1. 项目概述从零到一的实战密码爆破很多刚入门安全测试的朋友手里握着BurpSuite社区版总觉得它像一把没开刃的刀看着专业版那些炫酷的自动化扫描、爬虫功能直流口水却不知道如何用社区版这把“基础款”真正挖到第一个漏洞。其实社区版的核心拦截、重放、爆破功能一个不少完全足够我们完成一次经典的、手动的漏洞挖掘实战。今天我就以一个最常见的“密码爆破”场景为例带你走一遍完整的流程目标不是用多高级的工具而是让你理解漏洞挖掘背后的“猎人思维”——如何观察、如何试探、如何一击即中。密码爆破或者说弱口令猜解听起来技术含量不高但它却是渗透测试中最高频、最有效的突破口之一。很多系统在前端做了华丽的验证码和复杂度提示后端却对登录逻辑疏于防护。通过BurpSuite我们可以将手工尝试变成自动化、批量的测试极大提升效率。这次实战我们假设目标是一个存在弱口令漏洞的Web登录接口为符合安全规范所有演示均在授权测试环境或本地搭建的漏洞靶场如DVWA、Pikachu中进行。你将学到的不只是点击哪个按钮而是为什么这里要这样设置遇到各种情况该如何调整思路。2. 环境准备与目标分析2.1 BurpSuite社区版的“正确打开方式”首先别被“社区版”限制住。它缺少的是高级自动化但手动测试所需的“心脏”——Proxy代理、Repeater重放器、Intruder入侵者即爆破模块、Decoder解码器全都在。我们的实战将重度依赖Proxy和Intruder。安装与启动注意事项JAVA环境确保你的电脑安装了合适版本的JAVA运行时环境JRE。BurpSuite是基于Java开发的去官网下载安装包后如果无法启动首先检查java -version命令是否有正确输出。推荐使用Oracle JDK 8或OpenJDK 8/11兼容性最广。首次配置启动后会提示创建临时项目或保存项目。对于新手选择“Temporary project”完全够用。关键一步是配置浏览器代理。Burp默认监听本地的8080端口。你需要在你使用的浏览器推荐Chrome或Firefox或系统网络中手动设置HTTP代理为127.0.0.1:8080端口8080。安装CA证书这是抓取HTTPS流量的关键。启动Burp后用浏览器访问http://burp或http://127.0.0.1:8080点击“CA Certificate”下载证书文件。然后在你的操作系统或浏览器的证书管理器中导入该证书并信任它。否则你只能看到HTTP流量遇到HTTPS网站会报错这一步必不可少。注意很多新手卡在抓不到包十有八九是证书没装好或者浏览器代理没设置正确。可以用浏览器访问一个HTTP网站非HTTPS看看Burp的Proxy - Intercept标签页有没有流量出现来验证。2.2 目标登录接口信息收集在开始爆破前我们不能当“瞎子”。需要先手动操作一遍正常的登录流程并用BurpSuite抓取这个请求包进行分析。这里蕴含了几个关键侦查点请求方法是GET还是POST绝大多数登录是POST。参数位置用户名和密码是以什么形式提交的常见的有表单数据Form Data最常见如usernameadminpassword123456。JSON格式如{login:admin, pwd:123456}在现代Web API中越来越多。放在URL中GET较少见安全性更差如/login.php?useradminpass123456。响应差异成功登录和失败登录服务器返回的响应有什么不同这是Intruder判断爆破结果的核心依据。通常观察状态码成功可能是302跳转或200失败可能是200但内容不同。响应长度成功和失败的页面HTML长度通常有显著差异。关键词失败时响应体里可能包含“用户名或密码错误”、“login failed”等字样成功则可能跳转到“index.php”或出现“Welcome”等词。假设我们手动操作后在Burp中抓到了一个典型的登录POST请求POST /login.php HTTP/1.1 Host: target.test Content-Type: application/x-www-form-urlencoded ... usernametestpasswordtest123submitLogin这个请求告诉我们爆破的目标参数是username和password它们以Form Data形式传输。3. 核心工具Intruder模块深度解析Intruder是BurpSuite进行自动化攻击的引擎对于密码爆破来说它就是我们的“加特林”。但要用好它必须理解其四个核心子模块Target目标、Positions位置、Payloads载荷、Options选项。3.1 Positions位置标记的艺术抓到登录请求后右键选择“Send to Intruder”。切换到Intruder的Positions标签页。