【心得】数据爆破个人笔记

目录

什么是爆破？

爆破单个参数

爆破用户名密码

爆破http认证 （基础认证）

---

什么是爆破？

爆破其实就是试，如果存在下面的逻辑，就能爆破

比如，登录逻辑中，只要没有验证码，我们可以无限次尝试的情况下，试有概率试出来正确的用户名密码的。

所以爆破的关键，就是能够多次尝试，所以应对爆破的方法也很简单，就是防止多次尝试。

常见的有

图形验证码

手机短信验证码

无感验证码等等

也就是说如果存在一个逻辑，可以接受一个参数，并且判断这个参数对不对，在不限次数的情况下，我们可以试出来这个参数的值。

但是，要对爆破有个清醒的认识，特别是对需要爆破的时间，我们举个例子

4位数字，我们需要爆破10000次，

5位数字，10万次

6位数字，100万次

6位字符，约7350亿次

8位字符，约6634万亿次

总结：不到明显要爆破的时候别爆破

爆破单个参数

例题1：web3

但是，要对爆破有个清醒的认识，特别是对需要爆破的时间，我们举个例子

4位数字，我们需要爆破10000次，

5位数字，10万次

6位数字，100万次

6位字符，约7350亿次

8位字符，约6634万亿次

总结：不到万不得已别爆破

爆破用户名密码

采用口令字典的方式，

爆破成功与否，最直接的关键因素就是密码字典是否强大

爆破工具没有好坏之分，最多就是性能上的差距，而最关键的是爆破字典

例题2：web4

 

 

 

爆破http认证 （基础认证）

所谓http认证，就是通过服务端发回一个标志，告诉浏览器，这个页面需要输入用户名和密码才能访问。浏览器会自动弹出一个输入框，让输入用户名密码，如果正确则继续访问，如果错误则报401未授权

例题3:web5

输入admin 123456

 抓包，发现基础认证（用户名+冒号+密码，再base64加密）

 

 

 不在url头，这个取消勾选