暴力破解（验证码绕过）

      

        暴力破解，顾名思义，就是通过不停地尝试不同的用户名和密码的组合，来猜测正确的登录凭据。其原理是利用计算机的速度和效率，尝试不同的组合，直到找到正确的凭据为止。在这个过程中，攻击者可以使用多种手段，比如字典攻击、蛮力攻击、暴力攻击等方法来进行破解。

        字典攻击是指攻击者利用一个预先准备好的密码字典，来枚举所有可能的密码组合。这个字典可以包括常用密码、生日、电话号码、名字等等。蛮力攻击则是利用特定的算法来生成密码组合，它可以是使用字符、数字等的全部组合，也可以是特定的字符集合。暴力攻击是将所有可能的组合都进行尝试，这是最暴力、最耗时的一种攻击方式。

        暴力破解--验证码绕过 on client：正确的应该是，后端生成验证码，传到前端时是图片的形式，(而不是以字符串的形式)用户在前端输入验证码，与后端的验证码值做对比。在bp的repeater模块，更改username和password，查看response有没有改变，如果没有则说明存在漏洞，验证码过期，可以进行attack。

        token（令牌）是为了用户安全性使用的，在用户向服务端请求数据时，服务端需要通过数据库来判断用户名和密码是不是正确，来确定是否给内容。Token类似钥匙，可以锁住服务器，下次可以直接拿钥匙来获取资源，可以减轻服务器压力。

        登录的时候客户端token要和服务端token进行比较是否正确。
        如果想要爆破的话，在每次请求前要把上一次请求的响应包获取到，把其中的token值取出来