你会看到请求报文被完整显示出来。这里的关键是告诉Intruder“你想在哪些地方替换内容进行爆破”。Burp提供了四种攻击类型Attack typeSniper狙击手对一组位置使用一个载荷集进行遍历。它是最常用的密码爆破模式。例如你标记了username和password两个位置并准备了一个密码字典。Sniper会先固定username为初始值遍历字典中的所有密码然后再换下一个用户名再遍历所有密码... 这适合我们知道少量用户名想用大字典爆破密码的场景。Battering ram攻城锤对多组位置使用相同的载荷同时替换。比如你标记了username和password载荷是admin那么攻击时两个参数都会被替换成admin。适用于用户名和密码可能相同的场景。Pitchfork草叉对多组位置使用不同的载荷集并行替换。这是最灵活也最常用的“用户名-密码”组合爆破模式。你需要为username位置准备一个用户名字典Payload set 1为password位置准备一个密码字典Payload set 2。Intruder会取两个字典的对应行进行组合攻击。这就要求两个字典的行数最好一致或者你能确定组合关系。Cluster bomb集束炸弹对多组位置使用不同的载荷集进行笛卡尔积式替换。这是真正的“全覆盖”暴力破解。为username准备字典A比如5个为password准备字典B比如10000个它会尝试 5 x 10000 50000 种组合。资源消耗大但最彻底。对于我们的登录爆破最常用的就是Sniper已知用户爆密码和Cluster bomb用户密码全未知。在Positions里我们点击“Clear §”清空默认标记然后手动选中请求报文中的参数值如test和test123点击“Add §”进行标记。标记后参数会变成username§test§password§test123§的样子。3.2 Payloads载荷字典的选用与制作载荷就是我们的“子弹库”。字典的质量直接决定爆破的效率和成功率。内置字典Burp社区版自带一些简单的字典在Payloads标签页的“Payload Options”中可以选择“Simple list”然后点击“Load...”从/burpsuite_community_v2023.xx/resources/wordlists路径下加载。但这些字典通常比较基础。外部字典实战中需要自己准备或从网上下载更强大的字典。常见的分类有弱口令字典包含admin/admin,root/123456,admin/password,test/test等常见组合。TOP N密码字典收集互联网泄露事件中最常用的密码如123456,password,12345678,qwerty等。自定义字典根据目标信息生成例如公司名、产品名、出生日期等组合。可以用工具如Crunch、Cewl爬取网站生成字典来制作。Payload处理Payload Processing这是一个强大功能可以对加载的字典进行预处理。例如哈希处理如果目标系统传输的是密码的MD5或SHA1值你可以对字典中的每个密码进行相应的哈希编码。添加前缀/后缀如密码可能为“公司名年份”可以添加相应后缀。大小写变换尝试每个单词的首字母大写、全大写、全小写。实操心得不要一上来就用几十GB的大字典那会跑很久且效率低下。应该采用“阶梯式”爆破先用一个极小的TOP100字典快速扫一遍如果没有命中再换一个TOP1000的字典最后再考虑大型字典。同时观察目标是否有账户锁定机制。如果尝试5次错误就锁定账户30分钟那么大规模爆破会触发防护导致所有账户被锁。3.3 Options选项中的结果判断逻辑Payloads准备好后切换到Options标签页。这里最重要的设置是“Grep - Match”。它的作用是帮助我们从服务器的响应中快速识别出成功的尝试。在攻击开始前我们需要先获取一个“失败样本”。用Burp的Repeater功能发送一个明确错误的登录请求如usernameadminpasswordwrongpass观察响应。记下失败响应中的特征比如一段独特的错误信息“div classerrorLogin Failed/div”。然后在Intruder的Options标签页找到“Grep - Match”区域点击“Flag result items with responses matching these expressions”下的“Add”。将那段失败时独有的字符串如“Login Failed”添加进去。这样在攻击结果中凡是响应体里包含了“Login Failed”的请求都会被自动标记出来。那么没有被标记的请求就极有可能是成功的登录尝试此外还可以关注“Grep - Extract”它可以帮你从响应中提取特定信息比如登录成功后返回的会话IDSession ID或用户昵称这对于后续的自动化测试很有用。