Brute Force（暴力破解）

最新推荐文章于 2024-05-18 17:29:08 发布
最新推荐文章于 2024-05-18 17:29:08 发布
阅读量6.7k 收藏 19
点赞数 7
分类专栏： web安全 文章标签： web安全 brute force dvwa 暴力破解
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_26406447/article/details/89464125
版权

Brute Force（暴力破解）

前言

主要针对dvwa的Brute Force做一个练习，学习了解Brute Force。
主要会用到brupsuite和hydra两个工具。

练习

Low

可以看到下面是暴力破解的界面，但看到这个界面我第一反应是先尝试sql注入（最近在一个靶场练习，里面有道sql注入也是这种用户登录，而且暂时还没搞定…，后面搞定再写篇博客讲讲菜鸡的辛酸泪…），言归正传，我们还是先尝试暴力破解，然后再试下sql注入
在这里插入图片描述

暴力破解我知道的工具是hydra，然后我看到有博客用的burp两个我都试下吧
先使用下burp吧
burp先要抓包
在这里插入图片描述
抓到包后右键，选择send to intruder
然后就可以看到上面的菜单栏intruder变成红色了，点击进入intruder界面
首先是Target界面，填写网站ip和port，如果是https勾选上选框
在这里插入图片描述

第二个界面Positions ，先说下面的http报文，这里是要选择攻击的位置，把要攻击的字段选中
比如username后面的1就前后用$包起来，旁边的add，clear，auto，都很好理解，可以自己试下
在这里插入图片描述

上面的type有4种类型

1.Sniper

这里是依次拿字典去替换其中的一列，比如上面我们选中的username和password。这里会保持其中一个为我们的输入值，而字典替换另一个值
在这里插入图片描述
可以看到上面的图position表示位置，1就表示username，2就是后面的password。后面的payload就表示替换前面位置的值

2.Battering ram

这个也是只需要一个字典，遍历字典，每次用遍历的值替换所有位置（字典有n个值得话就会攻击n次）
在这里插入图片描述
3.Pitchfork

这个是有多个字典，根据你选择的攻击的位置的数量来定的，比如上面有username和password，就需要两个字典，同时遍历字典，每次从字典取出的值组成一组数据，进行攻击，当其中任一字典遍历完的时候，攻击就结束（攻击次数为最短字典长度）
在这里插入图片描述
可以看到用户字典有4个但因为密码字典只有两个所以只有两次攻击

4.Cluster Bomb

这个也是需要有多个字典，也是根据你选择的攻击的位置的数量来定的，比如上面有username和password，就需要两个字典。但我觉得这个是比较正常或者说通用的吧。这里是会穷尽所有组合
比如第一个字典里有1,2，第二个字典里也有1,2.它就会用（1,1），（1,2），（2,1），（2,2）来进行4次攻击
在这里插入图片描述
可以看到上面的3个用户名和2个密码就组成了6次攻击

Ok,我们这里是对用户登陆页面进行一个暴破，所以这里我们选择Cluster Bomb，分别建立用户的字典和密码的字典（暴力破解字典是很重要的，这里因为是练习就简单的构建下字典）
在这里插入图片描述
Ok,分别将username和pawword保存到两个文件中，然后在payloads中对应导入（payload set1对应username payload set2对应 password）

现在就是最激动人心的时刻了，点击右上方的start attack
攻击开始…

在这里插入图片描述
攻击结束你会看到如上图所示界面，怎么判断成功没有了，我们主要length长度来判断，因为登陆成功和登陆失败返回的界面是不一样的，返回页面大小也就存在区别

我们看到admin password返回的长度是4704
在这里插入图片描述
点击查看返回的html页面我们可以看到welcome admin的字样
在登陆界面我们用admin password进行尝试&

