理解网站的账号和密码构成

什么是baolipojie

使用暴力的方式进行用户名或密码的破解，反复试错的方式

为什么

最终的目的:获取用户名和密码
网站的权限划分:超级管理员 管理员 VIP 普通用户

baolipojie的准备工作

1、学习的靶场(DVWA)
2、字典
3、Burp suite

如何进行baolipojie

本来说客户端发送请求信息给服务端 服务端收到发送响应信息给客户端 这个时候我们使用burp做为代理 那么客户端发送消息会经过burp然后我们使用burp可以选择发送修改丢弃等操作再给服务端
1.设置浏览器代理 127.0.0.1:8080
2.抓包
3.发送到爆破模块
4.设置攻击模式和字段
5.字段处理
6.开始攻击
7.根据长度进行排列！筛选出结果

攻击模式

狙击手:破解一个字段，比如:密码、图形验证码、短信验证码
攻城锤 : 不管你又几个参数，都只使用同一个字典值
草叉:有几个参数，就需要设置记着字典，而且会按顺序匹配 如果两个字典的数量不一致，以少的为准
集束炸弹: 产生笛卡尔积

如何防御

网站:
1.密码密文传输和存储 md5+盐
2.限制错误次数
3.二次验证(图片验证码、短信、人脸识别)
4.锁定ip 禁止访问(WAF、IDS/IPS)
用户:
1.密码尽量复杂
2.不同的网站使用不同的密码
3.定期修改密码
4.上网时检查域名，防止被钓鱼