Burpsuite暴破账号密码
账号+密码字典
账号+密码字典参考:https://www.cnblogs.com/mutudou/p/11770258.html
把账号和密码放到*.txt文件里
配置浏览器代理
配置Burpsuite代理
Burpsuite代理跟浏览器代理一致,即 127.0.0.1:8080
Burpsuite抓包,获取接口
浏览器上执行操作,就可以抓取数据包了,在Burpsuite的 Proxy -> HTTP history查看历史数据包
在Burpsuite的 Proxy -> HTTP history选中待暴破的接口,鼠标右键发送到Intruder
attack type选cluster bomb:多参数做笛卡尔乘积模式爆破,同样可以载入多个字典,是采用排列组合的方式,将每个position的所有情况和其他的依次组合,如:pos1有3个值,pos2有100个值,总共爆破300次。若pos1有300个值,而pos2也有300个值,那么爆破总数为90000次。
参考 burp suite的使用——爆破帐号密码,会帮你讲解Burpsuite的选项作用:https://blog.csdn.net/weixin_43996007/article/details/103821103
账号和密码分别选指定的文件
最后开始攻击 start attack
查看暴破结果,点击下排序,当账号和密码正确时,Length会不一样的