Hydra Tool দিয়ে FTP Brute Force Attack | Ethical Hacking টিউটোরিয়াল

কেমন আছেন আপনারা ? আশা করি সবাই ভালো আছেন আজকের টিউটোরিয়ালে আমরা জানতে চলেছি হ্যাকারদের খুবই পছন্দের একটি টুল Hydra সম্পর্কে। এই টুলের সম্পূর্ণ কাজ সহজ ভাষায় বিস্তারিত ব্যাখ্যা করে লিখেছি যাতে আপনাদের বুঝতে সুবিধা হয়। আশা করি আর্টিকেলটা পড়ে আপনি দ্রুত হাইড্রা টুলের কাজ শিখে নেবেন। আমার পরিশ্রম যদি আপনাদের ভালো লাগে তাহলে ওপরে লাইক বাটনে ক্লিক করে একটা লাইক দেবেন।

Disclaimer : এই আর্টিকেলে যে Hydra Tool, তার কমান্ড, ফ্ল্যাগ ও ব্যবহার পদ্ধতি দেখানো হয়েছে, সেগুলো শুধুমাত্র শেখার উদ্দেশ্যে এবং সাইবার সিকিউরিটি সম্পর্কে বাস্তব ধারণা দেওয়ার জন্য লেখা। এই লেখার মূল লক্ষ্য হলো পাঠকদের বোঝানো—কিভাবে লগইন সিস্টেম কাজ করে এবং কোথায় কোথায় নিরাপত্তার দুর্বলতা থাকতে পারে। এখানে দেখানো প্রতিটি উদাহরণ লেখকের নিজের ডিভাইস, লোকাল নেটওয়ার্ক বা ল্যাব এনভায়রনমেন্টে করা হয়েছে। লেখক কখনোই কাউকে অবৈধভাবে অন্যের সার্ভার, ওয়েবসাইট বা নেটওয়ার্কে প্রবেশ করার জন্য উৎসাহ দেন না।
Hydra একটি শক্তিশালী পাসওয়ার্ড টেস্টিং টুল, আর শক্তিশালী টুল যেমন উপকার করতে পারে, তেমনি ভুলভাবে ব্যবহার হলে বড় সমস্যার কারণও হতে পারে। অনুমতি ছাড়া অন্যের FTP, SSH বা যেকোনো অনলাইন সার্ভিসে ব্রুট-ফোর্স অ্যাটাক চালানো আইনত অপরাধ এবং এতে অ্যাকাউন্ট লক, আইপি ব্লক কিংবা আইনি ঝামেলায় পড়ার সম্ভাবনা থাকে। এই আর্টিকেলে দেওয়া তথ্য ব্যবহার করে কেউ যদি আইন ভাঙে বা কারো ক্ষতি করে, তার সম্পূর্ণ দায়ভার সেই ব্যবহারকারীর নিজের—লেখক বা এই প্ল্যাটফর্ম কোনোভাবেই দায়ী থাকবে না।
আপনি যদি সত্যিই সাইবার সিকিউরিটি শিখতে আগ্রহী হন, তাহলে সবসময় নিজের সিস্টেম, ভার্চুয়াল মেশিন (যেমন Metasploitable) বা যথাযথ অনুমতি নেওয়া পরিবেশেই এসব টুল ব্যবহার করুন। শেখার উদ্দেশ্য হওয়া উচিত সিস্টেমকে আরও নিরাপদ করা, দুর্বলতা ঠিক করা এবং নিজেকে একজন দায়িত্বশীল সিকিউরিটি প্র্যাকটিশনার হিসেবে গড়ে তোলা। ভুল কাজে জ্ঞান ব্যবহার না করে সঠিক পথে শিখলেই এই ধরনের টুলের আসল মূল্য বোঝা যায়।

