burpsuite爆破用户名密码例子

之前攻防演练的时候，要寻找网站漏洞，因为也没有这方面的经验，所有做个记录吧，尝试了很多扫描软件，都被WAF拦下了，hydra的话不能绕开验证码而且必须爆破结束才能知道结果，burpsuite可以实时的看到爆破结果，这一点很不错，burpsuite的安装和浏览器的代理这里先不说了。另外，感觉网站入侵的第一步就是弱口令，之前攻击方的流程是这样子的：弱口令爆破得到登录账号–登录成功后找寻文件上传漏洞–通过文件上传漏洞上传webshell获取服务器权限–通过内网渗透到其他服务器（因为没有做隔离），从而获取了所有网站的程序和数据库，这个时候服务器对方想停就停想删就删，网站不得凉凉了吗，所以弱口令是一个突破口。

抓包爆破步骤：
1、代理拦截设置为开启，网站发送登录请求

2、添加爆破必要参数

3、添加爆破字典

4、查看爆破进度和结果，根据爆破结果的length值去筛选结果，一般length值不同说明返回结果不同，查看Response即可知道爆破结果