4. 完整密码爆破实战流程现在让我们把上面的知识点串联起来进行一次完整的、手把手的操作。4.1 第一步配置代理与捕获请求确保BurpSuite已启动代理监听127.0.0.1:8080。配置浏览器代理指向上述地址和端口并安装好Burp的CA证书。关闭Burp“Proxy”标签页下的“Intercept is on”按钮让它处于关闭状态避免拦截所有流量。访问目标登录页面例如http://target.test/login.php。在Burp中打开“Proxy” - “HTTP history”清空历史记录以便查找。在浏览器登录页输入一个测试用的用户名和密码比如随便填点击登录。立刻在Burp中打开“Intercept is on”按钮然后回到浏览器刷新页面或再次点击登录此时请求会被Burp拦截。在拦截的请求界面你可以看到完整的请求报文。右键点击请求报文区域选择“Send to Intruder”。此时请求已被发送到Intruder模块。4.2 第二步设置Intruder攻击参数切换到“Intruder”标签页选择“Positions”。确认攻击类型Attack type为“Cluster bomb”。点击“Clear §”清除所有自动标记。然后手动选中用户名参数的值如test点击“Add §”将其标记为攻击位置1。同理选中密码参数的值如test123标记为攻击位置2。现在请求中应该有两个§符号包裹的变量。切换到“Payloads”标签页。这里有两个Payload set对应我们标记的两个位置。Payload set 1对应username。在“Payload Options”中选择“Simple list”。在下方列表中手动添加或粘贴你准备好的用户名字典例如admin root test guest administratorPayload set 2对应password。同样选择“Simple list”加载或粘贴你的密码字典例如一个简单的TOP10密码123456 password 12345678 qwerty 123456789 12345 1234 111111 1234567 dragon切换到“Options”标签页。关键设置Request Engine可以设置线程数Threads。社区版有限制通常较低保持默认即可。设置请求间隔Throttle可以避免触发目标的速率限制例如每隔100毫秒发一个请求。Grep - Match点击“Add”添加失败响应特征字符串如“登录失败”或“Invalid password”。Grep - Extract可以点击“Add”然后点击“Fetch response”从失败请求中选取一段成功时可能变化的文本如“Welcome, [username]”中的用户名部分用于提取成功后的信息。4.3 第三步发起攻击与分析结果点击Intruder界面右上角的“Start attack”按钮。一个新的攻击窗口会弹出开始自动发送组合请求。攻击窗口的表格会实时显示每个请求的序号、Payload组合、状态码、响应长度、是否匹配Grep规则等信息。核心观察点响应长度Length成功登录的响应长度通常与失败的有明显差异。成功可能是跳转302响应体很小失败则是完整的错误页面响应体较大。在结果列表点击“Length”列可以排序快速找到长度与众不同的请求。状态码Status虽然成功登录常返回302或200但这不是绝对依据需结合长度和内容看。Grep Match列我们设置了匹配“登录失败”。如果某一行的这个列是空白的未匹配到失败关键词那么这一行就非常可疑找到可疑请求后右键点击该行选择“Show response in browser”或“Request/Response”详细查看。确认响应内容是否包含登录成功的迹象如跳转Location头、欢迎语等。假设我们发现usernameadmin和password123456这个组合的请求状态码是302响应长度很短且Grep Match列为空。那么这极有可能就是一对有效的弱口令。5. 实战进阶技巧与疑难排查5.1 绕过前端加密与验证码现代网站不会傻傻地明文传输密码常见障碍及应对思路前端JS加密在提交前密码被JavaScript加密如Base64、MD5、AES。你抓到的包里的password参数是一串乱码。应对不要慌。首先在浏览器开发者工具的“Sources”或“Debugger”中搜索与登录、加密相关的JS文件找到加密函数。然后在Burp的Intruder模块中使用“Payload Processing”功能。你可以添加规则例如“MD5 hash”你字典里的每一个密码这样发出的Payload就是加密后的密文与前端行为一致。验证码CAPTCHA可复用验证码有些系统验证码在会话Session有效期内可重复使用。