记一下第25-26课的内容。弱口令爆破的四种模式与判断成功失败的三种方案；爆破中的验证码拦截+错误次数+IP限制+密码加密绕过 + IP获取的原理以及绕过CDN获取客户真实IP

一、弱口令的分类

1.常规弱口令：如123456，666666，888888等

2.默认弱口令：如防火墙、路由器出厂时的默认密码。

例，天融信防火墙的默认密码：

又例如，深信服防火墙默认密码Sangfor888

二、使用burp进行弱口令爆破

打开我们的靶场，找到admin登录页面后台登录

1.随便在后台输入登录信息，抓一个登录数据包，并选择“发送到Intruder”

2.通过文件加载字典，进行爆破

然后选择攻击类型为sniper，在密码处添加payload位置，设置好后，点击开始攻击：

通常而言，爆破成功所返回的“长度”字段的值要么会很大，要么会很小，会和正常返回的值不一样，不过此处登录成功和登录失败都有715的长度，这里的原因是，登录成功里面，url是非空的，登录失败里面，url是空的，然而登录成功的msg字段为“登录成功”，登录失败的msg字段为“用户名或密码错误”，正好抵消了字段长度差，因此具体情况要具体分析。

另外，我们在已知这里登录成功会出现"code":1字段的情况下，我们可以在攻击的结果页面，点击“设置”，找到“检索-提取”，选择“从相应包中获取以下项目”，点击“添加”，并拉选"1"的相应位置，点击“确认”。

然后我们回到结果页面，就会有相应的显示：

除了sniper类型的攻击外，burp共支持四种类型的攻击，如下图所示：

①Sniper，单向模式，就是我们刚才演示的，爆破用户名或密码

②Battering ram，可以同时爆破用户名和密码（或者其他多个变量），通常用于寻找用户名和密码相同的账户，这时就要将用户名的变量位置和密码的变量位置都添加payload位置

③Pitchfork，这里要导入多个字典。攻击同时遍历所有payload集，因此它使用每个集中的第一个payload，然后使用每个集中的第二个payload，依此类推。对于哪一个变量使用哪一个字典，遵循“从上至下，从左至右”的原则。而对于字典的设置，在payload->payload集中进行设置

④Clusterbomb，集束炸弹，类似于交集，取第一个字典中的第i个元素，与第二个字典的所有元素进行遍历。

然而在实际应用中，我们往往面临各种各样的问题，下面对几个常见的问题进行讲解：

三、实践中的问题

1.验证码校验无法爆破

我们打开有验证码登录的靶场：

随便输入用户名密码，输入对应的验证码，在burp中开启拦截，点击登录

如果我们不去请求验证码接口，验证码就不会改变，所以我们先把它send to Intruder，然后直接丢弃这个数据包。这时候页面会提示有未知错误：

如何验证网页是否存在验证码漏洞呢？我们可以在intruder里面，连续两次提交，如果都提示“用户名或密码错误”，说明存在验证码漏洞，如果第一次提示“用户名或密码错误”，但第二次提交就提示“验证码错误”，说明这里的验证码不能这么办他。

至此总结验证码校验的绕过思路：

①在提交信息之后是否及时销毁掉了SESSION中的验证码，如果没有销毁，那么我们就可以无限调用。

②通过验证码识别软件或者某些burp插件去绕过。

③关于点触验证码（给一张图片让你依次点击文字）和滑动验证码的知识暂时不讲。

2.密码错误次数限制

实现过程：

①使用数据库进行验证，这个就很难进行爆破

②使用SESSION，就可以删除SESSION进行爆破

3.密码进行了某种加密

例如该网站的内容，我们随便输入用户名密码然后登陆，直接在网页中找到数据包，发现用户名和密码都被加密。

下面讲述尝试查看其如何加密的三种方法

在网页中找到用户名的位置，右键检查，发现其位置，并得知其name属性为username，id属性为u01。

然后进行查找，先查找其id在网页中出现的地方，发现并没有给我们提供有用的信息：

于是我们查找username，发现有相关内容，其加密可能是在此处进行的：

<!--if (document.loginForm.username.value == '') {document.loginForm.username.focus();} else {document.loginForm.password.focus();}//-->var publicKeyString = 'MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDSUmOXyQmYYSnZacp0btvAZCOvCNPtzixAp7eJmzmAG4mgy/VgrY/s1BDLh9qTNHIRWXepUtwMrf1kYul/A45qE/2oxIbeeq4238YDWQ7ModOVXR9ytEHsT0jpCFvoYfYXYZnnoWRrLIBylQeXzqxbLDxxBxGCs4AjoRKh5S7nNQIDAQAB';function rsa_encrypt(data) {var encrypt = new JSEncrypt();encrypt.setPublicKey(publicKeyString);return encrypt.encrypt(data);}function submitForm() {time(document.getElementById("myform"));var theForm = document.forms[0];if (theForm.username.value != '' && theForm.password.value != '') {if(theForm.username.value == 'sysadmin') {theForm.username.value = 'admin'}theForm.password.value = rsa_encrypt(theForm.password.value);theForm.username.value = rsa_encrypt(theForm.username.value);theForm.submit();}}// 提醒后连续三次登录失败锁定账号后，出现按钮登录倒计时var wait = -2;function time(object) { //如果没有缓存或者是登录锁定前，不进行按钮禁用if (wait == 0 || (true)) {object.removeAttribute("disabled");} else {object.setAttribute("disabled", true);wait--;if (wait == 0) {object.value = "登录";} else {object.value = "请在" + wait + "秒后重新尝试";}setTimeout(function () {time(object)}, 1000);}}

通过查看代码，我们可以判断出这里使用了rsa加密，并且可以找到其公钥publicKeyString = 'MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDSUmOXyQmYYSnZacp0btvAZCOvCNPtzixAp7eJmzmAG4mgy/VgrY/s1BDLh9qTNHIRWXepUtwMrf1kYul/A45qE/2oxIbeeq4238YDWQ7ModOVXR9ytEHsT0jpCFvoYfYXYZnnoWRrLIBylQeXzqxbLDxxBxGCs4AjoRKh5S7nNQIDAQAB'

这样，我们就可以通过他的代码，对我们的输入进行加密，然后放到数据包里面，实现爆破。

或者也可以在burp里面实现简单的编码，要记得将最下面的框去掉勾选，此外我们可以多次编码，只需要多次add即可：

四、PHP中获取IP的原理以及绕过CDN获取客户真实IP

function getClientIP(){//getenv()函数定义：取得系统的环境变量if (getenv("HTTP_CLIENT_IP")) {$ip = getenv("HTTP_CLIENT_IP");} elseif (getenv("HTTP_X_FORWARDED_FOR")) {$ip = getenv("HTTP_X_FORWARDED_FOR");} elseif (getenv("REMOTE_ADDR")) {$ip = getenv("REMOTE_ADDR");} else {$ip = "Unknow";}if ($ip == '::1'){//本地$ip = '127.0.0.1';}return $ip;
}

绕过CDN寻找网站真实IP的方法汇总_如何查找到网站真实ip-CSDN博客