登陆弱口令>>Fuzz技巧

今天心情很好，再来写一篇.  谈一些登陆弱口令fuzz的技巧，说不上很有技术，但挖了不少。

选中的案例来源去年11月份，具体挖洞过程参考

https://mp.weixin.qq.com/s/rGI1iXcfPBcD3Xmf0OHAMA

群里某位大师傅挖的，但他不够细，，不知道账号怎么来，说下这套系统，系统有两个排序注入，一个任意密码重置，一切的一切，只需要一个账号，一个普通账号。

一套系统其实有多种登陆方式，可以通过用户名登陆、手机号登陆、二维码登陆。所以，黑盒测试的时候单纯的top500测试说白了是很肤浅的！

  管理员账号可以是手机号也可以是用户名，也可以是系统序号， 也可以是一些测试账号，所以基于这几点做成的字典，

1. top500

2. top500中文名

3. top50管理员

4. top50管理员中文名

5. top20测试手机号

6. top100序号（1-20，100-120，1000-1100，11000-12000）

密码就是简单的123456、或者序号本身，黑盒字典的用途，

原文始发于微信公众号（Qaseem安全团队）：登陆弱口令>>Fuzz技巧