Burp Suite弱口令暴力破解实战教程

实验目的

1. 掌握Burp Suite工具进行数据包抓取的基本使用方法
2. 学习利用Burp Suite对目标网站登录用户名和口令实现暴力破解

实验原理

Burp Suite是一款由PortSwigger公司开发的Web应用程序安全测试集成工具，广泛应用于渗透测试、漏洞评估和Web应用程序安全审计。它包含多个功能模块：

• 代理服务器：拦截和修改HTTP/HTTPS请求
• 漏洞扫描器：自动检测常见Web漏洞
• 爬虫：自动遍历网站目录结构
• 数据拦截和重放：捕获并修改请求后重新发送

实验环境准备

硬件要求

• 服务器：防火墙1台，Windows10 1台，Windows2016 1台
• 网络设备：路由器1台

软件要求

• Burp Suite（社区版或专业版）
• Java运行环境（Burp Suite运行必需）
• 火狐浏览器

实验步骤详解

1. 配置浏览器代理

1. 打开火狐浏览器，访问目标网站：http://202.1.10.57/wp-login.php
2. 在登录页面输入任意测试凭证（如用户名：123456，密码：123456）
3. 点击浏览器右上角菜单 → 选项 → 常规 → 网络设置 → 设置
4. 选择"手动配置代理"，设置HTTP代理为127.0.0.1，端口8080（Burp Suite默认监听端口）
5. 保存设置

2. 配置Burp Suite代理

1. 启动Burp Suite
2. 进入"Proxy" → "Options"选项卡
3. 确保代理监听器运行在127.0.0.1:8080（与浏览器设置一致）
4. 勾选"Intercept"选项卡中的"Intercept is on"以开始拦截请求

3. 捕获登录请求

1. 返回浏览器，再次尝试登录（使用任意凭证）
2. Burp Suite将拦截到POST请求
3. 在拦截的请求上右键 → "Send to Intruder"

4. 设置暴力破解参数

1. 进入"Intruder" → "Positions"选项卡
2. 清除所有自动标记的参数（点击"Clear §"）
3. 手动选择用户名和密码值，分别点击"Add §"标记为攻击点
4. 攻击类型选择"Cluster bomb"（适用于用户名和密码组合攻击）

5. 配置攻击载荷

1. 进入"Payloads"选项卡
2. 为第一个攻击点（用户名）设置载荷：
   • 载荷类型：Simple list
   • 添加常见用户名列表（如admin, root, test, guest等）
3. 为第二个攻击点（密码）设置载荷：
   • 载荷类型：Simple list
   • 添加常见密码字典（如123456, password, admin123, qwerty等）
4. 可导入外部字典文件增强攻击效果

6. 开始暴力破解

1. 点击右上角"Start attack"按钮
2. 观察攻击结果窗口，关注响应长度和状态码
3. 成功登录的请求通常会有不同的响应长度或状态码（如302重定向）

7. 验证破解结果

1. 从攻击结果中筛选出可疑的成功响应
2. 复制对应的用户名和密码组合
3. 在浏览器中尝试使用这些凭证登录
4. 确认是否能够成功进入系统

实验注意事项

1. 法律合规性：仅对授权测试的目标进行此类操作
2. 社区版限制：免费版Burp Suite的Intruder功能有速度限制
3. 目标防护：现代网站通常有防暴力破解机制（验证码、登录限制等）
4. 网络环境：确保攻击机和目标机网络连通性

实验结果验证

成功获取有效凭证的标准：

• 使用破解出的用户名密码组合能够登录目标系统
• 获取的权限与预期相符（如管理员后台访问权限）

防御建议

1. 实施账户锁定策略（多次失败尝试后锁定）
2. 使用强密码策略（复杂度要求）
3. 部署多因素认证
4. 添加验证码机制
5. 监控异常登录尝试

通过本实验，学习者能够掌握使用Burp Suite进行弱口令暴力破解的基本流程和方法，同时理解相关防御措施的重要性。