使用pikachu靶场复现暴力破解漏洞

1，随便输入密码提示账号或密码错误（username or password is not exists～）

2，使用bp抓取数据包发送到intruder模块

3，根据登录的回显信息知道需要爆破用户名和密码，因此cloose an attack type选择cluster bomb攻击方式；将post传递的参数值通过点击add设置为变量

4，设置payloads界面，分别对add的第一个和第二个变量爆破的字典进行设置，这里选择simple list（简单列表）手动添加用户名和密码字典

点击右上角“start attack”开始爆破，且分析结果得到密码。

5，分析结果得到密码

得到唯一一个长度length字段不一样的响，因此判断admin用户的密码为123456自此成功爆破。