Burp Suite爆破Basic认证密码

最新推荐文章于 2025-10-10 17:03:07 发布
原创 最新推荐文章于 2025-10-10 17:03:07 发布 · 5.8k 阅读 · 15 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#网络安全 #burp suite #basic #Authorization #http

本文介绍Basic认证的基本原理及如何使用BurpSuite工具进行密码爆破攻击。通过实例演示设置爆破参数、处理Payload的过程，并指导如何识别爆破成功的标志。

目录

一、什么是Basic认证

二、Burp Suite爆破密码

本文示例基于 vulhub ActiveMQ任意文件写入漏洞 (CVE-2016-3088)环境（https://vulhub.org/#/environments/activemq/CVE-2016-3088/）

一、什么是Basic认证

HTTP Request有时候会有Authorization头（Authorization (Headers) - HTTP 中文开发手册 - 开发者手册 - 云+社区 - 腾讯云 (tencent.com)），这个头是用来向服务器发送认证用户的凭证的。

使用这个头时有几种不同的认证方式，Basic认证就是其中一种，其特征是：

（1）用户名和密码之间以冒号相连。

（2）对上一步中的字符串进行base64编码。

比如下图红框框里这样：

二、Burp Suite爆破密码

重点其实就两步，一是加前缀，二是加base64编码

下面具体看一下：

最低0.47元/天 解锁文章
[ web基础篇 ] Burp Suite 爆破 Basic 认证密码
qq_51577576的博客
09-17 2838
Burp Suite 爆破 Basic 认证密码 在HTTP中，基本认证（Basic access authentication）是一种用来允许网页浏览器或其他客户端程序在请求时提供用户名和口令形式的身份凭证的一种登录验证方式。
暴力破解-破解 Apache BASIC 认证
Cwillchris的博客
08-03 586
可以看到 DVWA 的登录页面是存在 user_token 的，如果每次提交新密码时都使用同一个 token，服务器通常来说是不处理我们的请求的。把刚获取到的最新的有效 token 复制到递归搜索中，因为原数据包中的 token 在我们提取 token 的时候被使用了，所以这里需要设置一个有效的 token。添加关键词匹配admin，如果服务器返回的应答包中存在对应的关键词，则对该请求进行标记，用于验证是否成功，一般暴力破解选择的关键词：用户名、登录提示、页面特征。...
Burp密码爆破web页面Basic64加密认证
m0_61069946的博客
03-22 816
构建第一段内容，（用户名字段）点击load加载密码字典：(如果load不进去卡住了，请拉高硬件配置)构建第三段内容，（密码字段）点击load加载密码字典：(如果load不进去卡住了，请拉高硬件配置)可以了解到该账号密码提交方式为 "user:password",之后通过base64加密。这里测试输入账号密码为：test 123456。构造第二段内容（这一段是用户名与密码之间的:）发送后intruder会变黄色点过来页面如下。根据base64将加密解码后获得到如下图，
【网络安全】一文教你如何用BurpSuite进行密码爆破实例演示，小白也能轻松学会！
最新发布
wholeliubei的博客
10-10 872
本文介绍了使用Burpsuite进行密码暴力破解的入门教程。主要内容包括：1）简单密码爆破，通过设置代理拦截数据包并标记密码字段进行破解；2）高级密码爆破，处理带token值的复杂场景，使用Pitchfork模式同步遍历密码和token；3）集束炸弹模式的高级应用，通过多字典组合爆破未知用户名和密码。教程详细说明了Burpsuite的四种攻击模式特点及适用场景，并配合靶场环境演示了具体操作步骤，适合网络安全初学者学习基础的密码暴力破解技术。
用burpsuite进行 basic Authentication爆破
qq_44881113的博客
10-29 2172
第一步抓包 把Basic 后面的密文进行解码 YWRtaW46YWRtaW4= 使用Base64进行解码 发现格式为 admin:admin 然后使用burp里面的intruder模块进行爆破 首先设置payload的位置 第二步设置payloads 原始的格式是 admin:admin 我们应该将这个分为三部分 第一部分 username admin 第二部分 ： 第三部分 password admin 在设置payload的时候 我们也应该对应设置 payload类型我们设置为cust.
用Burpsuite破解网站密码
飞翔的熊blabla
09-16 3982
新浪微博:@一只谢扬帆 工具/原料 burpsuite专业版 一个网站 方法/步骤 1 切换至proxy选项卡的Option选项下，设置代理地址和端口：127.0.0.1:8080。 2 启动刚刚设置的代理 3
basic认证爆破
m0_74015694的博客
12-05 761
简单记录,如有不足请多担待。
带basic认证的爆破
m0_55628907的博客
09-01 413
若知道账号可add一个Prefix，然后payload type 选simple list即可。开始爆破，选状态码为200的。
Burp Suite——账号、密码爆破
2301_78006725的博客
03-09 1320
先burp上拦截登录请求，然后点击登录。选择需要爆破的系统，随便输入账号密码。登录之后返回burp查看拦截请求信息。开启代理（浏览器和burp需一致）
【渗透测试】如何使用burpsuite对特殊密码进行爆破
m0_64706429的博客
05-31 855
​ 爆破是渗透测试中必不可少的一部分，对于没有太大价值可利用的漏洞或是业务只有一个登陆页面时，爆破更是我们的最合适的选择。那么在爆破时，抛去目标系统对爆破频率的限制，如果遇到较为复杂的密码，该如何顺利进行密码破解？ ​
Burp爆破-Base编码
