hydraを使用したペネトレーションテスト

Question

ペネトレーションテストをしようと思い、
ワードプレスのログインを試しています。

以下のようなコマンドなのですが、
正常に動作していないようです。

hydra -l admin -p 12345678 sample.com http-post-form "/xxx/wp-login.php:log=^USER^&pwd=^PASS^:Invalid"

ID:admin
PASS:12345678

がログイン情報です。
(URL等は仮のものです)

ワードプレストップページのURLは、
http://sample.com/xxx/wp-login.php
になります。

Basic認証は正常に検出できたので、
動いてはいると思うのですが。

サーバーのアクセスログにも残っていないのですが、
hydraの仕様的にアクセスログに残らないようになっているんでしょうか。
それともアクセスログがない時点で、
この時点でパス等がまちがっているのでしょうか。

何かわかる方がいましたら、
教えていただけますと幸いです。

繰り返しになりますが、
あくまで自分で管理しているサーバーのセキュリティのためで、
他人のサーバーなどをクラッキングする目的ではございません。

何卒よろしくお願いいたします。

Answer 1

皆様にご協力いただいたのですが、
結局うまく動作しなかったのでwpscanを使いました。

wpscan -u http://sample.com/xxx/wp-login.php -U admin -w /root/Desktop/pass.txt

こちらで正常に動作を確認しました。
ご協力いただき感謝しております。

また何かあれば、
よろしくお願いいたします。

Answer 2

アクセスログに残さないようにすることは、通常できないでしょう。（できたら攻撃されている方は気づけ無い）
まずは-vをつけて詳細情報を表示してみてはどうでしょう。

また、Basic認証とおっしゃっているのは通常の（wp-login.phpでの）ログインのことでよろしいですか？

Comments

[1nakaji]

なるほど、やはりアクセスログには残るんですね。

そうするとアクセスログにない時点で、
きちんとアクセスができていない状態かもしれませんね・・・。

-vについては試してみましたが、
そこまで詳細情報が得られなかった認識です。

もう一度試して、確認してみます。

Basic認証については、
ワードプレスとはまったく別のサイトですね。

以下にあるようなものです。
https://htaccess.cman.jp/sample/basic.html

また何か分かることがあれば、
教えていただけますと幸いです。

[1nakaji]

追記です。
-vをつけて実行した結果が以下になります。

Hydra (http://www.thc.org/thc-hydra) starting at 2015-06-16 15:39:07
[DATA] max 1 task per 1 server, overall 64 tasks, 1 login try (l:1/p:1), ~0 tries per task
[DATA] attacking service http-post-form on port 80
[VERBOSE] Resolving addresses ... done
[STATUS] attack finished for sample.com (waiting for children to complete tests)
1 of 1 target completed, 0 valid passwords found
Hydra (http://www.thc.org/thc-hydra) finished at 2015-06-16 15:39:08
※実際のドメインはsample.comに置き換えています。

[sho_cs]

以下のコマンドでテストされている方がいました。
hydra -l admin -P pass.txt -s 80 192.168.1.3 http-post-form “/blogdata/ wp-login.php:log=^USER^&pwd=^PASS^&wp-submit=1:ERROR”
1nakajiさんとはwp-submitと失敗判定文字が違いますね。

ブラウザの開発者ツール等で実際にログインした時のPOSTデータが参考になるかもしれません。

[1nakaji]

>sho_csさん

情報ありがとうございます。
試しましたが、やはり、うまくいかないですね。

実はPOSTデータなども確認していて、
ヘッダにそういった情報をつけてやってみたのですが、
うまくいかないようです。

試していて気になったのですが、

hydra -l admin -p 12345678 sample.com http-post-form "/xxx/wp-login.php:log=^USER^&pwd=^PASS^:hogehoge"

のようにエラー文字列にエラーで表示されない文字列を入れると、
成功と判定されると思っていました。
(エラー文字列がなければ、ログイン成功とみなす)

ありえない文字列をエラー判定文字にしても成功にならないので、
この時点でおかしいのかなと思っています。

その辺り何かワードプレス側が対策しているのかなと。
何か他にも情報があれば教えていただけると幸いです。

引き続きよろしくお願いいたします。