安全测试基础安全漏洞类型爆破登录 BurpSuite抓包明文登录加密登录密码字典爆破成功查询爆破总结

工作中有需要用到安全测试部分，对安全测试有了初步了解，在此整理各类漏洞类型测试方法，查缺补漏。实际应用中常用安全测试工具有：Burp Suite、Sqlmap、Fidder。以下为常接触的漏洞类型：

要对一个系统进行安全测试，需要进行登录操作，可以使用Burp Suite进行爆破登录测试。首先通过Burp Suite抓包，查看登录时用户名密码是否加密，以及判断加密方式，此前遇到的加密方式有明文数字、md5加密、sha256加密以及密码字典等几种情形。

打开burpsuite软件可见有四种模式：Sniper、Battering ram、Pitchfork、 Cluster bomb，在实际应用中我应用到较多的是Sniper和Cluster bomb，以下主要是这两种模式的介绍。

1.密码为明文数字，选择sniper及变量，配置参数：

2.密码加密配置，可根据实际情况选择不同加密方式，可选择md5或sha256等

3.密码字典配置，使用Cluster bomb，分别选择对应参数倒入用户名和密码字典

爆破成功则可以通过执行结果判定正确密码，在最后爆破果中按长度倒序排序，长度最长的为正确用户名、密码，结果如下图所示：

爆破登录只是安全测试的第一步，实际情况并不止以上几种，还需要根据实际情况更改爆破策略。