一、暴力破解
【基于表单的暴力破解】
①在登录框随意输入账号密码,开启burp suite抓包。
②将抓到的包,右键点击发送到intruder模块
③打开intruder,点击positions,选择需要替换的变量,先“clear”后“add”,选择适合的攻击模式:
1)Sniper:狙击手,默认每次只能有一个变量进行攻击。
2)Battering ram:冲撞车。可选多个变量同时替换,但都只用同一个字典。
3)Ptichfork:草叉型,可选多个变量,每个变量一个字典,然后一一对应实验。
4)Cluster bomb:焦束炸弹,可选多个变量,每个变量一个字典,然后交叉组合进行实验。
这里攻击方式选择cluster bomb,变量payload 1、2分别在select file选择对应的字典,user.txt和password.txt(注意:字典路径里不能够包含中文)
④点击start attack,开始破解,我们可以根据length去判断哪个正确,一般length不同于其他的,就是正确的。使用爆破的账号密码登录,登陆成功。