漏洞描述: 暴力破解,顾名思义,就是通过大量已知的管理员用户名密码,对系统的登录页面进行大量尝试,直到成功获取可登录系统的正确账号密码。 测试方法: 1、找到网站登录页面。2、利用burp对登录页面进行抓包,将其发送到Intruder,并设置其密码参数,如pwd=为变量,添加payload(字典),进行攻击,攻击过程中查看其返回的字节长度,来判断是否成功,正确的密码的返回长度和其他错误密码不同,很好找。 一般情况下,暴力破解有三种形式: 1) 固定账号对密码暴力破解。2) 在得知账号具有规律性,或者通过某种方式获取到大量账号的前提下,固定密码对账号暴力破解。3) 使用网上流传...