请选择 进入手机版 | 继续访问电脑版

SSS安全论坛

 找回密码
 立即注册

QQ登录

只需一步,快速开始

产品
产品
团队
团队
版规
版规
查看: 4460|回复: 58

burp suite进行http basic认证的暴力破解

  [复制链接]
  • TA的每日心情
    擦汗
    前天 12:08
  • 签到天数: 261 天

    [LV.8]以坛为家I

    发表于 2015-10-15 20:51:53 | 显示全部楼层 |阅读模式
    本帖最后由 sinver 于 2015-10-15 20:56 编辑

    在安全测试中,经常需要暴力破解密码或者验证码,以前我一般都是自己直接用别人写的工具添加字典进行操作。现在有了burp suite神器,一切都自动化了。
    今天开始练习dvwa的时候,第一个就是暴力破解。
    burp suite是基于浏览器代理工作的,首先要看burp suit监听的端口并在浏览器上设置代理

    首先还是设置代理拦截请求,然后send to intruder,因为http basic认证是base64编码的,所以payload的地方选择编码部分就好了.

    111.png

    222.png

    然后Payload type选择Custom iterator

    333.png

    然后下面的Payload Options里面的Position先选择1,也就是第一个字段,因为http basic认证是[size=12.9999799728394px]用户名:密码的形式,所以第一个字段就是用户名了。我已经确定用户名是admin或者root了,手工填在下面就好了。下面的Separator for position1里面填写冒号:


    444.png
    接着上面来,Position选择2,这个字段就是密码了,可以选择已有的字典,我选择了short passwords。


    555.png






    然后在下面的Payload Processing中点add,然后分别选择Encode和Base64-encode,确认就好了。


    666.png


    因为base64编码中可能出现等号,取消下面的Payload Encoding的勾选。
    切换到Options tab,这里面就是一些配置项,比如线程数,这个不建议太大了,都则容易把对方服务器玩死的,ip也容易被封了。怎么判断密码是否是正确的呢,暂时只能通过http code来判断,密码错误是401,正确就是200。Grep - Math全部清空,然后输入200,取消勾选Exclude HTTP headers就行了,因为这个200就是在http头里面的。

    然后开始攻击就好了~
    至于是否成功那就要看运气了...有时候字典强大也是成功了一半!

    刚95zz说上篇写的不够详细,那我就刚刚搭建了环境重新又写了这篇文章.如果这篇还是看不明白的话,我只想说:

    骚年:
    赶紧加入SSS培训班吧,精彩的内容等你来学习!骚年,删了LOL,拿起你的鼠标,跟我们一起拯救世界!




    下面是彩蛋,一般人我不告诉他:
    游客,如果您要查看本帖隐藏内容请回复




    评分

    参与人数 1下载币 +2 收起 理由
    95zz + 2 广告太多了,骚年!!

    查看全部评分

    回复

    使用道具 举报

  • TA的每日心情
    开心
    2017-1-12 22:50
  • 签到天数: 129 天

    [LV.7]常住居民III

    发表于 2015-10-15 21:41:23 | 显示全部楼层
    我来看看彩蛋
  • TA的每日心情

    12 小时前
  • 签到天数: 326 天

    [LV.8]以坛为家I

    发表于 2015-10-15 21:43:44 | 显示全部楼层
    一般人我不告诉他
  • TA的每日心情

    2015-11-25 00:04
  • 签到天数: 85 天

    [LV.6]常住居民II

    发表于 2015-10-15 21:48:38 | 显示全部楼层
    必须学习了,顶
  • TA的每日心情

    11 小时前
  • 签到天数: 422 天

    [LV.9]以坛为家II

    发表于 2015-10-16 00:21:45 | 显示全部楼层
    我要看彩蛋彩蛋彩蛋彩蛋彩蛋彩蛋
  • TA的每日心情
    擦汗
    2015-11-25 05:06
  • 签到天数: 24 天

    [LV.4]偶尔看看III

    发表于 2015-10-16 02:06:36 | 显示全部楼层
    彩蛋菜单彩弹彩旦。。。当然还是要想筒子学习,谢谢
  • TA的每日心情
    奋斗
    2016-12-24 18:41
  • 签到天数: 94 天

    [LV.6]常住居民II

    发表于 2015-10-16 03:13:53 | 显示全部楼层
    我要看看彩蛋
  • TA的每日心情
    擦汗
    17 小时前
  • 签到天数: 278 天

    [LV.8]以坛为家I

    发表于 2015-10-16 06:32:42 | 显示全部楼层
    骚年你要被打
  • TA的每日心情
    开心
    2016-11-17 19:54
  • 签到天数: 75 天

    [LV.6]常住居民II

    发表于 2015-10-16 09:43:00 | 显示全部楼层
    貌似好厉害的样子,来看看~~~
  • TA的每日心情
    无聊
    2016-12-7 14:43
  • 签到天数: 142 天

    [LV.7]常住居民III

    发表于 2015-10-16 09:50:43 | 显示全部楼层
    吹牛哦啊啊
    您需要登录后才可以回帖 登录 | 立即注册

    本版积分规则

    关闭

    站长推荐上一条 /1 下一条

    关注微信赢邀请码

    QQ|Archiver|手机版|网站地图|网页地图|SSS安全论坛 ( 黔ICP备15010987号  

    GMT+8, 2017-1-22 20:24 , Processed in 0.188467 second(s), 36 queries .

    Powered by SSS团队 X3.2

    © 2014-2015 Comsenz Inc.

    快速回复 返回顶部 返回列表