登录密码爆破

一、登录密码爆破
1.登录猜解猜解用户密码爆破属于撞库一类。通过弱口令字典暴力尝试登陆达到猜解用户密码。
2.一般登陆都要验证码，而突破验证码主要有两种：

• 绕过严重码
• 自动识别验证码
  
  管理院权限登陆
  
  开启了session，随机生成了一串字符串
  
  
  查看登陆检测，判断是否开启传输了三个post
  
  存在的话去判断验证码
  
  验证码要是和session的不同，它就回到login这个页面
  
  匹配的话，它就继续往下走
  
  session（captcha）,不访问capycha就不会 生成验证码，钥匙不生成的话它就是空的
  
  post的时候也不输入，让它为空
  
  空和空相等它就匹配了，继续往下执行
  
  这样就可以绕过
  添加一个输出信息 captcha error
  
  在登录页面抓包测试
  
  存放
  
  删掉session它就会重新生成。
  修改代码让它输出一个正确的
  
  访问成功通过了
  接下来就可以爆破，用Ctrl+I把它放在爆破的地方，添加一个账户
  打开payload
  
  添加自带的弱口令字典
  
  再到选项中配置，开启多线程
  开始攻击爆破
  
  爆破之后的结果
  
  按长度可以排序
  
  找到符合要求的，重新登陆验证
  
  这个操作依据管理员的弱口令，密码强度小的可行
  二、如何去修复它
  在判断captcha的地方添加一个captcha
  
  还可以在下面代码中加一个判断句captcha session是否为空
  
  也可以限制它的长度
  三、审计思路的展现