很多人在初学网络安全测试时第一个接触的实战工具往往就是Burp Suite而密码爆破又是绕不开的经典入门场景。说白了爆破就是对着登录接口反复提交用户名和密码组合直到某一次恰好试出了正确凭证。这个操作听起来简单但真正落地时涉及抓包、参数定位、字典选择、结果分析一系列环节很多小白就是卡在这些衔接处查了一圈教程依然拼不出完整流程。这篇文章就以本地实验环境为例从零走一遍用Burp Suite做登录密码爆破的完整过程把每个环节为什么这么做、有哪些坑都拆开讲透。不管你是刚装好Burp Suite还一头雾水还是试过几次但总爆破失败这篇实操记录都能直接对着抄。1. 准备工作先搭一个能合法动手的试验台1.1 爆破的本质其实就是试钥匙在动手之前得先想明白爆破到底在做什么。登录功能本质上是一个判断题服务端收到用户名和密码后返回对了或错了。爆破就是把这个判断过程自动化用字典里的候选值去批量试。打个比方就像你丢了一把钥匙在小区里挨家挨户试门锁总有一扇门能打开。而Burp Suite里的Intruder模块就是那把帮你自动试锁的机械手。这里要提醒一句爆破只能在你拥有授权的目标上进行比如你自己搭的靶场、公司授权的渗透测试项目、或者CTF比赛环境。没有授权就拿别人系统爆破那是违法行为哪怕只是练手也不行。本文所有演示都基于本地实验环境读者在实际操作时一定要守住这条边界。1.2 环境清单Burp Suite、浏览器、靶场三件套需要准备的东西其实不多社区版就完全够用Burp Suite Community Edition去官网下载安装即可社区版虽然有速度限制但做小规模爆破演示毫无压力。浏览器Chrome或Firefox都行关键在于后面要配置代理。本地实验环境建议在自己电脑上部署一个开源漏洞练习平台或者写一个最简单的PHP/Node登录页。别直接拿真实网站练手这点不用再强调了。我自己的习惯是本地起一个虚拟机里面装好实验靶场宿主机跑Burp Suite中间用浏览器访问虚拟机上的登录页。这样环境隔离不怕把实验环境搞坏也方便随时快照回滚。注意Burp Suite启动后默认监听127.0.0.1:8080这个端口就是浏览器代理要指向的位置。1.3 浏览器代理配置让流量从Burp眼皮底下经过Burp Suite之所以能截获请求靠的是中间代理机制。浏览器把请求先发给Burp监听端口Burp再把请求转发给目标服务器响应也原路返回。这样Burp就能在中间偷看甚至修改流量。配置步骤非常简单Burp Suite启动后点开Proxy模块确认Interface监听在127.0.0.1:8080。打开浏览器的代理设置手动配置HTTP代理为127.0.0.1端口8080。首次配置代理后访问任意HTTP站点浏览器会提示证书不受信任。这是因为Burp生成了自己的CA证书需要导出并安装到系统信任列表里具体路径在Proxy - Options - Import/Export CA Certificate。安装证书后HTTPS流量才能被正常解密和查看。验证是否生效访问实验靶场登录页打开Burp的Proxy - HTTP History能看到浏览器发出的请求出现在列表里说明代理已生效。这一步最常见的坑是浏览器走的是系统代理但系统代理没刷新或者之前装过其他代理插件抢占了8080端口。实测下来直接在浏览器设置里配置代理最省心注意用完要恢复成无代理状态不然会发现上不了网。2. 抓包定参把登录请求拆开看清楚2.1 一条登录请求里藏着哪些关键信息在爆破之前必须先搞清楚登录请求长什么样。打开实验靶场的登录页面随便输入一个用户名和密码比如admin / 123456然后点击登录。此时不要急着看页面反应先打开Burp的Proxy - HTTP History找到刚才那条POST请求。点击这条请求右侧会显示完整的请求报文大致长这样POST /login.php HTTP/1.1 Host: 192.168.1.10 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) ... Content-Type: application/x-www-form-urlencoded Content-Length: 31 Cookie: PHPSESSIDabc123def456 usernameadminpassword123456这里的信息可以分为两部分请求头和请求体。