你先手动获取一个验证码在Burp抓到的包里这个验证码参数如captcha_code3F5A不要标记为攻击位置即不要加§让它保持原值。这样Intruder在爆破时会一直使用同一个验证码。验证码逻辑缺陷有些验证码校验发生在客户端JS或者服务器端校验后即使错误也不清空Session中的正确答案。这需要测试。验证码识别对于复杂的验证码社区版处理起来很困难。这通常需要结合OCR工具或第三方平台超出了基础手动爆破的范畴。遇到这种情况或许应该转而寻找其他无需验证码的入口点如密码找回功能。5.2 处理JSON格式与Token机制JSON格式请求体如果抓到的请求是Content-Type: application/json请求体如{username:admin,password:123456}。标记方法在Positions标签页同样用§标记JSON中的值部分如{username:§admin§,password:§123456§}。注意不要破坏JSON格式的双引号和括号。Content-Length头Burp Intruder在攻击时会自动更新Content-Length头所以一般不用担心。动态TokenCSRF Token每次加载登录页时服务器会生成一个随机的Token嵌入表单提交时需要一并传回用于防止CSRF攻击。这会给爆破带来麻烦因为Token一次就失效。应对思路这需要更高级的“宏”Macro或扩展Extender功能社区版支持有限。一种测试思路是先验证这个Token是否被严格校验。你可以尝试重复使用一个旧的Token或者直接删除Token参数看服务器是否仍然接受请求。如果服务器校验不严就可以绕过。如果严格校验则可能需要使用Burp Suite Professional的“Session Handling Rules”配合宏来自动获取新Token这在社区版中实现起来非常复杂通常意味着需要转向其他工具或方法。5.3 常见问题排查清单问题现象可能原因排查步骤与解决方案抓不到任何流量1. 浏览器代理未设置或设置错误。2. Burp监听端口被占用或未开启。3. 系统或杀软防火墙阻止。1. 检查浏览器代理设置是否为127.0.0.1:8080。2. 检查Burp Proxy - Options确认代理监听器Listener已启用且在正确端口。3. 暂时关闭防火墙/杀软试试或用netstat -ano查看8080端口状态。HTTPS网站报安全错误CA证书未安装或未正确信任。从http://burp下载证书并正确导入到系统的“受信任的根证书颁发机构”存储中。Intruder攻击无结果或全部失败1. 目标参数标记错误。2. Payload字典格式或内容不对。3. 请求频率过高被屏蔽。4. 存在动态Token等防护。1. 检查Positions中的§标记是否准确包裹了参数值。2. 用Repeater手动测试一个Payload看能否收到正常响应。3. 在Options中增加请求间隔Throttle或减少线程数。4. 检查请求中是否有类似csrf_token的参数尝试分析其有效性。无法区分成功/失败响应Grep-Match规则设置不准确。用Repeater分别发送一个成功请求如果已知和一个失败请求仔细对比响应头、响应体、长度的差异。选择一段失败响应特有、成功响应绝无的字符串作为匹配规则。攻击速度异常缓慢1. 社区版线程限制。2. 网络延迟或目标服务器响应慢。3. Payload字典过大。1. 这是社区版限制无法改变。2. 适当增加请求间隔。3. 采用“阶梯式”爆破先用极小字典试探。5.4 从爆破到漏洞报告的思维延伸当你成功爆破出一个弱口令比如admin/123456这本身就是一个中危甚至高危的漏洞。但你的思考不应止步于此权限测试用这个账号登录系统看看都有什么功能是普通用户权限还是管理员权限如果是管理员危害性极大。横向移动这个密码是否在其他地方也适用比如同一个系统的数据库默认密码、SSH登录密码、后台其他管理入口密码规律分析如果爆破出多个弱口令分析其规律。是“用户名123”吗是公司简称年份吗总结规律后可以生成更有针对性的字典进行更深度的测试。编写漏洞报告一个专业的报告应包括漏洞标题、风险等级、影响系统、详细步骤附截图、漏洞原理、修复建议。例如详细描述如何利用BurpSuite Intruder进行爆破并发现弱口令的过程并提供修复建议如增加登录失败锁定、强制密码复杂度、启用多因素认证等。这套手动爆破流程锻炼的正是安全测试中最核心的“手工作业”能力。自动化扫描器固然快但它无法理解业务逻辑无法处理复杂的交互和状态。当你熟练掌握了BurpSuite社区版这些手动测试技巧你就能像一位耐心的猎人在自动化工具扫过的“空白区”找到那些真正有价值的漏洞。记住工具是手臂思维才是大脑。
BurpSuite社区版密码爆破实战：从原理到应用，掌握Web安全测试核心技能
