手把手教你DVWA实战

DVWA 实战：

暴力破解：

LOW:

暴力破解即使用穷举法获取所需内容

1.手工破解 步骤：

a.确认破解工作（键盘输入用户名 键盘输入密码，鼠标点击login）

b.确认破解范围：（用户名字典：admin, root等；密码字典：abc123,password等）

c.开始暴力破解：

对应代码思路：

for(用户名 in 用户名字典)    //破解范围
for(密码 in 密码字典){  
输入用户名；输入密码；点击login按钮;   //破解动作
if 'username and/or password incorrect.' in HTML:
破解失败;
continue;            //破解结果
else
破解成功；
break;
}

2.自动破解：

a.先随便输入，再抓包

b.在抓包工具中设置用户名和密码字典破解即可

medium:

相较于low仅增加了时延

high:

发现增加了动态获取usertoken

1.改变破解动作：访问首页-获得usertoken参数-发送带usertoken的登陆数据包

2.爆破思路：

for(用户名 in 用户名字典)    //破解范围
for(密码 in 密码字典){  
访问首页;
获得usertoken参数;
发送带usertoken的登陆数据包;   //破解动作
if 'username and/or password incorrect.' in HTML:
破解失败;
continue;            //破解结果
else
破解成功；
break;
}