burp suite进行http basic认证的暴力破解

admin

在安全测试中，经常需要暴力破解密码或者验证码，以前我一般都是自己直接用别人写的工具添加字典进行操作。现在有了burp suite神器，一切都自动化了。

今天开始练习dvwa的时候，第一个就是暴力破解。

burp suite是基于浏览器代理工作的，首先要看burp suit监听的端口并在浏览器上设置代理

首先还是设置代理拦截请求，然后send to intruder，因为http basic认证是base64编码的，所以payload的地方选择编码部分就好了.

然后Payload type选择Custom iterator

然后下面的Payload Options里面的Position先选择1，也就是第一个字段，因为http basic认证是用户名：密码的形式，所以第一个字段就是用户名了。我已经确定用户名是admin或者root了，手工填在下面就好了。下面的Separator for position1里面填写冒号:



接着上面来，Position选择2，这个字段就是密码了，可以选择已有的字典，我选择了short passwords。









然后在下面的Payload Processing中点add，然后分别选择Encode和Base64-encode，确认就好了。

因为base64编码中可能出现等号，取消下面的Payload Encoding的勾选。

切换到Options tab，这里面就是一些配置项，比如线程数，这个不建议太大了，都则容易把对方服务器玩死的，ip也容易被封了。怎么判断密码是否是正确的呢，暂时只能通过http code来判断，密码错误是401，正确就是200。Grep - Math全部清空，然后输入200，取消勾选Exclude HTTP headers就行了，因为这个200就是在http头里面的。

然后开始攻击就好了~

至于是否成功那就要看运气了...有时候字典强大也是成功了一半！