Brute Force

Brute Force

"Brute Force"(暴力破解)指的是一种通过尝试所有可能的组合来获取访问、解密或破解信息的攻击方法。这种攻击方法通常是基于暴力和不断尝试的,不依赖漏洞或弱点。通常用于破解密码、破坏系统或获取未经授权的访问权限。

Low

界面如下:

我们来看一下源码,这段代码使用了MD5进行密码哈希,极易破解。且将用户的输入(user passwd)直接插入到SQL查询中

随意输入,

打开burpsuite进行抓包

可以看出账户、密码的内容都是以明文的方式进行传输。

请求中的cookie包括" PHPSESSID"未进行加密,且没有任何身份验证机制。

所以我们可以进行各种用户名和密码的组合。

接下来在bp的中Intruder,我们选中需要爆破的内容,然后添加(这里只选中passwd)

我们加载一个txt文件,里面包含常见的弱口令 , 然后开始攻击

在爆破完成之后,我们需要确定哪一个是真正的用户名和密码,此时会有一个payload的长度异于其他payload, 我们用这个进行验证

验证 成功

Medium

medium的源码相较于low,分别对用户名和密码进行查询,在登陆失败后会执行sleep(2)函数休眠两秒,在这两秒内无法继续再尝试登陆,

和low中的操作相似,只不过等待时间会稍久一些。

High

在high的等级中,相较于medium,除了sleep随机在0-3秒,重点在于增加了对令牌的验证

所以我们要爆破的类型是交叉-多个payload集:可以指定多个有效载荷集合。每个有效载荷集合包含一组有效载荷,这些有效载荷将与其他集合中的有效载荷进行组合。

内容是 密码 + token 将其添加payload

在开始之前,设置一下,便于我们的请求中提取到token,以便为每个密码找到对应的token

在设置中的 检索-提取 > 添加 > 获取响应 双击value 记住这个值

接下来设置载荷 第一个 (这里第一个载荷的设置和low中一样)

第二个载荷设置 (这里的初始payload为之前的value的值)

递归提取载荷不能用多线程,我们将线程设置为1

这个payload长度与其他不同,

相关推荐
科技云报道6 小时前
2025全球数字经济大会—云智算安全论坛暨第三届“SecGo论坛”成功召开!共筑安全新生态
安全
群联云防护小杜9 小时前
构建分布式高防架构实现业务零中断
前端·网络·分布式·tcp/ip·安全·游戏·架构
独行soc10 小时前
2025年渗透测试面试题总结-2025年HW(护网面试) 33(题目+回答)
linux·科技·安全·网络安全·面试·职场和发展·护网
用户92724725021911 小时前
PHP+JS+CSS+JSON 单页新闻系统实现方案
php
花木偶11 小时前
【郑大二年级信安小学期】Day6:CTF密码学&杂项&工具包
安全·web安全·密码学
qq_3129201112 小时前
主机安全-开源HIDS字节跳动Elkeid使用
安全
Ashlee_code13 小时前
什么是Web3?金融解决方案
开发语言·金融·架构·eclipse·web3·区块链·php
Sally璐璐18 小时前
IPSAN 共享存储详解:架构、优化与落地实践指南
开发语言·php
黑客老李19 小时前
EDUSRC:智慧校园通用漏洞挖掘(涉校园解决方案商)
服务器·前端·网络·安全·web安全
玥轩_52119 小时前
BUUCTF [WUSTCTF2020]spaceclub 1
安全·网络安全·ctf·buuctf·ascii·spaceclub·wustctf2020