发布时间：2026/7/28 13:22:57
1. 项目概述从零到一的实战密码爆破很多刚入门安全测试的朋友手里握着BurpSuite社区版总觉得它像一把没开刃的刀看着专业版那些炫酷的自动化扫描、爬虫功能直流口水却不知道如何用社区版这把“基础款”真正挖到第一个漏洞。其实社区版的核心拦截、重放、爆破功能一个不少完全足够我们完成一次经典的、手动的漏洞挖掘实战。今天我就以一个最常见的“密码爆破”场景为例带你走一遍完整的流程目标不是用多高级的工具而是让你理解漏洞挖掘背后的“猎人思维”——如何观察、如何试探、如何一击即中。密码爆破或者说弱口令猜解听起来技术含量不高但它却是渗透测试中最高频、最有效的突破口之一。很多系统在前端做了华丽的验证码和复杂度提示后端却对登录逻辑疏于防护。通过BurpSuite我们可以将手工尝试变成自动化、批量的测试极大提升效率。这次实战我们假设目标是一个存在弱口令漏洞的Web登录接口为符合安全规范所有演示均在授权测试环境或本地搭建的漏洞靶场如DVWA、Pikachu中进行。你将学到的不只是点击哪个按钮而是为什么这里要这样设置遇到各种情况该如何调整思路。2. 环境准备与目标分析2.1 BurpSuite社区版的“正确打开方式”首先别被“社区版”限制住。它缺少的是高级自动化但手动测试所需的“心脏”——Proxy代理、Repeater重放器、Intruder入侵者即爆破模块、Decoder解码器全都在。我们的实战将重度依赖Proxy和Intruder。安装与启动注意事项JAVA环境确保你的电脑安装了合适版本的JAVA运行时环境JRE。BurpSuite是基于Java开发的去官网下载安装包后如果无法启动首先检查java -version命令是否有正确输出。推荐使用Oracle JDK 8或OpenJDK 8/11兼容性最广。首次配置启动后会提示创建临时项目或保存项目。对于新手选择“Temporary project”完全够用。关键一步是配置浏览器代理。Burp默认监听本地的8080端口。你需要在你使用的浏览器推荐Chrome或Firefox或系统网络中手动设置HTTP代理为127.0.0.1:8080端口8080。安装CA证书这是抓取HTTPS流量的关键。启动Burp后用浏览器访问http://burp或http://127.0.0.1:8080点击“CA Certificate”下载证书文件。然后在你的操作系统或浏览器的证书管理器中导入该证书并信任它。否则你只能看到HTTP流量遇到HTTPS网站会报错这一步必不可少。注意很多新手卡在抓不到包十有八九是证书没装好或者浏览器代理没设置正确。可以用浏览器访问一个HTTP网站非HTTPS看看Burp的Proxy - Intercept标签页有没有流量出现来验证。2.2 目标登录接口信息收集在开始爆破前我们不能当“瞎子”。需要先手动操作一遍正常的登录流程并用BurpSuite抓取这个请求包进行分析。这里蕴含了几个关键侦查点请求方法是GET还是POST绝大多数登录是POST。参数位置用户名和密码是以什么形式提交的常见的有表单数据Form Data最常见如usernameadminpassword123456。JSON格式如{login:admin, pwd:123456}在现代Web API中越来越多。放在URL中GET较少见安全性更差如/login.php?useradminpass123456。响应差异成功登录和失败登录服务器返回的响应有什么不同这是Intruder判断爆破结果的核心依据。通常观察状态码成功可能是302跳转或200失败可能是200但内容不同。响应长度成功和失败的页面HTML长度通常有显著差异。关键词失败时响应体里可能包含“用户名或密码错误”、“login failed”等字样成功则可能跳转到“index.php”或出现“Welcome”等词。假设我们手动操作后在Burp中抓到了一个典型的登录POST请求POST /login.php HTTP/1.1 Host: target.test Content-Type: application/x-www-form-urlencoded ... usernametestpasswordtest123submitLogin这个请求告诉我们爆破的目标参数是username和password它们以Form Data形式传输。3. 核心工具Intruder模块深度解析Intruder是BurpSuite进行自动化攻击的引擎对于密码爆破来说它就是我们的“加特林”。但要用好它必须理解其四个核心子模块Target目标、Positions位置、Payloads载荷、Options选项。3.1 Positions位置标记的艺术抓到登录请求后右键选择“Send to Intruder”。