Burp Suite_爆破登陆密码_ 密码爆破

准备环境和软件：

Burp Suite v1.7：#下载地址 ：链接：https://pan.baidu.com/s/1AC21lD5USKiJEGocuXybNA 
提取码：dbnr

dvwa ： #自己百度开源的比较方便

 

  程序介绍：

burp Suite  : #https://baike.baidu.com/item/burpsuite/5971741?fr=aladdin

DVWA（Damn Vulnerable Web Application）是一个用来进行安全脆弱性鉴定的PHP/MySQL Web应用，旨在为安全专业人员测试自己的专业技能和工具提供合法的环境，帮助web开发者更好的理解web应用安全防范的过程。

 开始枚举后台密码：

看下图设置 burp  监听的代理ip和端口

 

我使用的浏览器是谷歌，  360的浏览器比较好设置代理， 具体百度看下怎么设置代理

下面进入dvwa的后台输入密码:

  这里我要说下我踩的坑 ， 上图用的ip是127.0.0.1 本地ip 尴尬的是burp 抓不到包，  解决办法cmd 查看本地的ipv4 ip

 

 换了这个ip再去访问 dvwa   输入默认用户名和 错误密码,不要提交登陆！

 

 然后开启burp 的拦截开关看下图

  现在回去点击表单提交， 这时候burp  就抓到数据了，如下图

我们在数据区域点击鼠标右键，把数据包发送到Intruder模块。如下图：

我们来到Intruder模块的Positions，点击Clear$，然后选中“123456”，点击Add$。

  然后就变成这样了：

 下面进入 payloads  功能：

 添加枚举的密码字典

 

  一切都准备好了 开始枚举密码吧！

   最后查看 结果点击长度  发现password  长度不一样那么是他就是他

 

 

 

 参考博客链接：https://www.jianshu.com/p/a7f5ed63cc55