Curso Básico de Hydra en Kali Linux
Introducción
Hydra (también conocida como THC-Hydra) es una poderosa herramienta de fuerza bruta
utilizada para probar múltiples combinaciones de usuario y contraseña en servicios de red
como SSH, FTP, HTTP, SMB, RDP, etc.
Este curso tiene un enfoque educativo y está destinado a profesionales de ciberseguridad
con fines de auditoría ética.
¿Para qué sirve Hydra?
Hydra se utiliza para descubrir credenciales débiles en sistemas remotos mediante técnicas
de fuerza bruta.
Permite auditar servicios como: SSH, FTP, Telnet, HTTP/S, SMB, RDP, MySQL, PostgreSQL y
más.
Comando Básico
Comando para probar un usuario y una lista de contraseñas en SSH:
hydra -l usuario -P /ruta/a/[Link] ssh://IP_DEL_OBJETIVO
Ejemplo:
hydra -l root -P /usr/share/wordlists/[Link] ssh://[Link]
Uso de Diccionarios
Hydra trabaja con diccionarios de usuarios y contraseñas.
Puedes usar los que vienen en Kali Linux, como [Link] ubicado en
/usr/share/wordlists/.
Si está comprimido, descomprimir con:
gunzip /usr/share/wordlists/[Link]
Prueba de Múltiples Usuarios
Para probar varios usuarios y contraseñas, usa:
hydra -L [Link] -P [Link] ssh://[Link]
Ataque a Formularios Web
Para servicios web con formulario de login (más avanzado):
hydra -L [Link] -P [Link] IP http-post-form
"/login:username=^USER^&password=^PASS^:F=incorrecto"
La ruta y parámetros se obtienen inspeccionando el sitio con herramientas como Burp
Suite.
Opciones Interesantes de Hydra
-t : Número de hilos concurrentes (por defecto 16)
-V : Muestra cada intento en consola
-f : Termina al encontrar una combinación válida
-o : Guarda los resultados en un archivo
Recomendaciones Éticas y Profesionales
Antes de usar Hydra:
- Asegúrate de tener permiso para realizar pruebas.
- Usa nmap para identificar puertos abiertos:
nmap -sV [Link]
- Evalúa los resultados: ¿se usan contraseñas débiles?, ¿hay MFA?, ¿hay políticas de bloqueo
tras intentos fallidos?
Conclusión
Hydra es una herramienta potente para probar la robustez de autenticaciones en servicios
de red.
Su uso debe ser ético y responsable. En el mundo de la ciberseguridad, el conocimiento es
poder, pero el poder con sabiduría es seguridad.