zneVue
06-22 1794
先从用户名爆破文件里面导入用户名，再在每一个用户名后面加一个冒号，最后再在每一个冒号后面添加所有可能的密码，再把这三个的结合体使用base64加密后发送给服务器，逐个尝试直到。等待爆破完成后，可以点击 length（长度）或者查看status（状态码）来确定哪一个是正确的账号和密码。在 Intruder 中，先点击 清除 PayLoad，然后选中被编码的密文，点击 添加 PayLoad。选择攻击类型为：Clusterbomb（集束炸弹），该攻击类型会依次遍历每个 payload 集。
网络安全之渗透实战学习
热门推荐
kali_Ma的博客
10-27 2万+
前言 本次渗透以SMB共享之SCF文件攻击为突破点，利用burp编码爆破Basic Authorization认证、smb连接的多种方法、windows用户的NTLM值破解方法、evil-winrm的运用、windows主机信息收集工具、msf运行powershell脚本、远程运行powershell脚本、PrintNightmare漏洞提权等多个知识点。 本次渗透过程从技术层面来说难度并不算很大，本文精华在于渗透过程中运用到了多个知识点，并对多种利用SMB攻击的方法作了总结，下面开始此次渗透实战之旅。 信
【Burpsuite技巧一】爆破Authorzation Basic类密码
redwand的博客
12-28 1508
这个实验通过将密码加密后传递给后端，从而进行身份认证，这种逻辑我们搞渗透测试必须熟记于心。Burpsuite给了我们很好的解决方案，这种情况会在很多环境中遇到，需要熟练掌握。
熟悉http和https协议、ip、网关、子网掩码、路由器 以及burpsuit熟悉爆破模块：BUUCTF -＞ Basic -＞ BUU BRUTE 1
xuanqwertyui的博客
11-04 814
2.默认网关地址是主机位除了最后一位全置1后得到的。假设现有一个ip地址为193.6.7.0/24，根据网络前缀24可知前24位为网络位，后8位为主机位，因此该网络的默认网关地址就是IP地址193.6.7.11111110（加粗的部分为网络位），换算成十进制数即193.6.7.254/24。一台主机可以有多个网关。默认网关的意思是一台主机如果找不到可用的网关，就把数据包发给默认指定的网关，由这个网关来处理数据包。现在主机使用的网关，一般指的是默认网关。
1、使用BurpSuite暴力破解登录密码
D516701881的博客
12-17 1万+
1、使用BurpSuite暴力破解登录密码1.环境准备1.1 PC端设置BurpSuite设置代理1.2.靶机环境2.密码破解漏洞2.1.漏洞简介2.2.常见应对策略2.2.1.强密码策略2.2.2.验证码策略2.2.3.锁定策略2.2.4.加密策略2.2.5.TOKEN验证码3.密码破解攻击3.1.环境配置3.2.抓包3.3.配置攻击3.3.1.攻击类型3.3.2.目标字段3.3.3.有效载荷3.3.4.选项配置3.4.执行攻击 1.环境准备 1.1 PC端设置BurpSuite设置代理 打开BurpSu
CTFHUB 《基础认证》：burp使用，basic请求了解
weixin_45694388的博客
11-10 1921
题目简介：在HTTP中，基本认证（英语：Basic access authentication）是允许http用户代理（如：网页浏览器）在请求时，提供 用户名 和 密码 的一种方式。详情请查看 https://zh.wikipedia.org/wiki/HTTP基本认证 根据已知可得，这应该是道爆破密码题，而且已知字典 根据抓包可知，本网页提交会将用户名密码经过base64加密后提交，且格式为： 用户名：密码 先输入字典 增加爆破规则： 增加前缀admin: 再base64编码 开始爆破
DVWA 暴力破解-Low
qq_44199135的博客
10-23 2107
DVWA 暴力破解-Low 登录DVWA 选择级别 选择Low级别，点击Brute Force然后登陆一下看看。 当出现Welcome to the password protected area admin代表你成功登录了。 检查环境 登陆成功以后不要急着去抓包暴力破解，继续检查环境，看看代理是否设置好了吗burpsuite工具配置成功了吗。我用的是火狐浏览器，可以在设置里面修改代理也可以使用FoxyProxy插件来设置代理，我这里使用的是浏览器设置里面的手动代理这样和本地代理相比不会影响其他浏
暴力破解及BurpSuite
qq_67812668的博客
08-06 4621
暴力破解的危害侵犯隐私：暴力破解可能会导致个人隐私泄露，比如银行账户、电子邮件、社交媒体账号等。这些信息可能被黑客用于从事非法活动，比如盗窃财产、诈骗等。经济损失：暴力破解可能会导致经济损失。黑客可以利用被盗的账号，进行网络钓鱼、诈骗、恶意软件攻击等活动，从而获取非法收益。数据破坏：暴力破解也可能导致数据破坏和系统崩溃。黑客可能会试图入侵系统并修改或删除重要文件，从而损坏数据或系统。这不仅会影响个人的业务运作，还可能影响整个企业或机构的稳定运行。
暴力破解之ApacheBASIC认证
枫梓林のBlog
05-05 2077
暴力破解-破解 Apache BASIC 认证 文章目录暴力破解-破解 Apache BASIC 认证0x01 通过暴力破解web登录页面获得管理员权限1.分析后台登录页面源代码2.使用 bp进行暴力破解0x02 使用 burpsuite 破解 web 站点0x03 配置Apache 的基本认证 Basic Authentication1.什么是Basic Authentication2.Apache 配置 BASIC 认证0x04 暴力破解 Apache BASIC 认证1.创建一个密码文件2.使用b
使用Burpsuite爆破Tomcat后台密码技巧
"本文主要介绍了如何使用Burpsuite进行Tomcat密码爆破的步骤和注意事项。在渗透测试中，针对暴露在外的Tomcat后台，通常需要尝试爆破以获取访问权限。通过分析登录请求包，我们可以看到账号和密码是经过Base64编码的...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值