DVWA之Brute Force

Brute Force(low)

1. 在登录页面随便输入一对账号密码
   
2. 开启代理模式，准备用burpsuite抓包
3. 发送请求后抓到一个带有登录信息且为明文传输的数据包
4. 在空白处点击右键，选择send to intruder
5. 选择intruder–>position，然后先清空所有变量

不同攻击类型的区别

1. attack type=sniper

sniper译为狙击手，在选中多个变量的时候按照变量的位置按顺序逐个匹配，例如：在选中三个变量的情况下，用同一个字典对三个变量进行匹配，先匹配第一个，然后再第二个，第三个，也就是说，如果这个字典有10个参数，匹配次数就是3×10=30次（个人理解）

6.1 选中需要进行爆破的变量，点击$add（用于知道用户名，不知道密码的情况）

7.1 选择payload菜单，进行以下设置，选择爆破字典，然后点击start attack开始攻击

8.1 发现长度跟其他不一样的就是所要找的结果

attack type=cluster bomb

6.2 选中username和password两个变量，点击$add

7.2 设置payload，此时payload1和payload2可以选择不同的字典，配置完后点击start attack开始攻击


8.2 发现长度跟其他不一样的即为结果

验证
拿爆破结果去登录页面尝试登录，出现以下页面，说明爆破成功