Hydra – Herramienta De Kali Linux

Hydra es una herramienta preinstalada en la distribución de Linux Kali usada para ataques de
fuerza bruta hacia nombres de usuario y contraseñas. Un ataque de fuerza bruta es una técnica
donde se prueban distintos usuarios y contraseñas en un objetivo para identificar las credenciales
correctas.

Protocolos soportados por Hydra

Cisco AAA SIP SSH ( v1 y SSHKey Teamspeak( T
v2) S2)
Cisco Auth LDAP SMB(NT) ICQ Telnet
Cisco enable Rsh Subversion HTTP(S)-Head SMTP
CVS RLogin NNTP HTTP(S)-GET VMware-Auth
FTP IMAP SOCKS5 HTTP(S)- POP3
FORM-GET
MS-SQL IRC Oracle HTTP(S)- PostgreSQL
Listener FORM-POST
MySQL PC-NFS Rexec HTTP-Proxy VNC
Oracle SID PC-Anywhere RDP SNMP SMTP Enum
v1+v2+v3

Funcionamiento De Hydra
Hydra es una de las herramientas más conocidas para el ataque por fuerza bruta. Hay que tener en
cuenta que este tipo de ataques son activos y no pasivos, por lo que hay una interacción con el
servicio que vamos a comprometer mediante un intento de autenticación de credenciales.

Esto creará un evento en el log de la máquina remota servidora del servicio, en el caso de tener
algún tipo de control de eventos en el endpoint se podrían detectar intentos de conexión con
credenciales erróneas y disparar alertas.

Principalmente se pueden definir 3 tipos de ataques:

 1. Fuerza bruta por diccionario con múltiples usuarios y contraseñas
2. Fuerza bruta en profundidad
3. Fuerza bruta en anchura o Password spraying

Fuerza Bruta Por Diccionario Con Múltiples Usuarios Y Passwords

Este tipo de ataques se caracterizan por usar un wordlist tanto para un conjunto de usuarios y de
contraseñas en plano previamente definidos. En el siguiente ejemplo hay nombres de usuarios y
contraseñas definidos en los ficheros "users" y "wordlist" respectivamente a un intento de
conexión a la máquina remota 10.0.0.16 que será un Windows 7 con un servicio FTP.

Figura 1: Hydra – Comando para ataque por diccionario a un servicio de FTP.

Donde:

 L: Fichero que contiene la lista de usuarios.

 P: Fichero que contiene la lista de passwords.
 v: Modo verbose
 V: Muestra el intento por cada login+pass
 10.0.0.16 ftp: Especificamos la IP de la máquina remota y el tipo de servicio.

El usuario "ventas" y la contraseña "Pa$$w0rd123" serán las credenciales válidas para acceder al
servicio FTP. Hydra probará intentos de conexión al servicio haciendo un barrido entre las distintas
combinaciones entre los distintos usuarios y contraseñas definidas.
 Figura 2: Hydra – Fuerza bruta por diccionario con múltiples usuarios y contraseñas al servicio FTP.

Como se mencionó anteriormente, estos ataques son reconocimiento activos por lo que dejan un
rastro en el log del servidor remoto. En la siguiente captura se puede ver el intento de conexión
fallida al intentar autenticarse con el usuario "luis" y su password en el servidor FTP remoto.

Figura 3: Log en el servidor FTP del intento de autenticación.

Fuerza Bruta En Profundidad

Fuerza bruta en profundidad o fuerza bruta, a secas: Se trata utilizar muchas contraseñas para una
sola cuenta de usuario.

Como ejemplo se realiza un ataque de fuerza bruta al servicio RDP a una cuenta concreta llamada
"maria" y probar un wordlist con varias contraseñas posibles.
 Figura 4:Ataque por fuerza bruta a un servicio de RDP.

Donde:

 l: Nombre de usuario único.

 P: Fichero de lista de contraseñas.

Un detalle para tener en cuenta cuando se realiza los intentos de conexión es que si el usuario y la
contraseña son correctos cerrará la sesión del usuario actual que esté conectado a la máquina si lo
hubiese.

Figura 5:Hydra – Fuerza bruta en profundidad.

Un detalle para tener en cuenta cuando realice los intentos de conexión es que si el usuario y
contraseña son correctos cerrará la sesión del usuario actual que esté conectado a la máquina si lo
hubiese.
 Figura 6:Log en el equipo remoto por un intento de autenticación al servicio RDP.

Fuerza Bruta En Anchura O Password Spraying

Fuerza bruta en anchura o Password spraying: Se trata de usar la misma contraseña para muchas
cuentas de usuario.

Aprovechando el mismo escenario que en el ejemplo anterior, se muestra un ataque de password

spraying en el servicio de recursos compartidos de Windows SMB.

Figura 7: Ataque por Password Spraying.

Donde:

 L: Fichero de lista de usuarios.

 p: Contraseña única.
Haciendo referencia a un fichero llamado "users" que contiene una lista de usuarios se le
especifica una misma contraseña única.

Figura 8:Fuerza bruta en anchura o password spraying al servicio SMB.

Como cualquier servicio de Windows de un protocolo conocido, al igual que los casos anteriores,
se creará un evento relacionado obteniendo el nombre de usuario y equipo desde donde se
intentó realizar la conexión de autenticación.
 Figura 9:Log en el equipo remoto por un intento de autenticación al servicio SMB.

Mitigación De Ataques De Fuerza Bruta

Para evitar ataques de fuerza bruta para encontrar las credenciales de un servicio se pueden
aplicar las siguientes técnicas

1. Bloqueo de cuentas después de n intentos

2. Implementación de capchas
3. Establecer políticas de contraseñas
4. Establecer un doble factor de autenticación
5. Token de autenticación