暴力破解(含有验证码)
今天做了一个WEB题,点击链接后得到下面界面,要让我们破解个密码
我靠,尽然还有验证码,这就有点头疼了。毕竟我只是个刚入门的小菜鸡。不过问题总会有解决的办法的嘛
《论语》中说过【工欲善其事,必先利其器】,然后我就找到了一个很好用的软件…………(下面我们开始正式解题吧!)
1.首先我们随便输入一个密码和验证码,先不要急着登陆,因为你也登不上去^_^。然后设置好代理
2.接下来开始用bp抓包,抓到的包如下
3.复制抓包抓到的内容,然后打开我们刚下载的利器(Pkav HTTP Fuzzer ),将复制内容粘贴到(Pkav HTTP Fuzzer )的请求包中,并且将登录界面的地址也复制到(Pkav HTTP Fuzzer )的分析地址中4.然后在PK的重放设置中加载一个外部字典,也可以自己创建一个符合自己所要爆破密码条件的字典,然后导入(这里我就创建了一个三位数纯数字的字典,然后导入进去)可根据自己需求不同自行添加
5.将登录界面中的验证码图片复制下来,粘贴在图片型验证码设置栏中的验证码地址中,并且根据自己验证码的类型设置识别范围(都是中文的啦,我相信大家都看得懂的,这里我就不废话了)
6.在重放选项设置栏中把HTTP重放设置中的设置为如图所示,验证码长度根据需求进行设置
7.别忘了在图片型验证识别中识别检测一下是否识别成功
8.识别成功就可以在发送包中启动,静静等待爆破结束,然后在请求结果的长度一栏中找到那个不一样的烟火,点击一看他的返回包,{flag} 确认过眼神,你就是对的人。(当然你也可以去登陆界面用这个密码登陆,享受胜利的喜悦)
文章仅作为学习笔记,欢迎指正,不喜勿喷!