1. wordpress博客的登录界面一般是根目录下的wp-login.php
2. 使用工具： CMSmap
下载（kali）： git clone https://github.com/dionach/CMSmap
使用：
./cmsmap.py 目标网址 扫描该网站，得出有关信息 每次运行时会自动检查版本并更新
./cmsmap.py 目标网站 -u admin -p 密码字典的路径
./cmsmap.py -i /root/wp.txt -u admin -p /root/password.txt -v -o w.txt 批量网站扫描
3. php，asp，aspx的一句话密码破解：
使用工具： cheetah.py
案例： python cheetah.py -u 一句话的url -n 1000
4. webshell密码破解：
a. asp木马溢出工具（Asp_Overflow.exe）
b. burpsuite的intruder模块
5. 爆破有验证码的后台：
a. 后台的验证码不刷新，可以重复利用的：
正常爆破
b.
6. 多线程百万密码爆破：
对于大型的字典，导入需要大量内存，而且burpsuite也无法导入大型字典，此时需要使用别的工具来进行爆破。
工具： kali中的wfuzz
exp实例：
wfuzz -c -z file,/pentest/csdnpass.txt --hc 200 -u url... -d "post要传的参数，要fuzz的参数把=的后面的内容改成FUZZ"
-z 表示文件 --hc 表示隐藏状态为200的结果 -d 表示参数
