burpsuite暴力破解

把登录框当靶场，力破Burp Suite是力破最顺手的枪。别急着上字典，力破先抓包看响应。力破目标是力破个后台管理页，密码输错三次锁账号？力破那暴力破解就是个笑话——除非你连锁定逻辑一起打。我习惯先试五个错误密码，力破观察返回包的力破长度和状态码。多数系统用200加错误提示，力破锁定时变302跳转，力破这就有缝可钻。力破

真正动手时，力破Intruder模块是力破主战场。Sniper模式适合单点爆破，力破比如只爆破密码；Battering Ram和Pitchfork各有用途，力破但八成场景用Sniper就够了。记得把线程调低，20并发是安全线。有人追求速度拉到200，结果目标WAF直接封IP，得不偿失。我见过最蠢的操作是用默认字典跑admin账号，跑了三小时没中，换了个包含“admin2024”的定制字典，十分钟出结果。

响应码是最原始的判断依据。200和302是常态，但有些系统对错误密码返回200，正确密码返回200加不同长度。这时候要盯着“Length”列看。有一次我爆破一个API接口，所有请求都返回200，长度全是1420字节，唯独正确密码那条返回了1588字节。多出来的168字节是token信息。这种细节，写脚本的人自己都未必注意。

绕过锁定机制有个野路子：用X-Forwarded-For头伪造IP。系统按IP计数锁定，你每次请求换一个IP头，锁定逻辑就废了。Burp的Macro功能可以自动生成随机IP，或者用Python脚本配合Requests库循环发。但别高兴太早，有些系统把计数存在Session里，换IP没用。更狠的是验证码——图形验证码能拖住大多数爆破工具，除非你接OCR识别。有一次我碰上个四则运算验证码，OCR识别率惨不忍睹，最后手动输入，配合Turbo Intruder的慢速模式，硬是磨了四十分钟才破开。

别忽略爆破后的登录动作。有时密码对了但登录接口还有二次校验，比如短信验证码或设备指纹。你破出密码不代表能进系统，得看后续流程。我习惯爆破成功后立刻用Repeater手动重放登录请求，确认会话状态是否正常。有些系统会在密码正确时返回Set-Cookie，错误时不返回，这比看状态码更可靠。

工具是死的，人是活的。Burp的扩展插件能省不少事，比如Copy As Python Fuzzer，直接把请求转成脚本跑。但别依赖插件，核心还是理解HTTP交互逻辑。有一次我爆破一个GraphQL接口，参数是JSON嵌套结构，Intruder的默认位置标记根本选不中，最后手动改请求体，用递归爆破才搞定。这种时候，对协议的理解比任何工具都管用。

暴力破解的本质是概率游戏。字典质量决定上限，请求速度决定下限。我常用cewl爬目标网站生成定制字典，把公司名、成立年份、创始人姓名组合进去。默认字典只是开胃菜，真正出效果的是针对性的词表。有一次目标密码是“Tech@2024!”，字典里没有，但爬了官网新闻稿后发现他们刚发布年度技术报告，里面反复出现“Tech2024”字样，组合上特殊符号就中了。

最后提醒一句：爆破前先确认授权范围。这行当灰色地带多，别为了炫技把自己搭进去。工具无罪，用的人得有脑子。