27、网络应用程序密码暴力破解与漏洞评估

网络应用程序密码暴力破解与漏洞评估

1. 网络应用程序密码暴力破解测试

在进行网络应用程序密码暴力破解测试时，需注意输入值区分大小写，使用正确大小写以避免错误。以下是具体测试步骤：
1. 打开 Burp Suite，确保 Intercept 处于关闭状态。
2. 进入 DVWA，从左侧菜单选择 Brute force。
3. 在用户名框输入 “admin”，密码框输入 “12345”，但暂不点击登录。
4. 返回 Burp Suite，将 Intercept 设置为开启状态。此时应能看到所有发送的数据，包括输入的用户名和密码值。
5. 点击顶部菜单中的 “Action” 按钮，然后选择 “Sent to Intruder”。
6. 此时，Intruder 菜单会变为红色高亮，点击顶部菜单中的 Intruder。
7. 点击顶部菜单的 “Positions”，这里能看到要在有效负载中使用的参数或变量。通常会默认识别一些，先点击 “Clear” 清除这些值。
8. 将攻击类型更改为 “Cluster bomb”。接着选择要进行暴力破解的字段，在第一行高亮显示 “admin” 并点击 “Add”，对 “12345” 执行相同操作。
9. 点击顶部菜单的 “Payloads”，点击 “Payload Set”，下拉菜单会有两项，第一项对应用户名，第二项对应密码。
10. 设置 “Payload set” 为 1（用户名），“Payload type” 为 “simple list”。
11. 为简化示例，仅添加两个用户名 “admin” 和 “cesar”。在 “Add” 按钮旁边的输入字段中输入 “admin” 并点