信息安全之——爆破密码

下面演示的是暴力破解密码，so，如果登录界面有限制输入密码次数的话就not easy了，但是如今许多网站登录修改密码时输入短信验证码的次数是不限的，而且短信验证码的位数是一样的，so,我们也可以使用这种方法暴力破解短信验证码，以此来达到得到密码的目的

使用工具：burpsuite

第一步：从登录页面中抓包，包里面含有你输入的用户名及密码的部分就是我们需要攻击的

其实攻击方式在我之前的博客中也讲过，只不过专门写这一篇单独作为攻击密码的。

首先，打开burpsuite和你要登录的网页
这里，我们选择一个小游戏网站
输入你想要知道密码的用户名，密码也随便输进去
然后根据我之前抓包那篇博文配置浏览器代理，打开Intercept is on，点击登录
我们可以看到用户名和密码的区域了，用户名是5201314h，密码就是我乱输的xiaoxss，然后我们把这个包发到intruder模块进行攻击

选择攻击方式为最后一个cluster bomb
点击右侧的clear,清除掉系统默认的攻击点，选择5201314h 和xiaoxss点击Add,只让这两个地方作为攻击点

编辑第二个攻击点password，把事先准备好的字典load进去
编辑第一个攻击点输入用户名
然后开始攻击
得到攻击文件
然后我们怎么看谁是密码呢？
我们就要看返回的长度，因为只有一个是密码，它返回的长度肯定就和那些不是密码的不一样，我们观察上图，发现length中似乎有一个返回长度和其他相差很大，就是2895，那么这个就应该是密码了，密码就是woshishabi

---

我们找到了密码，那么来登录验证试试

---

将用户名5201314h和爆破出来的密码woshishabi输进去，点击登录
成功登录！

---

so,密码爆破成功，大家试这个暴力破解就找一些小网站，这些安全漏洞比较多，比较容易。

---