Qué es

Hydra es un crackeador de login paralelizado desarrollado por van Hauser / THC, soportado también por módulos de David Maciejak y código BFG de Jan Dlabal. Es una herramienta de fuerza bruta y ataque de diccionario en línea contra servicios de autenticación en red. Es flexible, muy rápida y permite añadir módulos nuevos con facilidad. Incluye el motor CLI (hydra), una GUI (xhydra) y la utilidad pw-inspector.

Para qué sirve

Auditar la robustez de contraseñas en servicios propios (SSH, FTP, RDP, bases de datos, formularios web) con autorización por escrito.
Practicar en laboratorios de pentesting y retos CTF que lo permitan.
Verificar políticas de bloqueo, rate limiting y lockout de cuentas en servicios expuestos.
Detectar el uso de credenciales débiles o por defecto en entornos corporativos auditados.
Filtrar diccionarios por longitud y complejidad con pw-inspector antes de una auditoría autorizada.

Instalación

En Kali/Debian/Ubuntu desde paquete (Kali distribuye la versión 9.7):

Código: bash

sudo apt update && sudo apt install hydra

Compilando desde el código fuente (método oficial del README):

Código: bash

./configure
make
make install

La cantidad de servicios habilitados depende de las librerías presentes al compilar; ejecutá hydra sin argumentos para ver qué quedó disponible. También existe la imagen Docker del autor:

Código: bash

docker pull vanhauser/hydra

Comandos frecuentes

Mostrar ayuda y servicios habilitados:

Código: bash

hydra

Ver las opciones propias de un módulo de servicio:

Código: bash

hydra -U ssh

Ataque de diccionario SSH contra un host propio de laboratorio (ejemplo de Kali), usuario root y 6 hilos:

Código: bash

hydra -l root -P /usr/share/wordlists/metasploit/unix_passwords.txt -t 6 ssh://192.168.56.10

Probar un único usuario con lista de contraseñas contra FTP de laboratorio, saliendo al primer acierto:

Código: bash

hydra -l admin -P pass.txt -f ftp://192.168.56.20

Usar chequeos adicionales (contraseña nula, login como contraseña, login invertido):

Código: bash

hydra -l test -e nsr ssh://192.168.56.10

Generar contraseñas de 1 a 2 caracteres con números y minúsculas:

Código: bash

hydra -l test -x 1:2:a1 ftp://192.168.56.20

Usar lista combinada login:pass y guardar resultados en JSON:

Código: bash

hydra -C combos.txt -o salida.json -b json ssh://192.168.56.10

Filtrar un diccionario por longitud mínima 6 y máxima 10 con pw-inspector:

Código: bash

pw-inspector -i rockyou.txt -o filtradas.txt -m 6 -M 10

Reanudar una sesión abortada previamente:

Código: bash

hydra -R

Buenas prácticas y uso legal

Ejecutá Hydra únicamente contra sistemas propios, de laboratorio o con autorización por escrito; atacar terceros sin permiso es ilegal.
Documentá el alcance, los objetivos y la ventana de tiempo acordada antes de cualquier prueba.
Hydra es ruidoso por diseño: genera picos de autenticaciones fallidas detectables en /var/log/auth.log (SSH), eventos 4625/4771 (Windows) o respuestas 401/403 repetidas (web).
Defensa: habilitar MFA, usar fail2ban, pam_faillock y lockout por umbral, deshabilitar login por contraseña en SSH (PasswordAuthentication no) y restringir root (PermitRootLogin no).
Reducir superficie con VPN/bastion, allowlists de IP y reglas de IDS/IPS (Suricata/Snort) y SIEM que correlacionen ráfagas de fallos.
Usar contraseñas fuertes y únicas más detección de credenciales filtradas para neutralizar los diccionarios típicos.

Alternativas

Medusa: crackeador de login paralelo y modular, con enfoque similar multiprotocolo.
Ncrack: herramienta de fuerza bruta de red del proyecto Nmap, optimizada para alta velocidad.
Patator: fuzzer/bruteforcer multipropósito en Python, muy flexible.
John the Ripper / Hashcat: para cracking offline de hashes, complementarios al ataque en línea de Hydra.

Redactado con el asistente Underc0de IA a partir de fuentes públicas. Actualizado el 13/11/2026. ¿Ves un error? Contanos en el foro.