qq_41035871的博客

原创 burp绕过验证码爆破

一、序言以jshop演示站为例，登录页面如下，登录次数超过限制会增加验证码字段。抓包重放，返回密码错误。二、爆破管理员账号密码发送到Intruder模块，先正常爆破密码试试。可以看见爆破没几个就增加了验证码，返回请输入验证码。返回Repeater模块，可以看见返回也是请输入验证码。猜测此类站点逻辑为，正常登录不需要验证码，如果达到某种条件则增加验证码（账号错误次数超过10次、同一个IP登录次数过多、同一台pc登录次数过多）测试修...