暴力破解：利用正则功能自动提取爆破结果中的特征值

通常暴力破解账号和密码时是因为回复不同从而判断是否可以暴力破解，比如：账号错误时返回“账号错误”或“账号不存在”等等；

密码错误时返回“密码错误”。

但有一种情况是用户名错误或密码错误的响应状态码是相同的，比如返回：“账号或密码错误”或“无效的用户名或密码”，

但是响应包正文会有一点差异，所以我们可以利用正则功能自动提取爆破结果中的特征值。

案例一：

爆破用户名：
导入字典后：在选项options下->Grep-Extract->add
单击“添加”。在出现的对话框中，向下滚动响应，直到找到错误消息Invalid username 使用鼠标突出显示消息的文本内容。其他设置将自动调整。单击“确定”，然后开始攻击。


攻击完成后，请注意还有一个包含您提取的错误消息的附加列。使用此列对结果进行排序，以注意其中一个略有不同。

案例二：

解决这道题的方法与上一道题是类似的，唯一的不同就是响应包正文的差异比较微妙，只相差了一个英文句号

我们看到这个差异真的太微妙了，所以这时候正则提取的好处就来了，一下子就筛选出来了，然后我们再利用相同的方法爆破密码就可以了