我只是在学习如何使用Hydra进行暴力攻击，并试图在我为一个旧网站构建的登录页面上进行测试。有时我可以让Hydra运行并尝试攻击，但即使我在password.txt文件中输入了正确的密码，它也永远不会起作用。任何关于为什么我的代码不会正确启动的建议都是很好的。我以为我做对了，但我想不是。
以下是我认为可能存在问题的事情，但我似乎不知道它们是否存在。
- 登录表单发布到自身以验证凭据
- 如果密码是错误的，它会显示错误的用户名或密码！（如果我在命令中使用整个字符串，我会遇到问题）
- 也许我没有找到合适的攻击地点
还需要注意的是，该网站现在在我的网站的子目录中。此外，登录只使用MD5，我在password.txt文件中包含了密码字符串和密码的MD5版本
这是我的命令：
hydra 69.57.9.2 http表单post"/john_smith_blog/admin_login/index.php:username=^USER^&password=^PASS^:Oops"-l JohnSmith-p password.txt-t 10-w 30-o hydra-http-post-attack.txt
这是wireshark 的Post数据
POST /john_smith/admin_login/index.php HTTP/1.1
Host: DomainNameDotCom
Connection: keep-alive
Content-Length: 359
Cache-Control: max-age=0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Origin: DomainNameDotCom
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_10_3) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/46.0.2490.86 Safari/537.36
Content-Type: multipart/form-data; boundary=----WebKitFormBoundary3vaAYMlCejOUFLH5
Referer: DomainNameDotCom/john_smith/admin_login/index.php
Accept-Encoding: gzip, deflate
Accept-Language: en-US,en;q=0.8,nb;q=0.6
Cookie: __utmz=237398355.1442340459.1.1.utmcsr=(direct)|utmccn=(direct)|utmcmd=(none); __utma=237398355.593524857.1442328243.1442340459.1445019147.2; __unam=7639673-14fd22d2da8-49c4842-202; PHPSESSID=npth83ho7cg7di5bps0qtlm1i7; _ga=GA1.2.593524857.1442328243
------WebKitFormBoundary3vaAYMlCejOUFLH5
Content-Disposition: form-data; name="username"
JohnSmith
------WebKitFormBoundary3vaAYMlCejOUFLH5
Content-Disposition: form-data; name="password"
JohnSmith94
------WebKitFormBoundary3vaAYMlCejOUFLH5
Content-Disposition: form-data; name="Submit"
Login
------WebKitFormBoundary3vaAYMlCejOUFLH5--
HTTP/1.1 200 OK
Date: Sun, 22 Nov 2015 23:07:43 GMT
Server: Apache
X-Powered-By: PHP/5.3.6
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0
Pragma: no-cache
Connection: close
Transfer-Encoding: chunked
Content-Type: text/html
49a
Oops, Wrong Username Or Password!
任何关于为什么我的代码不会正确启动的建议都是很好的。
你是在使用THC还是自己制作了Hydra版本？
THC
试着更新你的hydra，如果没有，试着下载最新的并仔细检查你的选项。
自己的Hydra版本
您使用的PL是什么？尝试将password.txt文件设置为数组形式，并让代码尝试逐个数组使用序列。在我看来，首先做一个从"a"到"zzzzzzzzz"的完整bruteforce.txt。
最好是让自己用别人的东西发挥作用。只是说：）
确保表单参数与hydra攻击中的相同（例如用户名和密码）。
还要记住，您的查询是为处理POST请求表单而设计的。您可能需要在那里放置更多参数（例如Login=Login或类似的参数）。
为了检查是否最好安装一个简单的浏览器插件（例如篡改数据或标头），当在监听模式下进行时，该插件将能够向您提供完整的发布数据请求。从那里你可以修改你的九头蛇参数。
祝你好运。