bp登录页爆破Cluster bomb集束炸弹模式

设置好浏览器代理，拦截登录请求包，包内容通常会包含username、password、token，右键“发送到intruder”，intruder就是测试器，测试器有四个选项，目标、位置、有效负载（payload）、选线。

位置，bp会帮你自动选中可变量，可变量两边会有“双s”字符，可以自行更改可变量，这里已未知用户名未知密码的情况下进行爆破。

有效负载（payload），可以选择两个字典，payload set可以选2个，先选第一个，载入第一个字典，再选第二个，载入第二个字典。一个用户名字典，一个密码字典。payload type选择sinple list，右上角start track开始攻击。

Cluster bomb 模式下，字典1的每一个用户名都会遍历一遍字典2，此模式对算力要求较高，但却是实际爆破过程中最常用的模式。2个字典任意组合都会遍历到。

攻击完成后观察length，找出与众不同的那一项，那一项即为正确的用户名和密码。

参考字典：https://www.cnblogs.com/mutudou/p/11770258.html

bp四种爆破模式区别：Burp Suite爆破模块中的四种模式的区别详解和演示(暴力破解)_battering rams burp-CSDN博客