切换到Intruder的Positions标签页。你会看到请求报文被完整显示出来。这里的关键是告诉Intruder“你想在哪些地方替换内容进行爆破”。Burp提供了四种攻击类型Attack typeSniper狙击手对一组位置使用一个载荷集进行遍历。它是最常用的密码爆破模式。例如你标记了username和password两个位置并准备了一个密码字典。Sniper会先固定username为初始值遍历字典中的所有密码然后再换下一个用户名再遍历所有密码... 这适合我们知道少量用户名想用大字典爆破密码的场景。Battering ram攻城锤对多组位置使用相同的载荷同时替换。比如你标记了username和password载荷是admin那么攻击时两个参数都会被替换成admin。适用于用户名和密码可能相同的场景。Pitchfork草叉对多组位置使用不同的载荷集并行替换。这是最灵活也最常用的“用户名-密码”组合爆破模式。你需要为username位置准备一个用户名字典Payload set 1为password位置准备一个密码字典Payload set 2。Intruder会取两个字典的对应行进行组合攻击。这就要求两个字典的行数最好一致或者你能确定组合关系。Cluster bomb集束炸弹对多组位置使用不同的载荷集进行笛卡尔积式替换。这是真正的“全覆盖”暴力破解。为username准备字典A比如5个为password准备字典B比如10000个它会尝试 5 x 10000 50000 种组合。资源消耗大但最彻底。对于我们的登录爆破最常用的就是Sniper已知用户爆密码和Cluster bomb用户密码全未知。在Positions里我们点击“Clear §”清空默认标记然后手动选中请求报文中的参数值如test和test123点击“Add §”进行标记。标记后参数会变成username§test§password§test123§的样子。3.2 Payloads载荷字典的选用与制作载荷就是我们的“子弹库”。字典的质量直接决定爆破的效率和成功率。内置字典Burp社区版自带一些简单的字典在Payloads标签页的“Payload Options”中可以选择“Simple list”然后点击“Load...”从/burpsuite_community_v2023.xx/resources/wordlists路径下加载。但这些字典通常比较基础。外部字典实战中需要自己准备或从网上下载更强大的字典。常见的分类有弱口令字典包含admin/admin,root/123456,admin/password,test/test等常见组合。TOP N密码字典收集互联网泄露事件中最常用的密码如123456,password,12345678,qwerty等。自定义字典根据目标信息生成例如公司名、产品名、出生日期等组合。可以用工具如Crunch、Cewl爬取网站生成字典来制作。Payload处理Payload Processing这是一个强大功能可以对加载的字典进行预处理。例如哈希处理如果目标系统传输的是密码的MD5或SHA1值你可以对字典中的每个密码进行相应的哈希编码。添加前缀/后缀如密码可能为“公司名年份”可以添加相应后缀。大小写变换尝试每个单词的首字母大写、全大写、全小写。实操心得不要一上来就用几十GB的大字典那会跑很久且效率低下。应该采用“阶梯式”爆破先用一个极小的TOP100字典快速扫一遍如果没有命中再换一个TOP1000的字典最后再考虑大型字典。同时观察目标是否有账户锁定机制。如果尝试5次错误就锁定账户30分钟那么大规模爆破会触发防护导致所有账户被锁。3.3 Options选项中的结果判断逻辑Payloads准备好后切换到Options标签页。这里最重要的设置是“Grep - Match”。它的作用是帮助我们从服务器的响应中快速识别出成功的尝试。在攻击开始前我们需要先获取一个“失败样本”。用Burp的Repeater功能发送一个明确错误的登录请求如usernameadminpasswordwrongpass观察响应。记下失败响应中的特征比如一段独特的错误信息“div classerrorLogin Failed/div”。然后在Intruder的Options标签页找到“Grep - Match”区域点击“Flag result items with responses matching these expressions”下的“Add”。将那段失败时独有的字符串如“Login Failed”添加进去。这样在攻击结果中凡是响应体里包含了“Login Failed”的请求都会被自动标记出来。那么没有被标记的请求就极有可能是成功的登录尝试此外还可以关注“Grep - Extract”它可以帮你从响应中提取特定信息比如登录成功后返回的会话IDSession ID或用户昵称这对于后续的自动化测试很有用。