Web安全与防护 实训指南 2.3使用BurpSuite进行暴力破解.pdf

使用BurpSuite进行暴力破解

【实训目的】

1.深入认识BurpSuite的各功能模块，尤其是Intruder模块。

2.能利用Intruder模块对目标系统进行暴力破解。

【实训原理】

BurpSuite是用于攻击web应用程序的集成平台，包含了Proxy、Spider、

Scanner、Intruder等模块，各模块之间设计了许多接口，相互关联，可以共享一

个请求，可以利用Intruder模块进行暴力破解。

【实训步骤】

步骤一、分析DVWA系统的BruteForce功能。

登录DVWA系统，选择左侧“DVWASecurity”中的low级别，再单击左侧

的“BruteForce”，出现如下图界面。当输入正确的用户名和密码时，会提示

“Welcomtothdpasswordprotectedareaadmin”，如果用户名和密码不正确，则提

示“usernameand/orpasswordincorrect”。

图2-33DVWA系统BruteForce模块界面

步骤二、利用Proxy抓取登录的请求信息并发送到intruder模块。

（1）在浏览器配置好代理，具体操作可参考单元1.2.5实训。

（2）抓取请求信息并发送到Intruder。在上图所示界面中填写username和

password栏中分别填写admin和123456，点击login，在BurpSuite的

proxy模块中将出现如下请求信息。

图2-34BurpSuite截获的登录数据报文

（3）将请求信息发送到Intruder模块。右键点击“SendtoIntruder”，将会

在Intruder模块的position标签页中看到如下信息。

图2-35BurpSuiteIntrude模块显示的数据报文

步骤三、选择Attacktype。

点击Attacktype的下拉按钮，会出现四种攻击类型，这四种攻击类型的含义

如下：

表2-6BurpSuiteIntruder攻击类型

攻击类型描述

Sniper对变量依次进行破解，它会针对每个position中§§位置更换为字典中

的值。适用于使用单一的字典，对每个请求参数单独地进行测试。攻

击中的请求总数应该是position数量和字典中值的乘积。

Batteringram对变量同时进行破解，它会重复字典并且一次把所有相同的字典中

的值放入指定的位置中。适用于使用单一的字典，需要在请求中把相

同的输入放到多个位置的情况。请求的总数是字典中值的总数。

Pitchfork每个变量将会对应一个字典。对于定义不同的位置可以使用不同的

字典。攻击会同步迭代所有的字典，把字典中的值放入每个定义的位

置中。比如：position中A处有a字典，B处有b字典，则a[1]将会

对应b[1]进行attack处理，这种攻击类型非常适合那种不同位置中

需要插入不同但相关的输入的情况。请求的数量应该是最小的字典

中值的数量

Clusterbomb每个变量将会对应一个字典，并且交集破解，尝试每个组合。攻击会

迭代每个字典，每种字典值的组合都会被测试一遍。比如：position

中A处有a字典，B处有b字典，则两个字典将会循环搭配组合进

行attack处理这种攻击适用于那种位置中需要不同且不相关或者未