DVWA:Brute Force(High)

登录界面带token爆破

1.使用burpsuite抓包，发送到intruder,攻击类型选择Pitchfork，攻击类型可以参考下边的博客

https://blog.csdn.net/qq_38632151/article/details/102600053

选择password和user_token爆破

2.选项中请求引擎–选择线程数为1，（因为每次都需要去查看token的值，所以一次发一个，并且查看一个token）

3.Grep-Extract–选择添加–在弹出的页面–从后边开始–写入–value=',在选中bb9ba0f17375e8c4fe5b63f49d1d9f93–点击OK

4.有效负载—有效负载集1选择有效清单，载入用于攻击的密码
有效负载—有效负载集2选择递归搜索，会自动添加user_token的正则表达式

5.选择攻击，选择长度由大到小排序，长度最长的为正确密码