验证码识别工具——Pkav HTTP Fuzzer

 微信公众号:乌鸦安全

 

扫取二维码获取更多信息!

01 背景知识

在很多时候,当对搜集的Web后台地址等进行用户名和密码的暴力破解时,大部分后台都有验证码进行防护,对于一般的Burpsuite工具是无法直接识别验证码的,除非安装了识别验证码的插件,这次来介绍一款经典验证码暴力破解工具:Pkav HTTP Fuzzer

Pkav HTTP Fuzzer是一款非常优秀的验证码识别工具。

注:Pkav HTTP Fuzzer针对较清晰的数字验证码效果比较好

本次使用的是:Pkav HTTP Fuzzer 1.0.2.1

02 CMS环境搭建

CMS搭建环境:

windows7

phpstudy   php版本5.2.17

phpwms1.1.2GBK cms 源代码

在url中打开地址即可安装

http://10.211.55.9/phpwms1.1.2GBK/install/

验证码识别工具——Pkav HTTP Fuzzer_第1张图片

搭建之后即可进行入后台和前台页面

验证码识别工具——Pkav HTTP Fuzzer_第2张图片

03  自动识别

这里使用右键在新界面打开这个验证码

http://10.211.55.9/phpwms1.1.2GBK/include/chkcode.inc.php

验证码识别工具——Pkav HTTP Fuzzer_第3张图片

使用pkavhttpfuzzer这个工具来进行识别测试

首先还是需要使用bp抓一个包

验证码识别工具——Pkav HTTP Fuzzer_第4张图片

将内容传到pkavhttpfuzzer中去,分别添加标记

验证码识别工具——Pkav HTTP Fuzzer_第5张图片

到验证码识别模块,对识别范围和字符进行自定义

验证码识别工具——Pkav HTTP Fuzzer_第6张图片

当输入验证码正确,但是密码或账户信息错误的时候会返回

验证码识别工具——Pkav HTTP Fuzzer_第7张图片

当输入验证码错误的时候会返回

验证码识别工具——Pkav HTTP Fuzzer_第8张图片

因此在软件里面如下设置:

  • 设置无条件跟踪重定向,长度固定为4位

验证码识别工具——Pkav HTTP Fuzzer_第9张图片

  • 匹配规则中在正则表达式输入:用户名或密码不正确

验证码识别工具——Pkav HTTP Fuzzer_第10张图片

在重试规则中添加  验证码错误

验证码识别工具——Pkav HTTP Fuzzer_第11张图片

回到变体设置模块,添加一个外部字典

验证码识别工具——Pkav HTTP Fuzzer_第12张图片

直接在发包器进行测试(因为我本地测试的时候,返回长度总是0,所以这里换了一个进行测试)

验证码识别工具——Pkav HTTP Fuzzer_第13张图片

视频版本教程:

https://space.bilibili.com/29903122

也可以在B站搜索:crowsec

05  资料下载

在乌鸦安全公众号后台回复:验证码识别   可下载CMS和Pkav HTTP Fuzzer 1.0.2.1工具。

微信公众号:乌鸦安全

 

扫取二维码获取更多信息!

你可能感兴趣的:(工具,乌鸦安全,验证码,自动化,网络安全)