请求头里有Host、Cookie、User-Agent等元信息其中Cookie通常用来维持登录状态爆破时一般要带着。请求体是真正的参数区userame和password这两个字段就是我们要爆破的目标。对小白来说理解请求体的结构至关重要。服务端就是根据这里面的字段名来接收数据的字段名称变了、顺序乱了都可能导致爆破无效。所以下一步我们就要把这两个字段标记为爆破位置。2.2 用Proxy拦截精准获取登录请求直接在HTTP History里找请求虽然可行但请求一多就容易眼瞎。更稳妥的方法是开启拦截。操作路径Proxy - Intercept把Intercept开关打开然后回到浏览器再提交一次登录。此时Burp会卡住这个请求界面会显示Forward和Drop两个按钮请求就被拦住了。在拦截界面里可以自由编辑请求内容。比如把password字段的值改成随便一个字符串然后再点击Forward放行服务端返回的结果会对应改变。这一步的意图是确认哪些参数会真正影响服务端判断。如果改了username返回的错误提示变了说明这个字段是爆破参数如果改了Cookie里的某个值返回结果却不变说明这个字段暂时不用管。拦截结束记得把Intercept开关关掉不然之后所有请求都会被卡住浏览器也会一直转圈。经验有些实验环境登录请求是GET方式参数直接放在URL里。原理完全一样只是标记爆破位置时空格后面选中的是URL中的参数串而不是请求体。别被这个差异绕晕。2.3 识别真正能爆破的参数别被干扰项带偏一个登录请求里往往不止一组参数。除了username和password经常还有csrf_token、captcha、rememberme这种附加字段。CSRF Token现在的Web应用里非常常见这个参数每一次请求都会变化由服务端生成并嵌入页面提交时校验。如果直接把这个参数也标记为爆破位置那每次爆破请求的token值都是旧的服务端一校验就直接拒绝爆破100%失败。那怎么区分哪些参数能爆破、哪些是干扰项很简单看参数值是否每次请求都不变。可以多拦截几次登录请求对比一下固定值username、password你手动输入的值在每次请求里肯定不同但爆破时我们会替换它动态值csrf_token、captcha每次生成都不同不能直接当爆破对象除非你有办法实时获取对于带CSRF Token的实验环境入门阶段最简单的方法是在靶场配置里把Token校验关掉或者找一个没有Token的实验页面来练手。理解了爆破基本流程之后再学习用Burp的宏功能自动提取Token那是另一个进阶话题。3. 正式爆破Intruder模块四步走3.1 把请求发送到Intruder并标记爆破位置抓到登录请求后右键点击请求选择Send to Intruder进入爆破工作台。界面上方有四个标签页Target、Positions、Payloads、Options。Target页保持默认即可里面是目标地址和端口一般不用动。关键在Positions页。这里会看到刚才的请求报文而且有些参数值已经自动被两个§符号包裹例如username§admin§password§123456§这两个§符号就是爆破位置的标记。爆破时Intruder会把标记范围内的值替换成字典里的候选值。如果自动标记的位置不符合需求可以手动选中参数值点击右边的Add §按钮来添加标记。要注意的是标记只能包裹参数值不要把字段名username也包进标记区那样字段名也会被替换掉服务端就认不出来了。3.2 选择Attack TypeSniper还是Cluster BombPositions页面里有一个Attack Type下拉框这个选项决定了多个爆破位置如何组合。入门阶段只需要搞懂两种攻击类型适用场景工作方式Sniper狙击手只有一个爆破位置依次把字典值套到每个标记位置上一次只变一个位置Cluster bomb集束炸弹同时爆破多个位置笛卡尔积组合比如用户名字典5个、密码字典10个就会产生50组请求如果是只爆破密码、用户名已知比如admin用Sniper就够了。