Burp Suite使用 之账号、密码爆破

1、被测系统多次输入错误的账号和密码后，没有弹出验证码，于是，开始爆破，Burp Suite和浏览器，分别设置本地代理。

2、登录被测系统，随便输入账号和密码，提交，通过Burp Suite拦截登录请求。

3、将请求包发送到intruder模块。

4、切换到intruder，首先点击，清除所有变量，然后选择要爆破的参数，点击添加变量，这里要对账号和密码进行爆破，所以选中这两个参数，分别添加变量，Attack type选择Cluster bomb。

 

5、切到Payloads页面对变量进行设置，首先对变量1进行设置。

6、对变量2进行设置。

7、点击开始爆破，查看爆破结果，根据Length很容易看到不一样的包。

8、根据得到的密码（加密后的），可以通过“碰撞”得到明文密码。

9，输入账户和密码，登录系统成功。