✦ Hydra Tool এর Introduction

✦ Hydra Tool এর Introduction

⤷ THC Hydra (The Hacker’s Choice Hydra) হলো খুবই জনপ্রিয় একটি পাসওয়ার্ড ব্রুট-ফোর্সিং টুল যা কোনো লগইন সিস্টেমের (ইউজারনেম এবং পাসওয়ার্ড) দুর্বলতা পরীক্ষা করতে ব্যবহার করা হয়। এটা মূলত সাইবার সিকিউরিটি শেখা, পেন-টেস্টিং এবং নিজের সিস্টেমের দুর্বলতা যাচাই করার কাজে ব্যবহার করা হয়।

আরও সহজ ভাষায় বললে – ধরুন আপনি একটা সার্ভার বানিয়েছেন যাতে ইউজারনেম ও পাসওয়ার্ড দিয়ে লগইন করতে হয়। এখন আপনি চাইছেন আপনার সার্ভারের ইউজারনেম ও পাসওয়ার্ড শক্তিশালী নাকি দুর্বল সেটা পরীক্ষা করে দেখতে। সেক্ষেত্রে আপনি Hydra টুলের সাহায্য নিতে পারেন।

Hydra টুল দিয়ে বিভিন্ন ধরনের সার্ভিসে লগইন পরীক্ষা করা যায়, যেমন – FTP, SSH, HTTP, HTTPS, MySQL, Telnet প্রভৃতি।

✦ Hydra Tool ইন্সটল

⤷ Kali Linux, Parrot OS সহ বাকি Debian Based OS এ ইনস্টল পদ্ধতি একই। নিচের কমান্ডের মাধ্যমে টুলটি ইনস্টল করে নিন –

sudo apt update
sudo apt install hydra

⤷ Termux এ সরাসরি Hydra টুল ইনস্টল করা যায় না। আপনি চাইলে github থেকে হাইড্রা টুলটির রিপোজিটরি ক্লোন করে ইন্সটল করতে পারেন, তবে এক্ষেত্রে অনেকসময় অনেকরকম সমস্যার মুখোমুখি হতে হয়। তাই হাইড্রা টুলটি ইন্সটল করার সবথেকে সেরা এবং সহজ পদ্ধতি হল প্রথমে Termux এর মধ্যে Linux Based অপারেটিং সিস্টেম (Kali Linux, Parrot Os, Ubuntu Os প্রভৃতি) ইন্সটল করে তাতে Hydra টুল ইন্সটল করা। আজকের আর্টিকেলে প্রথমে Ubuntu Os ইন্সটল করে তারপর ওর মধ্যে হাইড্রা টুলটি ইন্সটল করবো।

Step 1 : প্যাকেজগুলোকে আপডেট করতে কমান্ড দিন –

pkg update

Step 2 : এরপর proot-distro প্যাকেজটি ইনস্টল করতে কমান্ড দিন –

pkg install proot-distro

Step 3 : এরপর Ubuntu Os ইন্সটল করতে কমান্ড দিন –

proot-distro install ubuntu

Step 4 : এরপর Ubuntu Os এ লগইন করতে কমান্ড দিন –

proot-distro login ubuntu

Step 5 : Ubuntu Os সফলভাবে ইনস্টল হয়েছে। এখন Ubuntu Os এর প্যাকেজগুলোকে আপডেট ও আপগ্রেড করতে কমান্ড দিন –

apt update && apt upgrade -y

Step 6 : এবার Hydra টুলটি ইনস্টল করতে কমান্ড দিন –

apt install hydra -y

এখন Hydra টুলটি সফলভাবে ইনস্টল হয়েছে। এর সমস্ত ফ্ল্যাগ/অপশন চেক করতে কমান্ড দিন –

hydra -h

✦ Hydra টুলের Flags/Options

✦ Hydra টুলের Syntax

⤷ Hydra টুলের দুই ধরনের Syntax রয়েছে। একটি আগে ব্যবহার হতো, আরেকটি এখন ব্যবহার হয়। তবে দুটোই ঠিকঠাক কাজ করে।

∎ পুরোনো Syntax –

⤷ পোর্ট নম্বর ডিফল্ট (যেমন – ftp এর ডিফল্ট পোর্ট 21) হলে সেক্ষেত্রে পোর্ট নম্বর উল্লেখ করার প্রয়োজন নেই –
hydra [ip address] [service] -l [username] -p [password]

