Hydra 与 OWASP 果汁店

Question

我是网络安全领域的新手，我正在尝试破解 OWASP 的 docker 容器 juice-shop 作为培训： OWASP果汁店.

我试图用 hydra 暴力破解登录页面，但 hydra 只返回 16 个假阳性，我真的不明白为什么：

hydra 127.0.0.1 -s 3000  -l [email protected] -P rockyou.txt http-post-form "/#/login:email=^USER^&password=^PASS^&loginButton=submit:F=Invalid email or password."

我想这可能来自登录页面，它是一个有角度的页面。 SPA 一定与 hydra 有一些交互问题，但我真的不知道。 有人可以帮助我了解这里发生了什么吗？

我尝试更改 hydra 命令行更改参数 3 小时：

hydra 127.0.0.1 -s 3000  -l [email protected] -P rockyou.txt http-post-form "login:email=^USER^&password=^PASS^:F=Login"

我查看了 OWASP 的解决方案。他们没有使用九头蛇： OWASP 解决方案

我期待找到密码，但我无法那样找到它。我用 sql 注入找到了它，但我会用 Hydra 找到它并理解为什么它不起作用。

Answer 1

我得到了一些答案。我们必须以后端为目标，所以“/rest/user/login”，但 hydra 看起来不是用 json 有效载荷进行暴力破解的合适工具，你可以重新编码 hydra 脚本，但我发现了 wfuzz。这是用 json 负载测试 webApp 更合适的工具，我用那个命令找到了密码：

wfuzz -c  -w /usr/share/wordlists/rockyou.txt -d "[email protected]&password=FUZZ" 
-Z --sc 200 http://localhost:3000/rest/user/login

剧透：你至少要测试一下rockyou词典的第100000个密码