使用burp suit进行暴力破解

前提：本文以pikachu里无需验证码的登录为例，且在知道用户名为admin下进行（主要目的是演示暴力破解后怎么区分正确密码）。

先打开内嵌浏览器，进入pikachu无需验证码的登录页面

打开拦截。intercept is off-> intercept is on

输入账号密码，然后点击login，进去burp suite，点击action ，sender to intruder。

attack 方式使用sinper

在密码处添加$ ;payloads

start attack 

点length一次是从 小到大排序，点两次是从大到小排序

根据返回包的长度判断35111是一类，双击35111处打开返回包，在返回包中点response 再点render可以查看密码输入后的结果；显示账号或密码错误

查看35087的返回包查看结果，显示成功登陆，密码就是123456