উদাহরণ :

hydra 192.168.0.1 ftp -l admin -p 123456

⤷ পোর্ট নম্বর ডিফল্ট না হয়ে অন্যকিছু হলে সেক্ষেত্রে পোর্ট নম্বর উল্লেখ করতে হবে –
hydra [ip address] [service] -l [username] -p [password] -s [port number]

উদাহরণ :

hydra 192.168.0.1 ftp -l admin -p 123456 -s 2221

∎ নতুন Syntax –

⤷ পোর্ট নম্বর ডিফল্ট (যেমন – ftp এর ডিফল্ট পোর্ট 21) হলে সেক্ষেত্রে পোর্ট নম্বর উল্লেখ করার প্রয়োজন নেই –
hydra -l [username] -p [password] [service]://[ip address]

উদাহরণ :

hydra -l admin -p 123456 ftp://192.168.0.1

⤷ পোর্ট নম্বর ডিফল্ট না হয়ে অন্যকিছু হলে সেক্ষেত্রে পোর্ট নম্বর উল্লেখ করতে হবে –
hydra -l [username] -p [password] [service]://[ip address]:[port number]

উদাহরণ :

hydra -l admin -p 123456 ftp://192.168.0.1:2221

আজকের আর্টিকেলে আমরা জানবো FTP সার্ভিসে ব্রুট-ফোর্সিং পদ্ধতির মাধ্যমে কিভাবে লগইন পরীক্ষা করা হয়। বাকি সার্ভিসের ক্ষেত্রে পদ্ধতি একই, শুধু FTP এর জায়গায় ওই সার্ভিসের নাম (SSH, MySQL, Telnet প্রভৃতি) বসিয়ে দেবেন। আপনি যদি FTP সার্ভিস সম্পর্কে না জানেন, এই আর্টিকেলের নিচে অতি সহজ ভাষায় বিস্তারিত লেখা রয়েছ, পড়ে জেনে নেবেন।

ভিক্টিম ডিভাইস হিসেবে আমি আমার ডিভাইসটা ব্যবহার করেছি, এতে FTP সার্ভিস 2221 পোর্টে রান হচ্ছে। আপনারাও আপনাদের ডিভাইসে FTP সার্ভার সেটাপ করে লগইন পরীক্ষা করতে পারেন অথবা আপনার কাছে যদি কম্পিউটার বা ল্যাপটপ থাকে, তাহলে তাতে Metasploitable 2 মেশিন ইনস্টল করেও লগইন পরীক্ষা করতে পারেন। তবে অনুমতি ছাড়া অন্যের ডিভাইসে বা FTP সার্ভারে এই ধরনের কাজ করবেন না।

এখানে –
∎ FTP সার্ভারের আইপি অ্যাড্রেস – 192.168.0.2
∎ পোর্ট নম্বর – 2221

⤷ মোবাইল দিয়ে কিভাবে ফাইল সার্ভার (FTP) তৈরি করতে হয় সেটা যদি আপনি না জানেন তাহলে নিচের লিংকে ক্লিক করে জেনে নিতে পারেন –

∎ ওয়েবসাইট আর্টিকেল – এখানে ক্লিক করুন
∎ ইউটিউব ভিডিও লিংক – এখানে ক্লিক করুন

আমি আগে থেকে Obuntu এর Home ডিরেক্টরিতে তিনটে ফাইল তৈরি করে রেখেছি, যাতে আপনাদের কাজটা বুঝতে সুবিধা হয় –

∎ ইউজারনেমের লিস্ট – user_list.txt
∎ পাসওয়ার্ডের লিস্ট – pass_list.txt
∎ আইপি অ্যাড্রেসের লিস্ট – ip_list.txt

