Pikachu漏洞练习平台

一、暴力破解

【基于表单的暴力破解】

①在登录框随意输入账号密码，开启burp suite抓包。

②将抓到的包，右键点击发送到intruder模块

③打开intruder，点击positions，选择需要替换的变量，先“clear”后“add”，选择适合的攻击模式：
1）Sniper：狙击手，默认每次只能有一个变量进行攻击。
2）Battering ram：冲撞车。可选多个变量同时替换，但都只用同一个字典。
3）Ptichfork：草叉型，可选多个变量，每个变量一个字典，然后一一对应实验。
4）Cluster bomb：焦束炸弹，可选多个变量，每个变量一个字典，然后交叉组合进行实验。
这里攻击方式选择cluster bomb，变量payload 1、2分别在select file选择对应的字典，user.txt和password.txt（注意：字典路径里不能够包含中文）

④点击start attack，开始破解，我们可以根据length去判断哪个正确，一般length不同于其他的，就是正确的。使用爆破的账号密码登录，登陆成功。