使用Burp Suite对登录页面进行字典攻击

一旦获得了目标应用程序的有效用户名列表，就可以尝试爆破攻击，爆破攻击过程中会尝试密码所有可能的字符组合，直到找到有效的密码。

考虑到大量的字符组合以及客户端和服务器之间的响应时间，因此暴力攻击在Web应用程序中是不可行的。
一个更现实的解决方案是字典攻击，它采用一个简化的高可能性密码列表，并使用有效的用户名进行尝试。 在本文中，将使用BurpSuite
Intruder尝试对登录页面进行字典攻击。

将使用WackoPicko admin section login来进行此次攻击实验：

1. 开启OWASP BVWA靶场或者使用phpVstudy搭建dvwa靶场

可参照我该篇作品搭建： https://blog.csdn.net/xiaoma920/article/details/130915003?spm=1001.2014.3001.5502

2. 在kali linux中开启Burp Suite

这个实验可以使用kali linux中的Burp Suite Community版本来做，也可以使用windows 10系统下的Burp Suite Professional来做。

3. 打开Burp Suite设置代理

（1）将burpsuite设置为代理工作模式

（2）配置FireFox浏览器使用burpsuite代理

右上角设置滑动到最下方

4.开始密码爆破

（1）输入用户名（假设知道用户名为admin）和密码（不知道，输入任意字符串，如000000），使用burpsuite拦截。

（2）在burpsuite截获的数据包中标记密码的位置

选中&password=00000 的00000添加￥

（3）选择payload的类型，加载密码字典文件wordlist.txt

扫描速度太慢，建议将字典文件中前1800删除！

（4）启动攻击：在菜单Intruder选择Start atack

（5）在扫描结果中找到密码（一般按照Status或者Length大小排序，就可以判断出哪个是密码）

还有更精确的做法！

如登录成功，界面下方会出现“login success”；登录失败则不会。我们可以尝试判断每一个Response中是否包含“login success”，如果包含表示成功，否则表示失败。

1. 添加筛选

2. 然后选择攻击方式

3. 开始攻击出现新的行列

尝试登录发现两种密码都是可行的

总结

使用Burp Suite对登录页面进行字典攻击的大致步骤如下：

1.打开Burp Suite，设置代理服务器为127.0.0.1:8080，确保Intercept on。
2.打开浏览器，设置代理服务器为127.0.0.1:8080，访问目标登录页面。
3.在登录页面随便输入一个用户名和密码，点击登录，此时Burp Suite会截获请求包。
4.在Burp Suite中，右键点击请求包，选择Send to Intruder，进入Intruder模块。
5.在Positions标签下，选择要爆破的参数（如用户名和密码），设置为$符号包围，如admin。
6.在Payloads标签下，选择Payload type为Simple list，点击Load载入字典文件，或者选择Numbers类型生成数字字典。
7.点击Start attack开始爆破，观察返回包的长度、状态码、响应时间等特征，找出正确的用户名和密码组合。

相关命令参数

命令	解释
Intruder	用于对目标应用程序执行自动化攻击
Target	在此功能中，您可以指定要攻击的目标，包括URL、请求和响应数据，以及Cookie、标头和参数
Positions	此功能允许您指定攻击的位置。例如，在URL中，您可以指定查询字符串；在请求正文中，您可以指定参数。您还可以使用标记来指定位置
Payloads	在这个功能中，您可以定义要发送给目标的攻击负载。这可以是字典、文件或其他格式。之后，Intruder将使用这些负载来发送攻击请求
Resource Pool	此功能显示响应结果。您可以使用它来分析攻击结果并查看攻击的成功率。
Options	在此功能中，您可以设置攻击的各种选项，例如负载编号、并发连接数和延迟时间等

学习心得

Burp Suite是一款非常强大和实用的Web渗透测试工具，可以帮助我们发现和利用Web应用程序的漏洞和弱点。 Burp
Intruder是Burp Suite中最常用的工具之一，可以对Web应用程序进行各种类型的自动化攻击，如暴力破解、模糊测试、参数枚举等。
使用Burp
Intruder进行字典攻击时，需要注意选择合适的攻击类型、标记好待替换的参数、设置好负载集合，并根据服务器返回的信息判断攻击结果。
使用Burp
Intruder进行字典攻击时，也需要注意遵守法律法规和道德规范，只对授权或自己搭建的目标进行测试，不要对他人或公共服务造成不必要的麻烦或损害。

使用Burp Suite对登录页面进行字典攻击相关推荐

1. burp suite爆破模式操作心得

   Burp suite爆破模式操作心得 功能介绍 攻击模式 token验证 验证码绕过 加密验证 功能介绍 BP 工具的 Intruder 模块包含 5 个功能标签: Target 用于指定待攻击的目标 ...