Hydra টুল দিয়ে FTP সার্ভিস ব্রুট-ফোর্স

⤷ FTP সার্ভিসের ডিফল্ট পোর্ট নম্বর 21, এক্ষেত্রে কমান্ড দেওয়ার সময় পোর্ট নম্বর উল্লেখ করার প্রয়োজন নেই –

hydra -l admin -P pass_list.txt ftp://192.168.0.2

⤷ পোর্ট নম্বর 21 না হয়ে অন্যকিছু হলে (2221) সেটা উল্লেখ করতে হবে –

hydra -l admin -P pass_list.txt ftp://192.168.0.2:2221

Condition 1 : ধরুন আপনি FTP সার্ভারের ইউজারনেম জানেন (admin) কিন্তু পাসওয়ার্ড জানেন না সেক্ষেত্রে আপনাকে পাসওয়ার্ড লিস্ট ব্যবহার করতে হবে –

hydra -l admin -P pass_list.txt ftp://192.168.0.2

Condition 2 : ধরুন আপনি FTP সার্ভারের পাসওয়ার্ড জানেন (123456) কিন্তু ইউজারনেম জানেন না সেক্ষেত্রে আপনাকে ইউজার লিস্ট ব্যবহার করতে হবে –

hydra -L user_list.txt -p 123456 ftp://192.168.0.2

Condition 3 : ধরুন আপনি FTP সার্ভারের ইউজারনেম এবং পাসওয়ার্ড দুটোই জানেন না, সেক্ষেত্রে আপনাকে ইউজার লিস্ট এবং পাসওয়ার্ড লিস্ট – এই দুটোরই সাহায্য নিতে হবে –

hydra -L user_list.txt -P pass_list.txt ftp://192.168.0.2

Condition 4 : লগইন সফল হওয়ার পর আপনি চাইলে -o ফ্ল্যাগের মাধ্যমে ইউজারনেম এবং পাসওয়ার্ড আউটপুট ফাইলে সেভ করে রাখতে পারবেন –

hydra -L user_list.txt -P pass_list.txt ftp://192.168.0.2 -o output.txt

Condition 5 : ব্রুট-ফোর্স অ্যাটাকের সময় Hydra টুল কোন কোন ইউজারনেম এবং পাসওয়ার্ড দিয়ে লগইন করার চেষ্টা করছে, আপনি চাইলে সেটা -V ফ্ল্যাগের মাধ্যমে দেখতে পারেন –

hydra -L user_list.txt -P pass_list.txt ftp://192.168.0.2 -V

Condition 6 : Single আইপির ক্ষেত্রে › ব্রুট-ফোর্স অ্যাটাক চালানোর সময় Hydra টুল একসাথে একইসময়ে 16 টা লগইন চেষ্টা করে। তবে আপনি চাইলে -t ফ্ল্যাগের মাধ্যমে এই থ্রেড সংখ্যাটা নিয়ন্ত্রণ করতে পারবেন। মনে করুন, আপনি চান Hydra টুল দিয়ে একসাথে একইসময়ে 4 টে লগইন চেষ্টা করুক, সেক্ষেত্রে কমান্ড দেবেন –

hydra -L user_list.txt -P pass_list.txt ftp://192.168.0.2 -t 4

⇢ মনে রাখবেন, -t ফ্ল্যাগের ভ্যালু 1 থেকে 64 পর্যন্ত সেট করা যায়, তবে যত কম সেট করবেন সার্ভারে তত কম লোড পড়বে। ভ্যালু বেশি সেট করলে আইপি ব্লক/অ্যাকাউন্ট লক কিংবা সার্ভিস ক্র্যাশ হতে পারে।

Condition 7 : একাধিক FTP সার্ভিসকে একসাথে ব্রুট ফোর্স করতে চাইলে, প্রথমে ওই সবকটি সার্ভিসের আইপি অ্যাড্রেসকে একটা ফাইলের (ip_list.txt) মধ্যে সেভ করতে হবে। তারপর -M ফ্ল্যাগের মাধ্যমে লগইন পরীক্ষা করতে হবে –

hydra -L user_list.txt -P pass_list.txt -M ip_list.txt ftp

মনে রাখবেন, প্রত্যেকটা FTP সার্ভিস যদি ডিফল্ট পোর্টে (21) রান করে তাহলে পোর্ট নম্বর উল্লেখ করার প্রয়োজন নেই। তবে FTP সার্ভিসটা যদি কাস্টম পোর্টে রান করে তাহলে আইপি অ্যাড্রেসের শেষে কোলন দিয়ে পোর্ট নম্বরটাও উল্লেখ করতে হবে।

