大家好！今天我们讲暴力破解，有人可能会有疑惑，密码到底设置得多复杂才算是安全，其实这就像是问，是先有的鸡还是先有的蛋，都是没有确切的答案的，理论上说无论你密码设置的多么复杂，都有可能被破解，这主要看的就是密码字典的大小，我曾经见到过一个28G的密码字典，如果再配合上暴力破解工具，我想密码破解只是时间的问题吧。

因此今天我们不讲如何设置密码，我们就讲讲这些暴力破解工具的使用，以便我们理解暴力破解的原理，进而制定更加安全合理的防暴力破解的策略，下面我们言归正传。

Hydra

hydra（海德拉），是世界顶级的密码破解工具，支持几乎所有协议的在线密码破解，功能十分强大，我前边也说过了，暴力破解的成功与否，主要取决于字典的大小，拥有一个全面而强大的字典，对于暴力破解的成功有非常大的影响。

首先hydra是集成在kali里边的，我们打开虚拟机，运行kali，打开终端，在终端中输入“hydra -h”回车，就可以查看hydra的帮助信息，如下图所示：

下面我们介绍几个常用的参数：

“-l”表示login，后边跟指定的用户名，“-L”也是login，不过后边跟的是文件，也就是用户名的字典；

“-p”表示password，后边跟指定的密码，“-P”也是password，后边跟文件，同上边一样，也就是密码字典；

“-M”后边跟目标文件，也就是保存了所有拟破解地址的文件；

“-o”表示将我们破解成功的用户名和密码等信息保存到指定文件里边。

我们再看看hydra给我们举的几个例子，如下图所示：

hydra -l user -P password.txt ftp://192.168.0.1

表示破解指定用户user的密码，使用的服务为ftp，地址为：ftp://192.168.0.1。

hydra -L userlist.txt -p defaultpw imap://192.168.0.1/PLAIN

表示破解使用密码defaultpw的用户，使用的邮箱服务，登录地址为：imap://192.168.0.1/PLAIN。

hydra -l admin -p password ftp://[192.168.0.0/24]/

表示在192.168.0.0/24这个地址段内，破解使用用户名为admin，密码为password的ftp登录地址。

hydra -L logins.txt -P password.txt -M targets.txt ssh

表示破解目标字典targets.txt文件里边的登录密码，其中用户字典为logins.txt文件，密码字典为password.txt文件，使用的服务为ssh。

medusa

Medusa（美杜莎），是一款速度快，支持大规模并行，模块化的爆破登录工具，可以同时对多个主机的用户名密码进行暴力破解，相比于hydra稳定性比较好，但是支持的模块少一些。

我们也可以在kali终端输入“medusa -h”来查看帮助信息，如下图所示：

“-h”后边跟主机地址或者IP地址，“-H”跟主机或IP地址字典文件；

“-u”后跟指定用户名，“-U”跟用户名字典文件；

“-p”后跟指定密码，“-P”跟密码字典文件。

“-M”跟模块名称，例如：ssh等；

“-t”表示线程数。

举个例子：

medusa -H targets.txt -U userlist.txt -P password.txt -M ssh

表示使用用户字典userlist.txt和密码字典password.txt破解主机字典里的主机ssh登录的用户名和密码。

patator

也是一种集成在kali里的破解工具，不多说了，我们也可以输入“patator -h”查看它的帮助信息，如下图所示：

与上面两款工具不同的是，它直接给出各个模块的用法，例如：ftp、ssh、http、pop、imap、mssql和oracle等。

如果我们想看具体某个模块的使用方法，我们可以输入“patator ssh_login --help”来查看帮助信息，如下图所示：

他给了我们一个非常直观的例子：

patator ssh_login host=10.0.0.1 user=root password=FILE0 0=password.txt

host后跟主机名，user后跟用户名，password后跟密码，当然也都可以跟字典文件，就比如“password=FILE0 0=password.txt”一样，如果用户名也是一个字典文件那么就可以写成“user=FILE1 1=userlist.txt”。

暴力破解的防御

1.对于多余用户要及时删除。

2.注意密码的复杂性。大小写字母+数字+特殊字符+8位以上+定期更换。

3.修改默认用户和密码。

4.使用验证登录。包括图片验证码、短信验证码等。

5.使用错误登录次数限制设置。比如错误登录3次，限值登录10分钟等。

6.其他限制。比如限制指定MAC地址或者IP地址的主机登录。

以上就是Web渗透测试——密码暴力破解工具的使用的全部内容，感谢大家的阅读，大家学习到知识不要做违法的事情，我们的目的是提高大家的渗透测试技术，帮助大家更好地做好网络安全防护，法律的底线一定不要碰，欢迎大家关注@科技兴了解更多科技尤其是网路安全方面的资讯和知识。