok).
Đầu tiên, download add-on Fireforce cho Firefox tại đây:
https://addons.mozilla.org/vi/firefox/addon/fireforce/
Fireforce hỗ trợ 2 phương pháp:
- Generate passwords (tự động tạo passwords để brute).
- Use dictionaries (sử dụng danh sách passwords được cung cấp sẵn).
Fireforce hỗ trợ tấn công brute-force các HTTP form đơn giản (method POST hoặc GET), không hỗ trợ captcha, security code,... nói trước để bác nào ném gạch thì mình cho ăn (dao) nhé.
Sau đây là cách sử dụng Fireforce để brute-force Wordpress bằng dictionary
1. Xác định trang login của Wordpress, mặc định là [path]/wp-login.php
2. Xác định Username
- Mình cần phải biết chính xác username của admin mới có thể tiếp tục.
- Username thường là admin, administrator. Để kiểm tra, các bạn đăng nhập với tên là admin, còn passwords thì tuỳ ý. Sẽ có 2 trường hợp thông báo lỗi xảy ra:
+ ERROR: Invalid username. Lost your password? ---> Sai Username, thử lại bằng username khác.
+ ERROR: Incorrect password. Lost your password? ---> Username đúng nhưng sai password ==> Đã có được username.
- Nếu may mắn, bạn đã có được Username.
3. Xác định failed text chứng tỏ rằng bạn đăng nhập thất bại, có nghĩa là mỗi lần Fireforce thử 1 pass, kết quả trả về có tồn tại text đó, còn mà nếu đăng nhập thành công sẽ không xuất hiện. Ví dụ ở wordpress là "Incorrect password", hoặc "ERROR", "Remember Me", "Lost your password"... (phân biệt chữ HOA và chữ thường).
4. Bắt đầu brute-force
- Nhập Username là admin (đã tìm được ở trên).
- Right-click vào field Password, chọn Fireforce -> Load dictionary.
- Lựa chọn đường dẫn tới file chứa danh sách passwords.
- Pop-up "Fireforce Preferences" hiện lên, trong phần "Enter the text that identified the failed authentication", các bạn nhập đoạn text xác định đăng nhập thất bại đã lấy ở trên, ví dụ là "Incorrect password". Trong phần "Enter the number of requests per second", các bạn nhập số lần request mỗi giây, ví dụ 20.
5. Lót laptop ngồi hóng... (sorry)
File pass.txt chứa danh sách pass thường dùng:
admin test 1234 12345 123456 1234567 12345678 123456789 1234567890 01 012 0123 01234 012345 0123456 01234567 012345678 0123456789 01234567890 p@ssword P@ssword P@ssw0rd P@ssword123 P@ssw0rd123 123pass pass123 123admin admin123 admin12345 admin123456 admin1234567 000000 111111 222222 333333 444444 555555 666666 777777 888888 999999 123123 456456 789789 123321 456654 654321 7654321 87654321 987654321 0987654321 159753 159357 456852 456258 abcdef abcabc qwerty qwe123 123qwe !@#!@# !@#$%^ !@#$%^&*( !@#$$#@!
Update passwords:
chem0407pCác bạn đóng góp thêm các passwords thường gặp, hay passwords Yahoo, facebook các bạn đang xài cũng được (ngaytho), reply vào bên dưới nhé, mình sẽ update thêm vào đây để anh em cùng sử dụng (hun).
http://xgrvn.net/XgR/showthread.php?11193-Tutl-Brute-force-attack-with-Firefox&p=94321#post94321
Brute-force là một phương pháp đơn giản, mặc dù tỉ lệ thành công không cao, nhưng nếu bạn biết cách sử dụng hợp lý thì sẽ rất có ích (ví dụ bruteforce 1 server hàng trăm sites để tìm 1 site up shell thì tỉ lệ thành công rất cao nhé) :chemgio:
Với những form đơn giản như joomla, wordpress,... , mình vẫn dùng add-on Fireforce vì tính đơn giản, tiện dụng
còn nhiều tools khác hay hơn nhưng mình không thích vì nặng vãi linh hồn, trừ những trường hợp thật cần thiết thôi (ngap) Với lại, nếu admin đặt pass đơn giản thì thường sẽ nằm trong list ở trên, còn nếu admin đã biết đặt pass phức tạp rồi thì không biết list pass bao nhiu GB mới đủ (he) nên brute khó mà ra pass...Trong bài sau, mình sẽ giới thiệu các bạn 1 tool Brute-force mạnh nhất bây giờ, hỗ trợ nhiều giao thức và dịch vụ khác nhau, là THC-Hydra. Các bạn có thể tham khảo tại đây: http://www.thc.org/thc-hydra/
Leech tutorial by KelvinX - XgR.