pikachu+暴力破解+Burp Suit

目录

1.1 基于表单的暴力破解

1.2 验证码绕过(on server)

1.3 验证码绕过(on client)

1.4 token防爆破?

---

1.1 基于表单的暴力破解

进入靶场，账号密码随便输入，如图1.1.1

 图1.1.1

我们简单输入why，123,错误提示，如图1.1.2

 图1.1.2

登录抓包，右键发送到intruder模块，如图1.1.3

图1.1.3

然后在测试区中点击位置，在右边点击清除，然后选中username中的why和password中的123(即是我们要爆破的账号密码)，攻击类型选择集束炸弹，如图1.1.4

图1.1.4

输入相对应用户名和密码(里面要有对的账号和对的密码才能爆破成功)，如图1.1.5和1.1.6

图1.1.5

 

图1.1.6

进行爆破，如图1.1.7

图1.1.7

爆破完毕之后，对结果进行排序，按length排序，长度不同的即为正确用户名密码，如图1.1.8