No universo da segurança da informação, testar a robustez de sistemas de autenticação é uma etapa crítica. Uma das ferramentas mais conhecidas para essa finalidade é o Hydra, também chamado de THC-Hydra. Presente no Kali Linux por padrão, o Hydra é usado para realizar ataques de força bruta ou baseados em dicionário contra uma variedade de serviços, como SSH, FTP, HTTP, SMB, Telnet, entre outros.
Mas o que é força bruta? Trata-se de uma técnica onde o sistema tenta inúmeras combinações de senhas e nomes de usuários até encontrar a correta. Quando isso é feito com uma lista pré-definida de palavras — o chamado "dicionário" — o ataque pode ser ainda mais rápido e eficaz.
O Hydra é extremamente flexível. Sua sintaxe básica segue o modelo:
hydra -L lista_de_usuarios.txt -P lista_de_senhas.txt alvo protocolo
Você também pode usar um usuário ou senha únicos com -l e -p respectivamente. Há suporte para definir a porta do serviço com -s, aumentar a verbosidade com -vV, e controlar o número de threads (execuções simultâneas) com -t.
Por exemplo, se quisermos testar a senha do usuário root via SSH para o IP 192.168.0.10, usando o famoso dicionário rockyou.txt, o comando seria:
hydra -l root -P /usr/share/wordlists/rockyou.txt 192.168.0.10 ssh
Se quisermos tentar várias combinações de usuários e senhas para um servidor FTP, com os arquivos users.txt e senhas.txt, podemos usar:
hydra -L users.txt -P senhas.txt ftp://192.168.0.20
Outra aplicação comum é em logins web. Por exemplo, para testar um formulário HTTP, é possível usar uma URL específica e informar os parâmetros POST:
hydra -L users.txt -P senhas.txt 192.168.0.30 http-post-form "/login.php:username=^USER^&password=^PASS^:Login inválido"
A parte entre aspas representa o caminho da página, os parâmetros do formulário (username e password) e o texto que identifica um login mal-sucedido.
Antes de qualquer uso, é fundamental lembrar: Hydra não é uma ferramenta de invasão, mas de auditoria. Seu uso deve ser restrito a ambientes próprios, laboratórios de teste ou com autorização explícita. Atividades não autorizadas configuram crime digital.
