Security ❀ Brute Force 暴力破解密码
Posted 国家级干饭型选手°
tags:
篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了Security ❀ Brute Force 暴力破解密码相关的知识，希望对你有一定的参考价值。
注意：暴力破解与DVWA安全等级无关！
1、登录成功与失败的页面区别
登录成功页面；
登录失败页面；
2、下载Burpsuite
自动跳转Burp下载链接
下载社区版本即可，社区版支持免费下载，安装为一般Windows软件；
3、使用Burpsuite进行暴力破解（其他攻击软件均可）
打开浏览器代理，并定义代理IP为127.0.0.1:8080；
登录页面，随便输入一个密码点击发送，Burpsuite自动抓取http请求包；
请求包内容如下，将此包发送至[intruder]模块，可以使用快捷键ctrl+I，鼠标放至数据包内点击右键即可查看到菜单栏选项；
进入[intruder]模块,首先清理所有变量；
将密码设置为单独变量；
配置载荷，进行爆破；
下发爆破任务，查看结果，登录失败与登录成功响应包长度不同，由于第一节可以看出，成功的页面比失败页面多一个图片，大小略大，因此password为正确密码；
查看响应包验证密码是否正确；
以上是关于Security ❀ Brute Force 暴力破解密码的主要内容，如果未能解决你的问题，请参考以下文章
Lab: 2FA bypass using a brute-force attack：暴力破解双重验证靶场复盘（困难级别）
Lab: Broken brute-force protection, multiple credentials per request：以多个身份凭据破坏暴力保护靶场链接
Lab: Password brute-force via password change 通过暴力破解获取密码靶场复盘