أداة THC-Hydra
الدليل الشامل للاختراق الأخلاقي
كل ما تحتاج معرفته عن Hydra — من المفهوم الأساسي إلى الاستخدام الاحترافي في اختبارات الاختراق عبر SSH، FTP، HTTP وأكثر من 50 بروتوكول آخر
ما هي THC-Hydra؟
Hydra — أو THC-Hydra — هي أداة كسر كلمات المرور عبر الشبكة (Online Password Cracker) متوازية الأداء، مضمّنة بشكل افتراضي في Kali Linux وParrot OS وغيرها من بيئات Penetration Testing.
طوّرتها مجموعة القراصنة الشهيرة "The Hacker's Choice" (THC)، وصدر أول إصدار منها عام 2000 كـ Proof of Concept لإثبات مدى سهولة اختراق خدمات تسجيل الدخول عبر الشبكة.
الفرق الجوهري بينها وبين أدوات مثل John the Ripper أو Hashcat هو: هذه الأخيرة تعمل Offline (على هاشات محفوظة)، بينما Hydra تعمل Online — أي تتفاعل مباشرة مع الخدمة الحية عبر الشبكة في الوقت الفعلي.
كيف تعمل Hydra؟
تعتمد Hydra على مبدأ Parallelization (التوازي): تشغّل عدة Threads في آنٍ واحد لمحاولة تسجيل الدخول بمجموعات مختلفة من اسم المستخدم وكلمة المرور. كل Thread يُعرَّف بـ "Hydra Head"، وتُدار كل هذه الرؤوس بواسطة بنية مركزية تُسمى "Hydra Brain".
تحديد الهدف والبروتوكول
تحدد الـ IP أو الـ URL والبروتوكول المستهدف (SSH, FTP, HTTP...)
تحميل Wordlist
تُغذّي الأداة بقائمة أسماء المستخدمين وكلمات المرور للمحاولة (مثل rockyou.txt)
الهجوم المتوازي
تُطلق Hydra عدة اتصالات في آنٍ واحد (افتراضياً 16 Thread) لتسريع العملية بشكل كبير
تحليل الاستجابة
تُحلّل الأداة ردّ الخادم لتحديد إن كان تسجيل الدخول ناجحًا أم فاشلًا
عرض النتيجة
عند العثور على بيانات صحيحة، تعرضها فوراً وتحفظها في ملف الـ output
التثبيت
Hydra مثبتة مسبقًا في Kali Linux، لكن يمكنك تثبيتها يدويًا على أي توزيعة:
الصياغة الأساسية
جدول المعاملات الكاملة
| الـ Flag | الوصف | مثال |
|---|---|---|
| -l LOGIN | username واحد | -l admin |
| -L FILE | قائمة usernames من ملف | -L users.txt |
| -p PASS | password واحدة | -p 12345 |
| -P FILE | قائمة passwords من ملف (Wordlist) | -P rockyou.txt |
| -C FILE | ملف بصيغة user:pass مدمجة | -C combos.txt |
| -t NUM | عدد الـ Threads المتوازية (افتراضي: 16) | -t 4 |
| -T NUM | عدد الـ Threads عند استهداف عدة Hosts | -T 64 |
| -s PORT | Port مختلف عن الافتراضي | -s 2222 |
| -S | استخدام SSL | -S |
| -f | إيقاف الهجوم عند أول نجاح (لـ Host واحد) | -f |
| -F | إيقاف الهجوم عند أول نجاح (لكل الـ Hosts) | -F |
| -o FILE | حفظ النتائج في ملف | -o results.txt |
| -v / -V | وضع Verbose (عرض كل المحاولات) | -V |
| -d | Debug Mode (للتشخيص) | -d |
| -R | استكمال جلسة سابقة منقطعة | -R |
| -w TIME | وقت الانتظار بين المحاولات (ثانية) | -w 3 |
| -W TIME | وقت الانتظار بين اتصالات كل Thread | -W 2 |
| -e nsr | تجربة: null password (n)، login=pass (s)، reversed (r) | -e ns |
| -x MIN:MAX:CHARSET | توليد passwords بـ Brute Force خام | -x 4:6:aA1 |
| -u | التكرار على المستخدمين بدل Passwords | -u |
| -M FILE | استهداف قائمة Hosts في آنٍ واحد | -M hosts.txt |
| -6 | استخدام IPv6 | -6 |
البروتوكولات المدعومة (+50 بروتوكول)
Hydra تدعم طيفًا واسعًا جداً من البروتوكولات، مما يجعلها الأداة الأشمل في هذا المجال:
أمثلة عملية مفصّلة
01 / هجوم SSH
02 / هجوم FTP
03 / هجوم على Web Login Form (HTTP POST)
هذا النوع هو الأصعب والأكثر استخدامًا في الـ CTF وWAP Pentesting. تحتاج لمعرفة: اسم الـ Fields + رسالة الخطأ.