Condition 8 : Multiple আইপির ক্ষেত্রে › একাধিক সার্ভিসে ব্রুট-ফোর্স অ্যাটাক চালানোর সময় Hydra টুল একসাথে একইসময়ে প্রতিটা সার্ভিসে কতগুলো করে লগইন চেষ্টা করবে সেটা -T ফ্ল্যাগের মাধ্যমে নিয়ন্ত্রণ করা হয় –

hydra -L user_list.txt -P pass_list.txt -M ip_list.txt -T 2 ftp

Condition 9 : আপনি যদি চান ভ্যালিড লগইন বা লগইন সফল হওয়ার সাথে সাথে ব্রুট-ফোর্স অ্যাটাক থেমে যাক সেক্ষেত্রে আপনি -f ফ্ল্যাগ ব্যবহার করতে পারেন। এতে সময় বেঁচে যায় ও অপ্রয়োজনীয় লগইন চেষ্টা বন্ধ হয়।

hydra -L user_list.txt -P pass_list.txt ftp://192.168.0.2 -f

⇢ মনে রাখবেন, কমান্ডের মধ্যে যেকোনো ফ্ল্যাগকে যেকোনো অর্ডারে বসাতে পারবেন। তবে সার্ভিস যদি আইপি এর সাথে যুক্ত না থেকে একা বসে তাহলে সেটাকে সবচেয়ে শেষে লিখতে হবে।

∎ সঠিক ✓ : hydra -L user_list.txt -P pass_list.txt -M ip_list.txt -f ftp
∎ ভুল × : hydra -L user_list.txt -P pass_list.txt -M ip_list.txt ftp -f 

Condition 10 : ব্রুট-ফোর্স অ্যাটাক চলাকালীন Hydra টুল থেকে FTP সার্ভারে প্রথম লগইন রিকোয়েস্ট যায়, তারপর সার্ভার উত্তর দিলে Hydra টুল দ্বিতীয় লগইন রিকোয়েস্ট পাঠায়, এভাবে চলতে থাকে। তবে কোনো কোনো ক্ষেত্রে Hydra টুল একসাথে একইসময়ে একাধিক লগইন রিকোয়েস্ট পাঠালে সার্ভার উত্তর দিতে দেরি করে, ফলে সঠিক ইউজারনেম এবং পাসওয়ার্ড দেওয়ার পরেও লগইন ব্যার্থ হয়।
এই সমস্যা সমাধানের জন্য -w ফ্ল্যাগ ব্যবহার করা হয়। এই ফ্ল্যাগ ঠিক করে প্রথম লগইন রিকোয়েস্ট পাঠানোর পর সার্ভার থেকে উত্তর আসা পর্যন্ত কিছু সেকেন্ড অপেক্ষা করবে, তারপর সার্ভার থেকে উত্তর আসার পরেই দ্বিতীয় লগইন রিকোয়েস্ট পাঠিয়ে দেবে।

hydra -L user_list.txt -P pass_list.txt ftp://192.168.0.2 -w 5

এখানে -w এর মান 5 সেট করা হয়েছে। এর মানে প্রথম লগইন রিকোয়েস্ট পাঠানোর পর সার্ভার থেকে উত্তর আসার জন্য Hydra Tool সর্বোচ্চ 5 সেকেন্ড অপেক্ষা করবে, 5 সেকেন্ড পরে দ্বিতীয় লগইন রিকোয়েস্ট পাঠিয়ে দেবে। তবে যদি 5 সেকেন্ডের আগেই সার্ভার থেকে উত্তর আসে তাহলে বাকি সময়ের জন্য অপেক্ষা না করে তৎক্ষণাৎ সার্ভারে দ্বিতীয় লগইন রিকোয়েস্ট পাঠিয়ে দেবে।

