#

#密码爆破

##1、首先要安装Java JDK，然后安装burp suite软件，打开工具包中的Burpsuite文件夹，打开BurpLoader.jar

#2、配置Burp代理，依次点击Proxy —> Options，设置端口和IP

##3、配置浏览器代理（Firefox）

#4、以上设置完成后，就可以进行抓包爆破了，首先进行抓包，Proxy —> Intercept —Intercept is off/on

###注：设置Intercept is on时，点击需要抓取包的页面，就可以抓取请求包

###注意：如果抓取登录的请求包后并且用户名和密码都是明文的话，便可进行爆破。

##6、查看网页源代码，拖到最下面可看到password.txt，将网址部分替换为它，搜索到密码库，新建TXT文件，将全部密码复制到里面

##7、接下来，爆破步骤如下：Action —> Sent to Intruder

##8、Intruder —> Positions

##9、单击Clear ，然后分别选中admin —> Add，选中1234 —> Add

##10、点击 Payloads，并导入前面新建的TXT文件

##11、Intruder —> start attack,进行爆破

##12、结果查看，通过Length来判断爆破是否成功。找出长度不同的一个那么可以根据这个长度判断出，爆破出的用户名是admin密码是axis2。

###注：爆破成功的用户名和密码返回长度与失败的返回长度差异很大

###（此图借用别处，但是就是这个道理= =）

Password blasting