暴力破解：通过响应时间枚举用户名

突破IP限制：http请求头中添加X-Forwarded-For头，将该头的value设置为动态参数变化。

使用正常的用户名和密码登录观察响应时间，使用错误的用户名和密码登录观察响应时间。

当用户名错误时响应时间基本一样，当用户名正常时，随着密码的长度越长响应时间越长。

登录请求拦截发送到Burp Intruder，http请求头中添加X-Forwarded-For:192.168.10.1 后面的1添加有效载核

username添加有效载核，password长度设置100个字符以上。

切换到有效载荷中，设置如图：

username的有效载荷设置

攻击成功：

使用成功的用户名mysql爆破密码

username=mysql，添加有效载核：X-Forwarded-For:192.168.1.§0§ password=§123456§