04 / هجوم RDP
05 / هجوم SMB
06 / Brute Force خام بدون Wordlist
نصائح احترافية
-t 1 أو -t 4 كحد أقصى لتفادي Account Lockout الذي قد يُنبّه المسؤول أو يحجب الاختبار.
/usr/share/wordlists/rockyou.txt (14 مليون كلمة مرور)،
و/usr/share/seclists/ (مجموعة ضخمة لـ Usernames وPasswords المخصصة).
-t 64 على الشبكات المحلية السريعة للحصول على أقصى سرعة. لكن على الأنظمة الحساسة، خفّض الـ Threads.
hydra -R لاستكمال من حيث توقفت دون خسارة التقدم.
Wireshark أو Burp Suite لفهم بنية الـ Request بدقة قبل شن الهجوم.
Hydra مقابل الأدوات المماثلة
| الأداة | النوع | Online | 50+ بروتوكول | سرعة عالية | مناسب للـ CTF |
|---|---|---|---|---|---|
| Hydra | Online Cracker | ✔ | ✔ | ✔ | ✔ |
| Medusa | Online Cracker | ✔ | متوسط | ✔ | ✔ |
| Ncrack | Online Cracker | ✔ | ✘ | متوسط | محدود |
| John the Ripper | Offline Hash Cracker | ✘ | ✘ | ✔ | ✔ |
| Hashcat | Offline Hash Cracker (GPU) | ✘ | ✘ | ✔✔ | ✔ |
كيف تحمي نفسك من Hydra؟
معرفة الهجوم تعني معرفة الدفاع. إليك أبرز الإجراءات لحماية أنظمتك:
كلمات مرور قوية ومعقدة
استخدم كلمات مرور بأكثر من 12 حرفاً تجمع بين أحرف كبيرة وصغيرة وأرقام ورموز. تجنب القواميس والمعاجم.
Account Lockout Policy
قفل الحساب تلقائياً بعد 3-5 محاولات فاشلة. يجعل Brute Force مستحيلاً عملياً.
تفعيل MFA / 2FA
حتى لو نجح المهاجم في كسر كلمة المرور، لن يستطيع الدخول بدون الـ OTP أو مفتاح الـ Authenticator.
تغيير البورتات الافتراضية
نقل SSH من Port 22 إلى Port غير معتاد (مثل 54321) يقلل الهجمات الآلية بنسبة كبيرة.
Fail2Ban & Rate Limiting
أداة Fail2Ban تحجب تلقائياً أي IP يتجاوز عدداً معيناً من محاولات الدخول الفاشلة.
SSH Keys بدل Passwords
تعطيل تسجيل الدخول بكلمة مرور عبر SSH والاعتماد حصراً على مفاتيح RSA/Ed25519 يجعل Hydra عديمة الأثر تماماً.
THC-Hydra هي ببساطة واحدة من أقوى وأشمل أدوات كسر كلمات المرور في عالم الـ Penetration Testing. دعمها لأكثر من 50 بروتوكول، سرعتها العالية بفضل التوازي، ومرونتها في التخصيص تجعلها لا غنى عنها في أي Pentester's Arsenal. لكن تذكر دائماً: القوة الحقيقية تأتي مع المسؤولية. استخدامها بشكل قانوني وأخلاقي هو ما يفرّق بين الـ Ethical Hacker والمجرم.