使用 Burpsuite 暴力破解网站登录页面

admin 2024年12月24日10:43:38评论5 views字数 2346阅读7分49秒阅读模式

此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等(包括但不限于)进行检测或维护参考,未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失,均由使用者本人负责。本文所提供的工具仅用于学习,禁止用于其他!!!

大家好!这是使用 Burp Suite 进行暴力攻击的新手指南。在本文中,我们演示了对 Web 应用程序“DVWA”的登录页面暴力攻击。

暴力攻击简介

暴力破解在网络渗透测试中起着至关重要的作用,因为它是通过计算生成用户名或密码的所有可能组合来检查正确的用户名或密码来访问网站或服务器的最简单方法。

例如,您有 3 位 PIN 码用于登录帐户,但是当您忘记 PIN 码时,您将尝试不同的值,直到找到正确的匹配值来解锁帐户。

暴力攻击的载体

  • 使用默认登录凭据,例如 admin:admin 或 admin:password
  • 弱密码或 PIN,例如 123
  • 出生日期或姓名,例如 raj:1111

根据互联网安全,8 个字母被视为密码最短长度的标准数字,因为猜出复杂密码的概率要大得多。出于这个原因,有许多软件和脚本通过生成单词表或字典来减少猜测密码或 PIN 的手动工作量。

什么是单词表或词典?

单词表或字典是单词的集合,在进行暴力攻击时非常有用。有几种工具可以让你生成自己的字典,供你在暴力攻击中使用。

阅读以下文章,了解有关单词表生成工具的更多信息

Crunch Tool 综合指南

Pydictor 综合指南 – 一个单词列表生成工具

Cupp 综合指南 – 单词表生成工具

实验室设置要求

目标:DVWA(从这里阅读)

攻击工具:已安装 Burp Suite(任何平台 Windows/Kali Linux)

使用狙击手攻击暴力破解密码

Burp Suite:  Burp Suite 是一个用于执行 Web 应用程序安全测试的集成平台。其各种工具无缝协作,支持整个测试过程,从初始映射和分析应用程序的攻击面,到查找和利用安全漏洞。

Burp 为您提供完全控制权,让您将先进的手动技术与最先进的自动化相结合,让您的工作更快、更有效、更有趣。重要的是,它为我们提供了另一种管理攻击的方法,作为 Metasploit 的替代方案。

  • 为了使 Burp Suite 正常工作,首先,我们必须打开手动代理,然后转到设置并选择 
  • 然后选择高级选项,进一步转到 网络, 然后选择 设置
  • 现在,选择手动代理配置。
使用 Burpsuite 暴力破解网站登录页面

另一方面,现在打开 DVWA 并使用其默认用户名和密码登录。登录后,单击“暴力破解”。同时确保安全性为低或中等。单击“暴力破解”时,它会询问您登录的用户名和密码。现在假设您不知道登录帐户的密码。

要进行暴力攻击,首先您需要输入随机密码,然后使用 burp suite 拦截浏览器请求,如下一步所述。

使用 Burpsuite 暴力破解网站登录页面

现在打开 burp suite 并选择 “代理” 选项卡,然后单击 “拦截开/关” 选项卡来打开拦截。

然后返回 DVWA-Brute Force 页面并单击登录选项卡。

正如您所看到的,我们已经成功拦截了浏览器请求。

使用 Burpsuite 暴力破解网站登录页面

通过右键单击空间并选择“发送给入侵者”选项或直接按Ctrl + i ,将捕获的数据发送给入侵者

然后选择“职位”选项卡并按照以下步骤操作:

  • 选择攻击类型为狙击手。
  • 单击清除选项卡可取消选择所选区域。
使用 Burpsuite 暴力破解网站登录页面
现在选择一个密码,如下图所示,然后单击
添加选项
使用 Burpsuite 暴力破解网站登录页面

在上图中,我们选择了一个密码,这意味着我们需要一个用于存储用户名密码的字典文件。我已经准备好创建一个 password.txt 字典,但您可以根据自己的情况创建自己的字典。

现在,转到 Payloads 选项卡 ,然后  从 Payload 集中 选择1(此“1”表示密码文件)。然后单击 “加载” 按钮并 浏览并选择 密码字典文件。

使用 Burpsuite 暴力破解网站登录页面

现在您要做的就是进入入侵者菜单 并选择 开始攻击 来发起暴力攻击。

坐下来放松一下,因为现在 burp 套件将完成其工作并匹配用户名和密码,并为给定的用户名提供正确的密码。

一旦找到正确的值,它的长度值就会更大,如下所示:

使用 Burpsuite 暴力破解网站登录页面

使用集束炸弹攻击暴力破解用户名和密码

在上面的场景中,您看到,当我们知道用户名时,我们能够多么轻松地猜出正确的密码。但是当您什么都不知道,既不知道用户名也不知道密码时,您会怎么做? 

所以面对这种情况时不要焦虑,因为 Burp suite 有很多选项可以在各种情况下发起暴力攻击,类似地,“集束炸弹”是一种攻击类型,它可以帮助我们同时暴力破解用户名和密码文件。

现在再次重复上述步骤来捕获浏览器请求,这次输入随机凭证,并且不要忘记在点击登录选项卡之前配置 burp suite 设置。

使用 Burpsuite 暴力破解网站登录页面
您可以观察到,我们成功拦截了浏览器请求,然后将捕获的数据发送给入侵
使用 Burpsuite 暴力破解网站登录页面

然后选择“职位”选项卡并按照以下步骤操作:

  • 选择攻击类型为“集束炸弹”。
  • 单击清除选项卡可取消选择所选区域。
  • 然后选择用户名和密码,如下图所示,然后单击添加
使用 Burpsuite 暴力破解网站登录页面

由于上述情况下我们对单个密码字段进行了暴力攻击,因此,我们上传了一本用于猜测正确密码的字典,但我们选择了两个有效载荷位置,因此,我们分别上传了用户名和密码的两个字典。

因此将有效载荷 1 与简单列表一起设置为有效载荷类型并上传用户名单词表。

使用 Burpsuite 暴力破解网站登录页面
并将有效载荷 2 与简单列表一起设置为有效载荷类型并上传密码单词表。
使用 Burpsuite 暴力破解网站登录页面

现在您要做的就是进入入侵者菜单 并选择 开始攻击 来发起暴力攻击。

坐下来放松,因为现在 burp 套件将完成其工作并匹配用户名和密码并为您提供正确的用户名和密码。

一旦找到正确的值,它的长度值就会更大,如下所示:

使用 Burpsuite 暴力破解网站登录页面
使用 Burpsuite 暴力破解网站登录页面

在本文中,我们使用 Burp Suite 对 Web 应用程序进行暴力破解,但还有许多其他著名的渗透测试工具在暴力攻击中非常有用。您可以按照下面给出的链接阅读相关文章。

Medusa 综合指南 – 一款暴力破解工具

Hydra 综合指南 – 暴力破解工具

原文始发于微信公众号(三沐数安):使用 Burpsuite 暴力破解网站登录页面

免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年12月24日10:43:38
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   使用 Burpsuite 暴力破解网站登录页面http://cn-sec.com/archives/3546309.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉.

发表评论

匿名网友 填写信息