2. 关于使用burp suite后访问https页面出现“建立安全连接失败”问题的解决方法

   因为有部分同好出现这个问题但不知道如何解决,所以在这里写了个详细步骤供参考: 1.在burp suite中导出证书 2.导出证书的选项按照需求选择即可: 3.这里填写保存的文件信息: 4.在浏览器中找 ...

3. Burp Suite使用介绍（一）

   转自:https://www.cnblogs.com/h4ck0ne/p/5154617.html Burp Suite 是用于攻击web 应用程序的集成平台.它包含了许多工具,并为这些工具设计了许多 ...

4. 学习笔记-Burp Suite

   Burp Suite 免责声明 本文档仅供学习和研究使用,请勿使用文中的技术源码用于非法用途,任何人造成的任何负面影响,与本人无关. 简介 Burp Suite 是进行 Web 应用安全测试的一个集成 ...

5. 信息安全技术实验：利用 burp suite破解 web 后台

   信息安全技术实验:利用 burp suite破解 web 后台 一.实验目的 二.实验内容与设计思想 三.实验使用环境 四.实验步骤和调试过程 五.实验小结 一.实验目的 1． 理解网站暴力破解的原理 ...

6. Burp Suite的使用（常用模块）

   目录 1.Dashboard模块 2.Target模块 3.Proxy模块(核心模块) (1)Forward (2)Drop (3)Action 4.Intruder模块 (1)Target (2)P ...

7. 基于burp suite进行暴力破解密码

   一.对Burp intruder的简介 Burp Intruder是一个强大的工具,用于自动对Web应用程序自定义的攻击,Burp Intruder 是高度可配置的,并被用来在广范围内进行自动化攻击. ...

8. Burp Suite的基本介绍及使用

   Burp Suite基本介绍 Burp Suite 是用于攻击web 应用程序的集成平台.它包含了许多工具,并为这些工具设计了许多接口,以促进加快攻击应用程序的过程. 所有的工具都共享一个能处理并显示 ...

9. Burp Suite中Intruder模块的使用详解

   Burp Suite中Intruder模块的使用详解 Intruder(入侵者) Target(目标) Attack Target Positions(位置) Payload Positions Pa ...

最新文章

1. Dockerfile文件命令详解
2. jittor和pytorch生成网络对比之gan
3. .net函数查询_数据分析-SQL-复杂查询
4. centos下配置vsftpd
5. 与敏捷团队一起交付价值
6. 并发编程中，你加的锁未必安全
7. 【Flink】运行Flink 1.6.2 程序偶然报错 Premature end of GET request
8. 电商设计提升水平，需要优秀的模板素材进行临摹练习！
9. 15个优秀的第三方 Web 技术集成
10. postman高级用法--断言（Response body:JSON value check）
11. swagger2常用注解
12. 【GIS教程】土地利用转移矩阵、土地利用面积变化
13. 基础集合论 第一章 7 交集 8 差集
14. scala练习——fold函数
15. 《横向领导力》-简述
16. 自学软件测试怎么样，有前景吗？
17. 有趣的手机壁纸——水印壁纸
18. python编程课程是骗人的吧_在朋友圈买下编程课，你上的是Python还是成功学
19. 正宇丨做事，要“借力”，不要“尽力”
20. HTML实体字符、ASCII码、URLEncoder、Base64、MD5

热门文章

1. PMP中文报名注意事项
2. 雷达图像中地物目标的极化信息
3. 计算机键盘桌滑道原理,电脑桌键盘滑道组装办法,办公桌下面的键盘托怎么安装...
4. catia如何将曲面加厚变为实体_catia中如何将封闭曲面做成实体？
5. 使用Betaflight Configurator飞控刷写固件时各步骤的含义
6. php60进制,60进制(60进制计数器)
7. 子集生成(二进制法,逐步生成,递归增量)
8. FPGrowth 关联规则
9. “变速齿轮”研究手记 1
10. STM32 TM1637驱动数码管 IIC通信