从零开始的DVWA靶机攻击经历（第一天）

从零开始的DVWA靶机攻击经历（第一天）

brute force(简单)

1. kali中打开选择proxy，open browser
   新增的打开浏览器的功能特别好，打开的浏览器代理是直接配好了的，方便了很多，不然每次都要重新配置代理就很麻烦。
2. 登陆DVWA，并且去左边栏中的DVWA security中将安全设置为low
3. 切换到brute force，账号密码随便输，别按回车
4. 去bp上把intercept勾选成on，切换到浏览器，提交
5. bp上这时会有刚刚抓到的那个提交的包，右键，send to intruder，去intruder中找到刚刚的包
6. 去position中设置爆破中要更改的参数，这里我设置的是密码
   需要注意的是字典需要自己去添加，这里我添加的是了kali自带的字典，地址是/usr/etc/wordlist/fasttrack.txt。
   添加方式是：在payload options[simple list]下的load中添加字典
7. 后面的option我没有做设置，因为不太懂，接下来start attack开始攻击。
8. 运行结束后会发现其他的包的长度都是一样的，只有一个包长度不同，这个包中就有admin账号对应的密码。

DVWA似乎有bug，同一个账户多点同时登陆时似乎cookie中会有固定的一项secrity=impossible,导致cookie中出现“secrity=impossible,secrity=low”的奇怪情况，而且难度似乎也是不可能难度