4. 完整密码爆破实战流程现在让我们把上面的知识点串联起来进行一次完整的、手把手的操作。4.1 第一步配置代理与捕获请求确保BurpSuite已启动代理监听127.0.0.1:8080。配置浏览器代理指向上述地址和端口并安装好Burp的CA证书。关闭Burp“Proxy”标签页下的“Intercept is on”按钮让它处于关闭状态避免拦截所有流量。访问目标登录页面例如http://target.test/login.php。在Burp中打开“Proxy” - “HTTP history”清空历史记录以便查找。在浏览器登录页输入一个测试用的用户名和密码比如随便填点击登录。立刻在Burp中打开“Intercept is on”按钮然后回到浏览器刷新页面或再次点击登录此时请求会被Burp拦截。在拦截的请求界面你可以看到完整的请求报文。右键点击请求报文区域选择“Send to Intruder”。此时请求已被发送到Intruder模块。4.2 第二步设置Intruder攻击参数切换到“Intruder”标签页选择“Positions”。确认攻击类型Attack type为“Cluster bomb”。点击“Clear §”清除所有自动标记。然后手动选中用户名参数的值如test点击“Add §”将其标记为攻击位置1。同理选中密码参数的值如test123标记为攻击位置2。现在请求中应该有两个§符号包裹的变量。切换到“Payloads”标签页。这里有两个Payload set对应我们标记的两个位置。Payload set 1对应username。在“Payload Options”中选择“Simple list”。在下方列表中手动添加或粘贴你准备好的用户名字典例如admin root test guest administratorPayload set 2对应password。同样选择“Simple list”加载或粘贴你的密码字典例如一个简单的TOP10密码123456 password 12345678 qwerty 123456789 12345 1234 111111 1234567 dragon切换到“Options”标签页。关键设置Request Engine可以设置线程数Threads。社区版有限制通常较低保持默认即可。设置请求间隔Throttle可以避免触发目标的速率限制例如每隔100毫秒发一个请求。Grep - Match点击“Add”添加失败响应特征字符串如“登录失败”或“Invalid password”。Grep - Extract可以点击“Add”然后点击“Fetch response”从失败请求中选取一段成功时可能变化的文本如“Welcome, [username]”中的用户名部分用于提取成功后的信息。4.3 第三步发起攻击与分析结果点击Intruder界面右上角的“Start attack”按钮。一个新的攻击窗口会弹出开始自动发送组合请求。攻击窗口的表格会实时显示每个请求的序号、Payload组合、状态码、响应长度、是否匹配Grep规则等信息。核心观察点响应长度Length成功登录的响应长度通常与失败的有明显差异。成功可能是跳转302响应体很小失败则是完整的错误页面响应体较大。在结果列表点击“Length”列可以排序快速找到长度与众不同的请求。状态码Status虽然成功登录常返回302或200但这不是绝对依据需结合长度和内容看。Grep Match列我们设置了匹配“登录失败”。如果某一行的这个列是空白的未匹配到失败关键词那么这一行就非常可疑找到可疑请求后右键点击该行选择“Show response in browser”或“Request/Response”详细查看。确认响应内容是否包含登录成功的迹象如跳转Location头、欢迎语等。假设我们发现usernameadmin和password123456这个组合的请求状态码是302响应长度很短且Grep Match列为空。那么这极有可能就是一对有效的弱口令。5. 实战进阶技巧与疑难排查5.1 绕过前端加密与验证码现代网站不会傻傻地明文传输密码常见障碍及应对思路前端JS加密在提交前密码被JavaScript加密如Base64、MD5、AES。你抓到的包里的password参数是一串乱码。应对不要慌。首先在浏览器开发者工具的“Sources”或“Debugger”中搜索与登录、加密相关的JS文件找到加密函数。然后在Burp的Intruder模块中使用“Payload Processing”功能。你可以添加规则例如“MD5 hash”你字典里的每一个密码这样发出的Payload就是加密后的密文与前端行为一致。