DVWA - Brute Force (high)

high级别 （使用burp suite进行暴力破解）

将登录请求进行拦截，发现增加了user_token参数，使用了随机token机制来防止CSRF，防止了重放攻击，增加了爆破难度。但是依然可以使用burpsuite来爆破。

1.先将请求发送到intruder。

2. 设置两个参数 password和user_token为变量，攻击类型选择pitchfork，它可以使用多组Payload集合，在每一个不同的Payload标志位置上（最多20个），遍历所有的Payload。举例来说，如果有两个Payload标志位置，第一个Payload值为1和2，第二个Payload值为3和4，则发起攻击时，将共发起两次攻击，第一次使用的Payload分别为1和3，第二次使用的Payload分别为2和4。

3.设置参数，在option选项卡中将攻击线程thread设置为1，因为Recursive_Grep模式不支持多线程攻击.

4.选择Grep-Extract，意思是用于提取响应消息中的有用信息，点击Add，如下图进