Condition 11 : আপনি যদি চান প্রথম লগইন ব্যার্থ হওয়ার পর Hydra টুল কয়েক সেকেন্ড অপেক্ষা করুক এবং তারপর দ্বিতীয় লগইন রিকোয়েস্ট পাঠাক, সেক্ষেত্রে আপনি -W ফ্ল্যাগ ব্যবহার করে একটা সময় সেট করে দিতে পারেন।

hydra -L user_list.txt -P pass_list.txt ftp://192.168.0.2 -W 3

প্রথম লগইন ব্যার্থ হওয়ার পর Hydra টুল 3 সেকেন্ড অপেক্ষা করবে এবং তারপর দ্বিতীয় লগইন রিকোয়েস্ট পাঠাবে। আবার দ্বিতীয় লগইন ব্যার্থ হলে Hydra টুল 3 সেকেন্ড অপেক্ষা করবে এবং তারপর তৃতীয় লগইন রিকোয়েস্ট পাঠাবে এভাবে চলতে থাকবে।

⇢ মনে রাখবেন, -w এবং -W ফ্ল্যাগদুটি সবচেয়ে বেশি ব্যবহৃত হয় পুরোনো ধীরগতিসম্পন্ন বা দুর্বল সার্ভারে।

✦ ব্রুট-ফোর্স অ্যাটাক থেকে সুরক্ষা

1. বড়–ছোট অক্ষর, নাম্বার, স্পেশাল ক্যারেক্টার বা সিম্বল মিশিয়ে শক্তিশালী পাসওয়ার্ড তৈরি করুন। যেমন – p!XeL@py#03&4
2. Two Factor Authentication চালু রাখুন। এক্ষেত্রে OTP-এর প্রয়োজন হয়।
3. ডিফল্ট ইউজারনেম পরিবর্তন করুন। Admin, Root – এইধরনের ইউজারনেম এড়িয়ে চলুন।
4. মাঝে মাঝে পাসওয়ার্ড পরিবর্তন করুন।
5. মাঝে মাঝে সিস্টেম ও সফটওয়্যার আপডেট রাখুন।

✱ FTP সার্ভিস কি ?

⤷ FTP (File Transfer Protocol) সার্ভিস হলো এমন একধরনের সার্ভিস যার মাধ্যমে এক ডিভাইস থেকে অন্য ডিভাইসে ফাইল নিয়ে আসা কিংবা ফাইল পাঠানো, দুটোই সম্ভব। ধরুন, আপনার ডিভাইসে কিছু ফাইল রয়েছে যেগুলো আপনি সার্ভারে আপলোড করতে চান কিংবা সার্ভারে থাকা কোনো ফাইল আপনি আপনার ডিভাইসে ডাউনলোড করতে চান, এই কাজটা করা সম্ভব হয় FTP সার্ভিসের মাধ্যমে।

আরও সহজ ভাষায় বললে – মেমোরি কার্ড বা পেনড্রাইভে যেমন ফাইল জমা করে রাখা যায় তেমনি আপনারা চাইলে নিজের একটা ফাইল সার্ভার বানিয়ে তাতে প্রয়োজনীয় ফাইল জমা করে রাখতে পারেন (Google Drive এর মতো)। আপনার যখন কোনো ফাইল প্রয়োজন হবে আপনি আপনার সার্ভার থেকে ডাউনলোড করে ব্যাবহার করতে পারবেন। এখন আপনি যদি চান যেকেউ আপনার ফাইল সার্ভার অ্যাক্সেস করতে না পারুক, সেক্ষেত্রে আপনি একটা লগইন সিস্টেম বানাতে পারেন। যদি কোনো ব্যক্তি আপনার ফাইল সার্ভার অ্যাক্সেস করতে চাই, তাকে সঠিক ইউজারনেম এবং পাসওয়ার্ড দিয়ে লগইন করতে হবে, তবেই ওই ব্যক্তি আপনার ফাইল সার্ভারের ভেতরে থাকা ফাইল অ্যাক্সেস করতে পারবে।