Teste força bruta com hydra

Olá!

Ótima pergunta! Quando os parâmetros de login não aparecem na URL, isso geralmente significa que eles estão sendo enviados via método POST, e não GET. Nesse caso, você precisará capturar a requisição para entender como os dados estão sendo enviados. Aqui está um passo a passo para te ajudar:

1. Capturar a Requisição:

   • Utilize uma ferramenta como o Burp Suite ou o Developer Tools do navegador para interceptar a requisição de login.
   • No Developer Tools (F12 no navegador), vá até a aba "Network" e faça o login na página. Você verá a requisição sendo feita. Clique nela para ver os detalhes.

2. Identificar os Parâmetros:

   • Na aba "Headers" ou "Payload" da requisição capturada, você verá os parâmetros que estão sendo enviados (por exemplo, username e password).

3. Configurar o Hydra:

   • Com as informações da requisição, você pode configurar o Hydra para fazer a força bruta. A sintaxe do comando será semelhante ao exemplo que você mencionou, mas adaptada para os parâmetros que você identificou.

Por exemplo, se a requisição capturada mostrar que os dados são enviados como user e pass, o comando Hydra ficaria assim:

hydra -V -L users.txt -P passwords.txt "localhost" http-form-post "/bruteforce1/index.php:user=^USER^&pass=^PASS^:Senha Incorreta"

Aqui, ^USER^ e ^PASS^ são placeholders que o Hydra substituirá pelos valores das listas de usuários e senhas.

Bons estudos!