DVWA —— Brute Force 暴力破解

银河外卖员

已于 2023-12-24 22:13:07 修改

阅读量2.6k

点赞数 3

文章标签： php 服务器 web安全

于 2023-05-20 22:06:03 首次发布

本文链接：https://blog.csdn.net/YouTheFreedom/article/details/130786146

版权

本文详细介绍了不同安全等级的Web应用漏洞，包括弱口令爆破、SQL注入绕过、验证码机制的弱点，以及如何利用BurpSuite进行渗透测试。同时，提出了防御措施，如添加验证码、限制登录尝试次数、密码加密和防止SQL注入等。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

burp 自动获取 token 爆破弱口令

漏洞原理

由于没有对登录页面进行相关的防暴力破解机制，如无验证码、有验证码但验证码未在服务器端校验以及无登录错误次数限制等，导致攻击者可通过暴力破解获取用户登录账户及口令，从而获取网站登录访问权限

Low

渗透思路

没有验证码，错误次数限制，而且用户名密码明文传输，所以用 burpsuit 抓包后用字典自动化爆破

burp 弱口令字典爆破

爆破模式选择 Cluster bomb

列表1 username payload

列表2 password payload

注：只是为了示范和熟悉常用渗透思路，并没有必要用太多 payload，比较费时间，实际测试可以用 Top500 用户名密码

option 标签页中的 Request Engine 等参数可保持默认即可，点击 payloads 标签页里的 start attack 即可开始爆破，结果如下：

Medium

渗透思路

没有验证码，错误次数限制，而且用户名密码明文传输，所以用 burpsuit 抓包后用字典自动化爆破

burp 弱口令字典爆破

与 Low 级别一样

源码对比

Low 源码

Medium 源码

对比小结

通过对比可知，low 和 medium 两个的等级代码区别有两点：

mysqli_real_escape_string 函数对用户名和密码输入进行特殊字符转义，防止 SQL 注入
如果登陆失败会 sleep 2s。

High

渗透思路

登录请求抓包比之前多了 user_token 参数

通过登陆失败后跟随 302 来到 /vulnerabilities/brute/index.php 页面后，发现页面代码里隐藏的 user_token 参数，每次请求该页面后都会获得新的 user_token，由此可知，每次请求登录提交用户名和密码时，都要带上页面提供的 user_token，且有效性只有一次，防止重放爆破。所以我们要想爆破就必须先获得 user_token 值再提交。

burp 自动获取 token 爆破弱口令

发现新增的隐藏参数 user_token

添加 session macro 宏自动获得并替换 user_token

我们可以借助burpsuit macro 宏功能来完成发送爆破请求之前请求 index 页面获得 user_token 值

选择 Project options 模块下的 Sessions 标签页按照下图中的步骤提示操作即可：

填写 Rule Decription 方便了解区分该规则用途

点击 add 按钮打开 macro editor，随后会自动弹出 macro recorder，选择需要从中获得消息的流量记录进行编辑

选择记录后点击 OK 返回 macro editor 界面，选择要编辑的记录点击 Configure item

添加响应报文里的参数获取位置

填写 Parameter name，必须与实际获取参数名称相同，然后选择参数值获取位置，起始匹配正则会在你选择后自动生成，点击 OK

界面回到 Configure Macro Item，出现刚才新增的参数获取位置，点击 OK

点击 OK

点击下图 2 的位置，仅更新请求中的指定参数，这里我们指定仅更新user_token 参数，这里意味着当 macro 请求index.php 页面获得 user_token参数后，会把我们发送的请求中的 user_token 参数值给替换掉，防止出现 CSRFtoken is incorrect 报错。点击 OK 返回。