Hydra爆破HTTPS网站密码报参数需以/开头错误如何解决

报错原因 #

• http-post-form/https-post-form模块的语法不符合要求，该模块参数必须遵循请求路径:POST请求体:匹配规则的格式，你直接填写了POST请求参数，缺失了以/开头的接口请求路径，因此触发了optional parameter must start with a '/' slash!报错
• 命令中使用了中文全角双引号“”，Hydra无法正常识别解析，需要替换为英文半角双引号""
• 未配置登录结果匹配规则，Hydra无法判断爆破是否成功，会导致结果全部误判
• 若目标为HTTPS站点，你使用的http-post-form模块适配HTTP协议，需要替换为https-post-form模块才能正常发起HTTPS请求

修复后命令示例 #

首先确认目标登录接口的实际URI路径，以及登录失败/成功的返回特征，示例中假设登录接口路径为/login，登录失败返回内容包含用户名或密码错误字段，命令如下：

# HTTP站点使用
hydra -l email -P /path/rockyou.txt 目标站点IP http-post-form "/login:_token=6UZ59LAb1LAKF4Z4sdKXGXBMiquzBWYK5tqG6Wwr&email=^USER^&password=^PASS^:F=用户名或密码错误"

# HTTPS站点使用
hydra -l email -P /path/rockyou.txt 目标站点IP https-post-form "/login:_token=6UZ59LAb1LAKF4Z4sdKXGXBMiquzBWYK5tqG6Wwr&email=^USER^&password=^PASS^:F=用户名或密码错误"

参数说明：

• 开头的/login是登录接口的URI路径，必须以/开头，需要根据实际目标接口替换
• F=xxx代表失败匹配规则，即返回包中出现xxx内容则判定为登录失败，也可使用S=xxx设置成功匹配规则，即返回包中出现xxx内容则判定为登录成功
• 若目标站点端口不是默认的80（HTTP）/443（HTTPS），在IP后加空格填写实际端口号即可

安全工具学习建议 #

• Hydra的使用可以直接在本地终端执行man hydra查看官方文档，包含所有模块的参数说明和使用示例
• 渗透测试相关工具的基础学习，可以参考Kali Linux官方的工具说明文档，覆盖绝大多数常用安全工具的场景用法
• 所有测试仅可在你持有合法授权的站点或者本地搭建的靶场（如DVWA等）中进行，禁止对未授权站点发起测试，避免违反网络安全相关法律法规

内容的提问来源于stack exchange，提问作者Razvan Manole