最低0.47元/天 解锁文章
恋物语战场原
关注
  • 7
    点赞
  • 踩
  • 19
    收藏
    觉得还不错? 一键收藏
  • 3
    评论
专栏目录
dvwa学习-brute force（暴力破解）
qq_17762247的博客
05-09 1800
一、简介： Brute-Force(暴力破解)，又称为穷举攻击，是一种密码分析的方法，即将密码进行逐个推算直到找出真正的密码为止。例如：一个已知是四位数并且全部由阿拉伯数字组成的密码，其可能共有10000种组合，因此最多尝试9999次就能找到正确的密码。理论上除了具有完善保密性的密码以外，利用这种方法可以破解任何一种密码，问题只在于如何缩短试误时间。有些人运用计算机来增加效率，有些人透过字典攻击来...
bruteForce:暴力破解各种服务的工具
04-13
蛮力 ━━┓━━━━━━━━━━━━━━━━━━━━━━━━┓━━━━━━━━━━━━━━ ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ ━━┓━━━━━┃┗━━┓┏━━┓┏━...
Brute Force(暴力破解)
qq_42176207的博客
05-05 600
Brute Force 暴力破解，是指攻击者使用账号或密码字典，使用穷举法猜解出用户账号或口令，是广泛使用的攻击手法。理论上利用这种方法可以破解任何一种密码，问题只在于如何缩短试误的时间。有些人运用计算机来增加效率，有些人辅以字典来缩小密码组合的范围。 可以在DVWA Security设置等级 Low 后端的代码 //Brute Force Source //vulnerabilities/brute/source/low.php <?php //获取账号密码时，未对用户的输入做过滤和限制，很明显
【Basic】BUU BRUTE
欢迎来到我的学习笔记薄
05-18 489
话不多说开整。
Bruteforce
成长
12-08 608
Problem Description Given three arraies A[],B[],C[], each contains N non-negative integers.You are asked to maxmize the vale:V=max(A[i]+B[j]+C[k]), where 0 Input Each case contains 4 lines,
蛮力法(Brute Force)
热门推荐
云原生Java Web领域技术博客
11-28 1万+
蛮力法（brute force）是一种简单直接地解决问题的方法(暴力求解)，常常直接基于问题的描述和所涉及的概念定义。
暴力破解(Brute Force)
UoM_XiaoShuaiShuai的博客
06-11 1063
暴力破解(Brute Force)简介(Introduction) Brute force is a very general problem-solving technique that consists of systematically enumerating all possible candidates for the solution and checking whether each
Brute Force(暴力破解)——在DVWA中的练习
D-R0s1的博客
02-14 1048
DVWA  BruteForce Security Level: low         Brute Force，即暴力（破解），是指黑客利用密码字典，使用穷举法猜解出用户口令，是现在最为广泛使用的攻击手法之一，穷举法的基本思想是根据已知信息或者范围，并在此范围内对所有可能的情况逐一验证，直到全部情况验证完毕。若某个情况验证符合全部条件，则为一个有效结果；若全部情况验证后都不符合要求的全部条件...
DVWA_bruteForce工具_官网下载_Bruter_1.1.zip
09-18
DVWA的BruteForce板块所需要用到的暴力破解工具。 日常暴力破解小能手。谁用谁知道。
Bruteforce:一个用 Java 编写的暴力密码破解器，用 svn2git 从 svn repo 转换而来
06-03
-bf 使用暴力破解密码-zip 破解加密的zip文件文件名、密码模式、字典来源或词表（可选） -hash 破解哈希密码哈希、密码模式、字典源（可选） -cmd 破解命令行服务/程序要执行的 cmd 包括密码占位符、密码模式、字典...
openssl-bruteforce:暴力破解OpenSSL密码的Python工具
04-30
openssl-bruteforce 使用Python工具对Wordilst进行暴力破解要求OpenSSL 1.1.0h（如果openssl早于此版本，请检查cmd变量并相应地更改标志）用法python2.7 brute.py <path> <path> <path>
Bruteforce:葡萄牙语中的暴力破解示例
04-25
蛮力葡萄牙语中的暴力破解示例我打算添加并讲授暴力破解的基本形式是如何工作的。 仍在开发中跟我来关注这个项目
DVWA Brute Force 全级别
weixin_43893278的博客
05-07 177
LOW 查看源码 <?php if( isset( $_GET[ 'Login' ] ) ) { // Get username $user = $_GET[ 'username' ]; // Get password $pass = $_GET[ 'password' ]; $pass = md5( $pass ); // Check the database $query = "SELECT * FROM `users` WHERE
暴力算法-BF（Brute Force）
To be a better man
03-13 9176
BF算法，即暴力(Brute Force)算法，是普通的模式匹配算法，BF算法的思想就是将目标串S的第一个字符与模式串T的第一个字符进行匹配，若相等，则继续比较S的第二个字符和 T的第二个字符；若不相等，则比较S的第二个字符和T的第一个字符，依次比较下去，直到得出最后的匹配结果。BF算法是一种蛮力算法。 该算法最坏情况下要进行M*(N-M+1)次比较，时间复杂度为O(M*N)。 时间复杂度太高，往往不推荐。 ...
安全渗透学习-DVWA（Brute Force）
重启专家的博客
08-20 468
首先学习一下BP的四种攻击类型进而可以针对性的选择攻击方式 burp suite的四种 attack type Sniper（狙击手） 这个模式会使用单一的payload组，它会针对每个position中$$位置设置payload逐个进行遍历替换。这种攻击类型适合对常见漏洞中的请求参数单独地进行测试。 攻击过程是将各个被标记的位置依次进行了字典中的替换并发包，攻击中的请求总数应该是position数量和payload数量的乘积。 Battering ram（攻城锤） 它会一次性同时把payloa
dvwa之brute force（工具版）（部分转自互联网大佬，仅供自己学习）
crowsec
05-03 580
Brute Force暴力破解一般指穷举法，穷举法的基本思想是根据题目的部分条件确定答案的大致范围，并在此范围内对所有可能的情况逐一验证，直到全部情况验证完毕。若某个情况验证符合题目的全部条件，则为本问题的一个解；若全部情况验证后都不符合题目的全部条件，则本题无解。穷举法也称为枚举法。（转自https://blog.csdn.net/u011781521/article/details/54964...
使用Python脚本学习DVWA-Brute Force（爆破）
weixin_43838889的博客
04-22 1318
使用Python脚本学习DVWABrute Force（爆破）LowPython 脚本密码字典文件执行结果修改后脚本：执行结果 Brute Force（爆破） 本文全程参考[https://blog.csdn.net/zy15667076526/article/details/109705286?utm_medium=distribute.pc_relevant.none-task-blog-baidujs_baidulandingword-0]向该博主致谢(https://blog.csdn.net/zy
Brute Force算法介绍及C++实现
网络资源是无限的
11-10 1843
Brute Force算法介绍及C++实现
Brute-Force算法
乱舞春秋
04-15 1084
StrIndex(SString s,int pos,SString t) {   int i,j,start;   if(t.len==0)  return(0); //模式串为空串是，是任意串的匹配串   start=pos;i=start;j=0;   while(i   if(s.ch[i]==t.ch[j]) {i++;j++;}//当前对应字符相等时推进   else         
dvwa通关brute force
最新发布
06-08
在DVWA中，Brute Force挑战是关于用户登录部分的一个环节，主要是测试用户的密码暴力破解能力。 当你遇到Brute Force关卡时，目标是尝试使用各种可能的用户名和密码组合，直到找到正确的登录凭证。这通常涉及到编写...
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值