基于HTTP Basic认证的爆破网上有好多神器可以用，比如Burp Hydra等等。这里推荐一个小巧的pYTHON写的小工具，htpwdScan
usage: htpwdScan.py [options]
* An HTTP weak pass scanner. By LiJieJie *
optional arguments:
-h, --help 显示帮助
Target:
-u REQUESTURL 设定目标URL, 示例.
-u="https://www.test.com/login.php"
-f REQUESTFILE 从文件导入HTTP请求
-https 当从文件导入HTTP请求时，启用https(SSL)
-get 使用GET方法，默认: POST
-basic [ ...] HTTP Basic 暴力破解.
示例. -basic users.dic pass.dic
Dictionary:
-d Param=DictFile [Param=DictFile ...]
为参数设定字典文件,
支持哈希函数如 md5, md5_16, sha1.
示例. -d user=users.dic pass=md5(pass.dic)
Detect:
-no302 无视302跳转, 默认302敏感
-err ERR [ERR ...] 响应文本的破解失败标记,
示例. -err "user not exist" "password wrong"
-suc SUC [SUC ...] 响应文本中的破解成功标记,
e.g. -suc "welcome," "admin"
-herr HERR 响应HTTP头的破解失败标记
-hsuc HSUC 响应HTTP头的破解成功标记
-rtxt RetryText 响应文本中的重试标记，出现则重试请求,
示例. -rtxt="IP blocked"
-rntxt RetryNoText 响应文本中的重试标记,未出现则重试请求，
示例. -rntxt="<body>"
-rheader RetryHeader 响应头中的重试标记，出现则重试请求,
示例. -rheader="Set-Cookie:"
-rnheader RetryNoHeader
响应头中的重试标记，未出现则重试请求,
示例. -rheader="HTTP/1.1 200 OK"
Proxy and spoof:
-proxy Server:Port 设定少量HTTP代理
示例. -proxy=127.0.0.1:8000,8.8.8.8:8000
-proxylist ProxyListFile
从文件批量导入HTTP代理,
示例. -proxylist=proxys.txt
-checkproxy 检查代理服务器的可用性.
可用代理输出到 001.proxy.servers.txt
-fip 生成随机X-Forwarded-For欺骗源IP
-fsid FSID 生成随机session ID. 示例. -fsid PHPSESSID
-sleep SECONDS 每次HTTP结束，等待SECONDS秒,
避免IP被临时屏蔽，进入黑名单
Database attack:
-database DATABASE 导入社工库中的数据.
示例. -database user,pass=csdn.txt
-regex REGEX 从社工库中提取数据的正则表达式，必须分组.
示例. -regex="(\S+)\s+(\S+)"
General:
-t THREADS 工作线程数，默认50
-o OUTPUT 输出文件. 默认: 000.Cracked.Passwords.txt
-debug 进入debug模式检查HTTP请求和HTTP响应
-nov 只显示破解成功的条目，不显示进度
-v show program's version number and exit
htpwdScan.py -u=http://www.code521.com/ -basic user.txt password.txt
HTTP协议之基本认证 ：http://kb.cnblogs.com/page/158829/
htpwdScan 下载地址 ：https://github.com/lijiejie/htpwdScan
