【小迪安全36天】验证码与Token

---

验证码识别

使用工具：pakv_http_fuzz

复制验证码图片数据包中的请求头信息，不用cookie和host

使用工具的图像型验证码识别，把请求头信息粘贴到其他请求头位置，验证码地址就填图片验证码地址

选择第三方识别引擎，点击识别，开始识别

---

使用工具：Burpsuite插件

下载地址：https://github.com/c0ny1/captcha-killer/releases/tag/0.1.2
burpsuite添加插件：

captcha-killer工具本身不具备识别验证码的能力，其主要是调用第三方接口来实现验证码
我这里用的是超级鹰验证码识别平台
https://gv7.me/articles/2019/burp-captcha-killer-usage/这篇写的不错，虽然不是超级鹰，但具体添加格式都很详细

超级鹰的验证码类型：http://www.chaojiying.com/price.html

接口url:http://upload.chaojiying.net:80

POST /Upload/Processing.php HTTP/1.1
Cache-Control: no-cache
Connection: Keep-Alive
Content-Type: application/x-www-form-urlencoded
Accept: */*
User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0)
Content-Length: 2915
Host: upload.chaojiying.net

user=这里填你的用户名&pass=你的密码&softid=你的软件KEY&codetype=验证码种类编号（官网上有）&file_base64=<@URLENCODE><@BASE64><@IMG_RAW></@IMG_RAW></@BASE64></@URLENCODE