基于表单的暴力破解
开始前准备
所需工具：
burpsuite
开始攻击
尝试进行登录，提示登录失败
打开burp抓包，如果抓包失败的话将127.0.0.1替换为本机的ip地址，这样就能正常抓包
随便输入账号密码，进行抓包
将包发送到测试器，使用sniper模块，添加password变量
加载密码字典
点击查看代码
admin
123456
pikachu
000000
test
abc123
password
xioaming
flag
bingjilin
pingguo
pussy
12345
dragon
qwerty
696969
mustang
letmein
baseball
master
michael
football
shadow
monkey
abc123
pass
fuckme
6969
jordan
harley
ranger
iwantu
jennifer
hunter
fuck
2000
test
batman
trustno1
thomas
tigger
robert
access
love
buster
1234567
soccer
hockey
killer
george
sexy
andrew
charlie
superman
asshole
fuckyou
dallas
jessica
panties
pepper
在桌面上创建txt文件，将密码复制粘贴进去，然后导入到burp中
设置重定向
寻找长度不一样的数据，这个123456就是密码
在登录界面输入admin/123456，显示登录成功
burp的四种攻击类型
Sniper（狙击手模式）
顾名思义，就是一个一个的来，就跟98K一样，一枪一个准。也是最基础的一种模式。
添加了一个参数的话，并且假设payload有500个的话，那就执行500次，如果添加了两个参数的话，就会挨着来，第一个参数开始爆破时，第二个不变，如此这样，会进行500+500此 总共1000次爆破。
Battering ram（攻城锤）
和狙击手差不多，一个参数的话都一样，只不过如果添加了两个参数的话，就一起进行爆破。那么两个参数爆破时候的值肯定就是一样的了。那么就只会进行500次爆破。
Pitchfork（草叉模式）
此模式下如果只添加了一个参数的话，会报错，添加了两个参数的话 ，要求添加两个payload
payload1：1，2
payload2：3，4
那么第一爆破为 1，3
而二次爆破为2，4
如果两个payload行数不一致的话，取最小值进行测试。所以爆破的次数取两个中最小的为准。
Cluster bomb（集束炸弹）
同pitchfork，起码两个参数，但此操作会计算两个的payload 的笛卡儿积。
比如payload1：1,2,3
payload2：4,5,6
那么第一次爆破为 1,4
第二次为1,5
以此类推 1,6
2,4
2,5......
