爆破奥义 |关于爆破中常见的那点事

admin

138635
文章

114
评论

2024年5月25日21:26:36评论33 views字数 1805阅读6分1秒阅读模式

0x01 含有验证码

现在大部分登录口都包含验证码，又或者是含有验证码，且凭证信息还是加密传输，关于加密爆破大家可以看我之前的文章，基于脚本和插件进行加密识别和加密爆破。

当然，更推荐大家可以去学习一下断点调试（后续有时间写几篇），因为脚本有些加密类型无法识别。文章链接如下，大家可以自行查看：

干就完了 | 一发即可识别并输出是何加密算法

你管它呢 | 凭证信息加密就不可以爆破了吗？

识别插件

关于验证码识别，目前最多的就是瞎跑、captcha-killer-modified，大家可以自行选择。但是在配置方面，瞎跑会相对而言比较简单，但瞎跑需要python3.6才可正常运行验证码识别服务端，本文以瞎跑为例进行演示。那么，两个插件的下载地址如下：

瞎跑

https://github.com/smxiazi/NEW_xp_CAPTCHA

captcha-killer-modified

https://github.com/f0ng/captcha-killer-modified

Python配置

目前而言，大家安装的Python大部分应该都是3.6以上的，那么此时我们需要多个Python版本共存，且可同时使用。

Python3.6下载地址：

https://www.python.org/ftp/python/3.6.6/python-3.6.6-amd64.exe

在安装时勾选此选项，会自动将路径添加至系统环境变量，无需后续自行配置：

如害怕不知或忘记Python安装路径，可选择此项，后续步骤可自行选择安装路径：

配置多个Python共存也很简单，比如我同时存在三个Python版本：

我们只需要进入对应的版本路径，将其中的python.exe进行更改，比如python3.9我们可以让他默认就为python.exe，而python3.6我们将它的python.exe更改为python36.exe，那么当你想要使用python36时，在cmd中运行Python36即可：

瞎跑环境安装

正如前面内容所说瞎跑需要使用python3.6，同时运行也需要一些特定python模块，安装命令如下：

python36 -m pip install requestspython36 -m pip install -i http://mirrors.aliyun.com/pypi/simple/ --trusted-host mirrors.aliyun.com muggle-ocrpython36 -m pip install ddddocr -i https://pypi.tuna.tsinghua.edu.cn/simple

瞎跑运行

Burp选择插件所在位置，进行添加安装：

安装后我们进入瞎跑的目录，输入命令运行服务端：

进入地址，可查看运行识别情况：

瞎跑配置

安装后，我们可以将选项都勾上：

接下来，我以正在测试的客户网站为例进行演示，复制验证码链接：

将验证码链接填入瞎跑，且我们可见瞎跑的多个位置存在不同编号，我们目前只操作一个站点，配置一个即可：

那么，瞎跑的第一个验证码识别位置编号为 @xiapao@1@ ,接下来我们抓取登录数据包，将其发送至爆破模块，将验证码内容的位置更改为 @xiapao@1@ 即可：

而后，也就是最重要的一点，我们必须将Burp爆破的线程设置为1，否则，会由于线程过快插件无法及时识别，导致准确率严重过低：

接下来，我们看下效果：

准确率大概在％85-90左右，还是没什么大毛病的。

0x02 IP限制

在测试时，我们经常会遇到锁定或者拉黑IP之类的限制。

如果识别的是代理IP而不是出口IP，我们可以尝试使用FakeIP插件：

https://github.com/TheKingOfDuck/burpFakeIP

登录请求包中加入参数，用于配置伪造IP内容：

X-Forwarded-For: 123

将伪造IP内容与用户名同时添加为爆破位置，选择第四个攻击类型：

在Burp中导入FakeIP插件，然后在爆破中的伪造IP位置，配置爆破类型，选择类型为插件扩展：

选择来自于FakeIP插件：

同时取消自动URL编码，否则IP中的点会被编码，导致无法被识别：

此时，我们再进行爆破即可：

0x03 内容载入Cookie

有时候我们会遇到一些类似如下提示：

此时我们只需要爆破的时候，删除数据包中的Cookie信息即可。

原文始发于微信公众号（犀利猪安全）：爆破奥义 | 今天来聊聊关于爆破中常见的那点事

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。

左青龙
微信扫一扫

右白虎
微信扫一扫

爆破奥义 |关于爆破中常见的那点事

Web3 安全入门避坑指南｜剪贴板安全

利用n8n结合ollama-Deepseek大模型创建智能体

如何利用图像验证技术识别钓鱼攻击？

Webshell免杀思路-PHP篇-1：经典混淆的艺术

CimFS：内存崩溃，查找系统（内核版）

Astral-PE 是用于本机 Windows PE 文件（x32/x64）的低级变异器（Headers/EP 混淆器）

【通俗易懂说AI】MCP如何安装以及使用

深入解析 URL 跳转漏洞：审计方法与渗透实战全攻略

记一次前端js加解密泄露引发的漏洞

一文吃透文件上传漏洞！路径遍历、后缀绕过、ZIP炸弹全解析

发表评论

在线咨询

微信