burpsuite暴力破解实验报告

靶机是力破个本地搭建的DVWA，low级别，解实登录表单就一个用户名一个密码，验报连验证码都没有。力破我用burpsuite抓包，解实把请求发到intruder模块，验报选了密码字典——一个12万行的力破rockyou.txt精简版，跑起来大概用了四分钟。解实结果出来的验报时候，admin:password123直接标了200，力破其他全是解实302重定向。就这么简单，验报弱口令在无防护面前等于裸奔。力破

暴力破解的解实核心不是“跑”，是验报“会跑”。我见过有人拿默认配置直接开干，线程开到50，结果目标服务器WAF直接封IP，前十分钟白费。这次实验我特意把线程调到5，加了0.5秒延迟，不是怕靶机扛不住，是想模拟真实场景——真实站点哪有让你全速跑的？burpsuite的intruder模块里，position标记要精确到参数值，别把整个cookie也标进去，否则每次请求session都变，等于白跑。

看结果的时候注意一个细节：302和200的响应长度差不了多少，但set-cookie字段完全不同。登录成功的响应会带一个新的会话id，失败的不会。所以我在grep-extract里提取了set-cookie的值，按长度排序，一眼就能筛出异常项。这个方法比看状态码靠谱，因为有些应用登录失败也返回200，只是页面里多一句“用户名或密码错误”。

这次实验最值的部分是测试了“用户名枚举”。先固定密码为错误值，跑一个常见用户名列表，发现admin返回的响应时间比user1、test这些多出80毫秒。为什么？因为系统先查用户名，存在才去比对密码哈希，不存在的直接返回。这80毫秒就是数据库多查了一次的代价。利用这个差异，我提前确认了admin账号存在，再把密码字典怼上去，命中率翻倍。

暴力破解不是技术活，是体力活加细心活。你需要的不是更强的工具，而是更聪明的字典。rockyou.txt里全是常见组合，但真实企业员工密码多半是“公司名+年份+符号”这种格式。我手动拼了一个小字典，把“dvwa2024”、“dvwa@2024”、“Dvwa123!”这类加进去，结果第三个就中了。工具只是执行者，思路才是主导。

收尾时我做了个反制测试——用burpsuite的sequencer分析token，发现DVWA的token是纯随机数字，没有时间戳种子，但长度只有8位，理论上可预测。不过low级别根本没token，medium才加。这提醒我：防护层每加一道，攻击成本就翻几倍。但现实中很多站点连最基础的账号锁定都没有，暴力破解依然是最实用的入门攻击手段。