使用surpsuite进行爆破

Surp可以对抓到的http包的参数进行配置，从而进行用户名和密码进行爆破。

1  假如我们知道有admin这个用户

2 开启burp抓包，并登录上面的web，这里用户名密码设置为1111  2222，抓到的包如下

3 把包的内容拷贝到Intruder中

4 使用Intruder修改http包中的参数，用户名改为固定的admin，需要爆破的密码用$$把2222引起来，也就是告诉burp这个参数需要做单独的配置。

5 配置playload 密码字典 并点击Start attack进行爆破

6 挑选正确的回应，得到正确的密码

可以看到password的密码对应的response回应的大小和别的不一样，说明这个是正确的。