BurpSuite暴力破解结果过滤

BurpSuite暴力破解大家应该都很熟悉了，甚至是破解结果过滤都很清楚（其实破解结果过滤也很简单），只是操作稍微有一点点不人性化，容易让人理解错误，这里只是为了给自己做个记录。

破解结果分析

• 在日常工作中，常常只验证某接口是否存在暴力破解漏洞即可，都是使用几个、十几个数据进行测试，这样测试结果一目了然，但是在真实环境中，往往都需要大量数据进行暴力破解，那最难就是从众多结果中筛选出正确的数据。

• 之前面试一个后选人，给我的回答就是看length，当时有点无语。因为业务接口需要根据不同参数返回不同的结果，比如：用户名不正确、密码错误、密码长度不够……。那这样的结果的长度就会有很多种可能，怎么能用长度来判断暴力破解结果呢？

• 正确的办法是判断response的内容，每个系统都不一样，每个接口开发人都不一样，返回内容说明都不一样，是需要人为判断的。

• 再一个，Length列是不能用过滤的方法搜索，所以不准确、不可靠、不实用

过滤

• 首先，分析返回结果特征，如果下图，接口返回使用status等于多少来判断接口的参数是否正确，也可以用info参数进行印证。
  
• 其次，通过Filter进行response过滤&