一、准备：

1，靶场：个人选择DVWA。
2，工具：Burp Suite。
3，密码字典。

二、开搞！：

注：任何未经授权的渗透测试皆为违法，本文仅供学习，维护网络安全人人有责。

一、打开dvwa暴力破解页面：

二，随便输入用户名和密码：

返回：“用户名或密码错误”，这里有个小技巧，有的网站会返回“用户名不存在”和“密码错误”，也就是说用户名输入错误时和密码输入错误时返回的不一样，这种能够方便用户更改输入的用户名或密码，也方便了黑客，可以先爆破用户名，再爆破密码，大大减少爆破的工作量。

三、打开burp，浏览器把流量转发到burp。

浏览器设置代理，转发流量给burp：

burp打开拦截，并再次往登录界面随便输入用户名和密码会抓到如下包：

四、转发到测试器，设置爆破点

快捷键ctrl+i，将包转发给测试器，并按照顺序，先清除所有，再选择要爆破的地方进行添加。

五、选择攻击类型

因为用户名和密码都不知道，所以攻击类型选择集束炸弹：

四种攻击类型解释：
一：狙击手：有效负载集只能选择一个，添加了一个参数，且假设payload有250个，那么就会执行250次。. 添加了两个参数，就会挨着来，第一个参数开始爆破时，第二个不变，如此这样，会进行250+250此 总共500次爆破。
二：破城槌：和狙击手差不多，有效负载集只能选择一个，一个参数的话都一样，只不过如果添加了两个参数的话，就一快进行爆破，那么就只会进行250次爆破。
三：   音叉：两个或两个以上payload中行数对应破解。列：lie1：[1，2]lie2：[1，2]那麽将会以（1，1）、（2，2）进行破解。
四：集束炸弹：同pitchfork，起码两个参数，但此操作会计算两个的payload 的积。列：lie1：[1，2，3]lie2：[4，5，6]那么第一次爆破为 1，4第二次为1，5以此类推 1，62，42，5.。。。。。。

六、选择字典

有效载荷类型选择运行时文件，然后文件选择你的字典。

需要注意我们设置了两个地方需要爆破，所以另一个我们也要设置一下，办法相同：

七、延时爆破

点击resource pool，创建资源池

名称自行设置，最大并发请求数为同时发送最大请求的数量，越少时间越长，越安全，对你对服务器都是，请求之间的权重为每次同时发送请求之间所搁时间（单位毫秒ms）
三个小选项：
第一个为固定时间间隔发送
第二个为发送时间随机变化
第三个为发送时间递增变化（单位ms）

八、一切准备完毕，开始爆破

点击右上角开始攻击，将自动开始暴力破解，并弹出进度页面：

正在暴力破解，低下为进度条。

完成后，我们点击长度，会发现有一条长度和其他的不一样，没错，这就是我们爆破出的账户和密码，现在我们拿到dvwa去测试。

九、测试

将我们得到的账户名和密码放到dvwa中进行测试，发现登录成功，结束！

Burp Suite暴力破解网站密码相关推荐

Burp suite 暴力破解shell密码详细教程
http://www.yunsec.net/a/security/web/jbst/2012/0908/11390.html Burp suite是由portswigger开发的一套用于Web渗透测 ...
burp suite暴力破解
burp suite暴力破解预备知识 Burp的工作模式暴力破解实验环境实验步骤实验目标步骤实际演练预备知识 Burp的工作模式在没有burp之前,客户端使用浏览器直接与服务器进行通 ...
网络安全入门之 Burp Suite 暴力破解 DVWA Brute Force Low
文章目录 1. 背景 2. 准备工作 2.1. 靶场环境 2.2. 安装破解工具 3. 破解过程 3.1. 代理请求 3.2. 拦截请求 3.3. 填装弹药 3.4. 设置岗哨 3.5. 开始攻击 4 ...
使用burp进行暴力破解 ——合天网安实验室学习笔记
实验链接通过该实验掌握burp的配置方法和相关模块的使用方法,对一个虚拟网站使用burp进行暴力破解来使网站建设者从攻击者的角度去分析和避免问题,以此加强网站安全. 链接:http://www.he ...
使用burp进行暴力破解
1.在没有burp之前,客户端使用浏览器直接与服务器进行通信.有了burp之后,burp在客户端与服务器之间充当代理.这样,浏览器发送给服务器的请求就会被burp进行捕获,而burp和wireshar ...
1、使用BurpSuite暴力破解登录密码
1.使用BurpSuite暴力破解登录密码 1.环境准备 1.1 PC端设置BurpSuite设置代理 1.2.靶机环境 2.密码破解漏洞 2.1.漏洞简介 2.2.常见应对策略 2.2.1.强密码策 ...
如何在Windows平台用Java代码暴力破解WIFI密码
开始进入正题.在网上找了很多wifi破解工具,都是linux平台下用的,然后还不支持虚拟机装linux.因为很多笔记本装虚拟机都识别不了内置网卡.所以得把系统刻到U盘,然后用U盘启动.但是我现在穷得连 ...
使用Medusa美杜莎暴力破解SSH密码
使用Medusa美杜莎暴力破解SSH密码 1.Medusa简介 Medusa(美杜莎)是一个速度快,支持大规模并行,模块化的爆力破解工具.可以同时对多个主机,用户或密码执行强力测试.Medusa和hy ...
Kali使用Aircrack-ng进行暴力破解WIFI密码
Kali系统使用Aircrack-ng进行暴力破解WIFI密码一.什么是Aircrack-ng 运行环境插入网卡设备二.破解流程 1.进入管理员模式 2.查看网卡信息 3.杀掉冲突进程 4.查看 ...
暴力破解登录密码（登录批量发包）
除了Fortify和Appscan之外,公司还有使用Burp Suit工具对项目代码进行安全测试,例如会对项目进行暴力破解登录密码(登录批量发包),而项目中确实存在该漏洞,现已修复,在这里做总结如下 ...

Burp Suite暴力破解网站密码