一、基于表单的暴力破解
1.尝试随意输入一个账号密码进行抓包,抓取成功
2.将包send to Intruder,选择攻击方式,并标记usename和password的数据内容
3.进入payloads模块,根据提示在payload set1中输入关于账号的字典,在payload set2中输入关于密码的字典(一般是网上搜索字典)
4.点击右上角start attack开始爆破,结果如下,根据返回数据长度来判断正确的账号密码,返回长度不同于其他数据包的,就是正确的账号密码,故admin为123456
二、验证码绕过(on server)
1.当我们输入错误的用户名密码以及验证码时,提示我们验证码输入错误 ;输入错误的账号密码,但输入正确的验证码时,提示我们username or password is not exists;猜测刷新页面也会刷新验证码
2.尝试用正确验证码和错误账号密码抓包并send to repeater
3.尝试修改密码或者用户名但不改密码,发现猜想正确
4.重复一中的操作在send to intruder中爆破密码(注意不要标记验证码)
三、验证码绕过(on client)
1.根据提示查看js代码,发现前端与验证码有关的一串代码
2.任何在前端进行的验证,都是完全没有任何作用的,禁用JavaScript后进行抓包
3.在intruder中爆破密码
作业附件:
Java环境
Python