验证码CAPTCHA可复用验证码有些系统验证码在会话Session有效期内可重复使用。你先手动获取一个验证码在Burp抓到的包里这个验证码参数如captcha_code3F5A不要标记为攻击位置即不要加§让它保持原值。这样Intruder在爆破时会一直使用同一个验证码。验证码逻辑缺陷有些验证码校验发生在客户端JS或者服务器端校验后即使错误也不清空Session中的正确答案。这需要测试。验证码识别对于复杂的验证码社区版处理起来很困难。这通常需要结合OCR工具或第三方平台超出了基础手动爆破的范畴。遇到这种情况或许应该转而寻找其他无需验证码的入口点如密码找回功能。5.2 处理JSON格式与Token机制JSON格式请求体如果抓到的请求是Content-Type: application/json请求体如{username:admin,password:123456}。标记方法在Positions标签页同样用§标记JSON中的值部分如{username:§admin§,password:§123456§}。注意不要破坏JSON格式的双引号和括号。Content-Length头Burp Intruder在攻击时会自动更新Content-Length头所以一般不用担心。动态TokenCSRF Token每次加载登录页时服务器会生成一个随机的Token嵌入表单提交时需要一并传回用于防止CSRF攻击。这会给爆破带来麻烦因为Token一次就失效。应对思路这需要更高级的“宏”Macro或扩展Extender功能社区版支持有限。一种测试思路是先验证这个Token是否被严格校验。你可以尝试重复使用一个旧的Token或者直接删除Token参数看服务器是否仍然接受请求。如果服务器校验不严就可以绕过。如果严格校验则可能需要使用Burp Suite Professional的“Session Handling Rules”配合宏来自动获取新Token这在社区版中实现起来非常复杂通常意味着需要转向其他工具或方法。5.3 常见问题排查清单问题现象可能原因排查步骤与解决方案抓不到任何流量1. 浏览器代理未设置或设置错误。2. Burp监听端口被占用或未开启。3. 系统或杀软防火墙阻止。1. 检查浏览器代理设置是否为127.0.0.1:8080。2. 检查Burp Proxy - Options确认代理监听器Listener已启用且在正确端口。3. 暂时关闭防火墙/杀软试试或用netstat -ano查看8080端口状态。HTTPS网站报安全错误CA证书未安装或未正确信任。从http://burp下载证书并正确导入到系统的“受信任的根证书颁发机构”存储中。Intruder攻击无结果或全部失败1. 目标参数标记错误。2. Payload字典格式或内容不对。3. 请求频率过高被屏蔽。4. 存在动态Token等防护。1. 检查Positions中的§标记是否准确包裹了参数值。2. 用Repeater手动测试一个Payload看能否收到正常响应。3. 在Options中增加请求间隔Throttle或减少线程数。4. 检查请求中是否有类似csrf_token的参数尝试分析其有效性。无法区分成功/失败响应Grep-Match规则设置不准确。用Repeater分别发送一个成功请求如果已知和一个失败请求仔细对比响应头、响应体、长度的差异。选择一段失败响应特有、成功响应绝无的字符串作为匹配规则。攻击速度异常缓慢1. 社区版线程限制。2. 网络延迟或目标服务器响应慢。3. Payload字典过大。1. 这是社区版限制无法改变。2. 适当增加请求间隔。3. 采用“阶梯式”爆破先用极小字典试探。5.4 从爆破到漏洞报告的思维延伸当你成功爆破出一个弱口令比如admin/123456这本身就是一个中危甚至高危的漏洞。但你的思考不应止步于此权限测试用这个账号登录系统看看都有什么功能是普通用户权限还是管理员权限如果是管理员危害性极大。横向移动这个密码是否在其他地方也适用比如同一个系统的数据库默认密码、SSH登录密码、后台其他管理入口密码规律分析如果爆破出多个弱口令分析其规律。是“用户名123”吗是公司简称年份吗总结规律后可以生成更有针对性的字典进行更深度的测试。编写漏洞报告一个专业的报告应包括漏洞标题、风险等级、影响系统、详细步骤附截图、漏洞原理、修复建议。例如详细描述如何利用BurpSuite Intruder进行爆破并发现弱口令的过程并提供修复建议如增加登录失败锁定、强制密码复杂度、启用多因素认证等。这套手动爆破流程锻炼的正是安全测试中最核心的“手工作业”能力。自动化扫描器固然快但它无法理解业务逻辑无法处理复杂的交互和状态。当你熟练掌握了BurpSuite社区版这些手动测试技巧你就能像一位耐心的猎人在自动化工具扫过的“空白区”找到那些真正有价值的漏洞。记住工具是手臂思维才是大脑。
