仅通过kali自带的Burpsuite对DVWA Brute Force页面进行手动注入(low级别)

仅通过kali自带的Burpsuite对DVWA Brute Force页面进行手动注入(low级别)

写在前面：默认账号密码admin和password

目标

出现欢迎语句及图片

环境设置

进入bp工具，在设置>Tools>Burp’s browser中开启sandbox选

（不做这一步可以享受原始的美）

操作步骤

1.使用bp进行抓包

2.右键鼠标发送到repeater界面

错误密码be like:

3.尝试直接修改数据，提交显示404,后尝试发现GET方式不能使用空格，#，=等字符,由于手打转义字符太过麻烦，于是选择使用一下工具，详见第4步

4.找到bp repeater界面左边inspector栏,并点击request query parameters，随后在下拉菜单中点击username行左侧箭头

5.在Decoded from: 下拉菜单处选择url encoding

6.在Decoded from: 下方文本框中写入注入语句(此处以admin'#为例),然后点击下方Apply changes

7.点击Request界面上方send按钮

8.点击Response下方Rander可查看到虽然密码还是不对但是已经登入成功了

源码分析

1.一开始想改密码变量来着，但是出现了一点小意外，有md5，所以想通过密码进那是不可能的

2.因为判断条件是除了一条结果都不行，所以想用 or 1=1也不行