本文详细描述了一次渗透测试过程中分析网站登录密码加密算法的过程。通过Burp Suite抓包，发现密码经过了MD5和AES两种加密方式。在login.vue文件中找到JS代码，发现首先使用encrypt()函数（实现AES加密）加密密码，然后对加密结果进行MD5运算。通过调试代码，定位到encrypt()函数存在于utils.js，并解析了AES加密的具体过程。最后，使用Python调用Node.js AES加密模块进行爆破脚本编写，揭示了网站登录密码的加密流程。
在某次渗透过程中，碰到了一个登录的网站。于是随便输了个 admin/123456进行登录尝试，准备burp抓包，进行爆破。
发现 password 字段进行了加密，粗略一看很像是MD5加密。但是仔细对比，发现123456的MD5值为：e10adc3949ba59abbe56e057f20f883e ，而不是包中的 9f27a19583a386e11dd6b7bb141161fd 。所以，就需要分析js代码，判断出该字段的加密方式了。
右键检测，切换到 Network 选项，点击登录，抓到一个数据包。没错，就是我们进行登录的数据包。记住密码的字符：password
817
2384
3875
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
最低0.47元/天 解锁文章
扫一扫
