暴力破解【验证码绕过、token防爆破】靶场实验

文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与学习之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。

一、BurpSuite简介

爆破工具Burp Suite是用于攻击web应用程序的集成平台，包含许多工具，并为这些工具设计了很多接口，促进加快攻击应用程序的过程。所有工具都共享一个强大、可扩展的框架，处理并显示HTTP消息。

暴力破解主要使用Intruder模块，该模块用于自动对Web应用程序自定义的攻击，可以使用Intruder方便地执行许多任务，可用于缺陷测试：SQL注入，跨站点脚本，路径遍历、暴力攻击认证系统、操纵参数、拖出隐藏的内容和功能、数据挖掘、并发攻击、应用层的拒绝服务式攻击等。 

Intruder爆破模块主要由4个模块组成:1、Target：用于配置目标服务器进行攻击的详细信息；2、Positions：设置Payloads的插入点和攻击类型(攻击模式)；3、Payloads：设置payload，配置字典4、Options：收发包细节，发包速度、记录是否保存，发包后是否要更新请求头、主动声明请求连接已关闭、记录匹配到的数据等。 

二、暴力破解【验证码绕过、token防爆破】靶场实验

暴力破解可分为4类：简单的暴力破解、前端JS检测验证码、后端服务器检测验证码和Token防爆破检测。第一类在《认证崩溃(中)之暴力破解和靶场实验一》已分享过了。本文分享剩下的3类，还以pikachu靶场为例。使用火狐浏览器开启burp，在验证过程BurpSuite开启拦截器。

1、基于表单的暴力破解

详细破解过程请参考《认证崩溃(中)之暴力破解和靶场实验一》

2、验证码绕过(on server)

使用burpsuite抓包，使用repeater进行请求验证，验证码在服务端是否有验证正确性，验证完是否做清除，发现在服务端有验证验证码的正确性，但正确的验证码未做清除动作，可持续使用。

2.4、BurpSuite发送Intruder

在BurpSuite拦截到的信息右击选择Send to Intruder，在Intruder tab下的Positons，清除默认指定的参数点，重新设置并指定攻击类型

2.7、web端登录验证

注意：火狐浏览器关闭burp代理，输入上一步破解的用户名和密码登录，验证可用。

3、验证码绕过(on client)

故意输入错的验证码，发现页面出现弹窗信息，并没有发起提交请求动作，输入正确的验证码才有发请求动作。

右击：查看页面源码，搜索关键字：Please Enter Your Information，在form表单的onsubmit="return validate();"，找到validate();方法代码

<script language="javascript" type="text/javascript">
    var code; //在全局 定义验证码
    function createCode() {
        code = "";
        var codeLength = 5;//验证码的长度
        var checkCode = document.getElementById("checkCode");
        var selectChar = new Array(0, 1, 2, 3, 4, 5, 6, 7, 8, 9,'A','B','C','D','E','F','G','H','I','J','K','L','M','N','O','P','Q','R','S','T','U','V','W','X','Y','Z');//所有候选组成验证码的字符，当然也可以用中文的

        for (var i = 0; i < codeLength; i++) {
            var charIndex = Math.floor(Math.random() * 36);
            code += selectChar[charIndex];
        }
        //alert(code);
        if (checkCode) {
            checkCode.className = "code";
            checkCode.value = code;
        }
    }

    function validate() {
        var inputCode = document.querySelector('#bf_client .vcode').value;
        if (inputCode.length <= 0) {
            alert("请输入验证码！");
            return false;
        } else if (inputCode != code) {
            alert("验证码输入错误！");
            createCode();//刷新验证码
            return false;
        }
        else {
            return true;
        }
    }

    createCode();
</script>

从validate()方法看出验证码是在前端生成，验证也是在前端，提交时验证不通过，直接不发起post请求。

因此破解是跟【1、基于表单的暴力破解】是一样的。

参考1、基于表单的暴力破解 即可

4、token防爆破

先界面随便输入用户名和密码，点按钮提交，看请求参数，发现参数有一个token。

刷新页面，右击：查看页面源码，搜索关键字：Please Enter Your Information，看到form内容里面有一个input标签，type=hidden，value有一串数字，页面一刷新就不一样。

接下来参考【2、验证码绕过(on server)】，先使用burpsuite抓包，使用repeater进行请求验证，token在服务端是否有验证正确性，验证完是否做清除，发现在服务端有验证token的正确性，但正确的token也有做清除动作，无法持续使用，必须每次重新获取。

参考步骤2.4、BurpSuite发送Repeater

在BurpSuite拦截到的信息右击选择Send to Intruder，在Intruder tab下的Positons，清除默认指定的参数点，重新设置并指定攻击类型

攻击类型选择：Pitchfork，假设已经知晓用户名， 设置password和token为爆破点进行标记  

4.4.1、设置payload

设置密码本，点击payload，选择第一项的密码本与低等级的相同；第二项的时候选择Recursive grep 递归查找并且把之前得到的token值粘贴到下方的方框中。 

4.4.2、设置Options-正则抽取

在options中的grep-extract中打勾，点击add添加过滤条件点击refetch response找到响应包中的token 选中复制token值点击确定  

4.4.3、设置Options-重定向

重定向设置成：always总是 ，用于动态获取token，下次请求的参数值

4.4.4、设置Resource Pool

★★注意★★：线程一定要设置为1，因为需要从响应里面的取token用于下一次请求的参数值。

注意：火狐浏览器关闭burp代理，输入上一步破解的密码登录，验证可用。

三、资料获取

Burp Suite工具之前已提供过了，如需要请关注我的公众号：大象只为你，回复：【BP安装】获取。

靶场环境搭建请参考《靶场环境搭建【XP、pikachu、dvwa、sqli-labs】》

原文始发于微信公众号（实战安全研究）：暴力破解【验证码绕过、token防爆破】靶场实验