burpsuite抓包及密码爆破实践（需要安装包的留言）

安装burpsuite

照着视频，网上的教程尝试了好久，结果自己电脑的环境因为之前装Eclipse java的时候装了jdk13，而burpsuite用不了13的，我又费了半天劲又是注册甲骨文账号，又是下载jdk8。（吐槽下我的电脑，现在越来越垃圾了，卡的一比）需要burpsuite安装包的可以留言。
然后在火狐浏览器里面设置网络代理选择手动代理，打开burpsuite，选择代理，选择选项。然后将如下的IP地址和端口填写到火狐的手动设置地址中。

抓包实践

日常刷bugku web题
题目：你必须让他停下
打开后一直在闪，隐约可以看到图片，尝试f12查看源码发现没办法实现，设置好火狐代理后，直接打开burpsuite抓包，抓到后右击发送到repeater，点击发送，然后找到flag。
## 密码爆破实践
依旧是bugku中的一道网站被黑题
打开题目后，显示网站被黑，感觉出题人做的网页好好看，2333333333
尝试用御剑扫网址webshell，webshell解释来源于百度

webshell就是以asp、php、jsp或者cgi等网页文件形式存在的一种命令执行环境，也可以将其称做为一种网页后门。黑客在入侵了一个网站后，通常会将asp或php后门文件与网站服务器WEB目录下正常的网页文件混在一起，然后就可以使用浏览器来访问asp或者php后门，得到一个命令执行环境，以达到控制网站服务器的目的。
顾名思义，“web”的含义是显然需要服务器开放web服务，“shell”的含义是取得对服务器某种程度上操作权限。webshell常常被称为入侵者通过网站端口对网站服务器的某种程度上操作的权限。由于webshell其大多是以动态脚本的形式出现，也有人称之为网站的后门工具。

得到后门提示，进入后台网页
打开burpsuite后，然后在后门登录页面随便输入数字，进行抓包
![在这里插入图片描述](https://img-blog.csdnimg.cn/20191202223026279.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dfc2V2ZW50ZWVu,size_16,color_FFFFFF,t_70
选定刚刚输入的qqq，右击发送给intruder，打开测试器
点击位置，选中pass，点击清除，点击添加，然后点击有效载荷

从列表中添加爆破需要的密码字典，点击开始攻击

发现hack的长度明显短于其他，爆破成功，返回后门页面登录，得到flag。