如果用户名和密码都需要爆破就要用Cluster bomb。这里举个实际例子验证一下理解假设用户名有100个候选值密码有1000个候选值用Sniper跑两个位置会产生100 1000 1100个请求用Cluster bomb跑却会产生100 x 1000 10万个请求。所以除非确实需要同时爆破多个字段否则优先用Sniper可以大大节省时间。3.3 配置Payload字典爆破的弹药从哪来Payloads标签页是整个爆破最核心的配置区域。Payload type选择Simple list然后在下方输入或粘贴候选值也可以点击Load加载外部字典文件。除了简单列表还有几种常用类型Numbers生成一段连续数字适合爆破纯数字密码比如1到999999。Runtime file从外部文件逐行读取字典不会一次性加载进内存适合超大字典。Custom iterator把多个词典按位置组合比如第1位是字母、第2位是数字灵活度更高但理解成本也高一点。对于第一次实操建议先做一个最小的字典测试用户名填admin密码填123456、password、admin123、12345678这几个常见弱口令。这样一是速度快二是便于理解爆破的流程和结果差异。这里还要提一个容易被忽略的概念Payload processing也就是载荷处理规则。比如目标系统要求密码必须转换成MD5后再传输或者请求体要求URL编码可以在Payload Processing里添加对应的规则让Burp在发包前自动处理。入门阶段很少用到但知道有这个功能就行。3.4 设置速率参数别让爆破变成DDoSOptions标签页里有几个参数直接影响爆破的效率和隐蔽性。最关键是Request Throttling默认是0毫秒延迟也就是全速发包。对于本地实验环境这没问题但如果目标有限速机制全速发包很容易触发封禁。实践中Chris推荐设置1000到3000毫秒的间隔礼貌且有效。另外是Number of threads线程数决定了并发请求数。社区版默认限制单线程实际上很多操作都串行执行所以这个值调高意义不大。专业版可以调但也要谨慎——线程数过高容易导致服务端崩溃或WAF报警。对于教学实验默认设置就足够了。还有一个Number of retries选项默认是0。如果网络不好偶尔丢包可以适当增加重试次数但要注意这会让总请求数膨胀。我自己的习惯是网络环境稳定就保持默认不稳定就设置1次重试。3.5 点击Attack分析爆破结果配置完成后点击右上角的Start Attack按钮会弹出一个新的结果窗口。这里每一行代表一次请求列含义如下Request编号第几个请求Payload这次请求使用的字典值StatusHTTP响应状态码Response Length响应内容长度Response Timing响应耗时爆破结果的判断逻辑总结成一句话观察大多数失败样本的共性找到特立独行的那一个。比如99%的请求返回状态码200、响应长度1300字节突然有一个请求返回302、响应长度1450字节这个大概率就是爆破成功的标志。因为服务端在密码错误时和密码正确时的处理逻辑往往不同返回的内容或状态码自然有差异。找到可疑结果后选中这一行右键选择Send to Repeater把请求单独发送到Repeater模块再点击Send对比响应内容和原始登录失败的响应。如果响应里出现了跳转链接、欢迎语、或者提示登录成功那就可以实锤了。经验不要只看状态码有些实验环境对成功和失败都返回200但在响应Body里有明显的差异。建议在结果表上点击Length列排序把长度异常的请求排到最前面检查效率会翻倍。4. 实战中的坑常见问题与排查实录4.1 抓不到包先检查这三处这是新手最常卡住的地方。配置了代理但Burp里看不到任何请求90%是下面三个原因之一浏览器代理没有生效。很多浏览器有使用系统代理设置和使用浏览器自带代理两套逻辑如果只改了系统代理而浏览器没勾选对应选项流量就不会走到Burp。Burp的监听地址没监听在正确的网卡上。如果虚拟机里访问靶场需要确认是否监听了所有接口或者手动指定宿主机的IP。浏览器扩展冲突。常见的广告拦截、代理类扩展会把流量带偏排查方式是开一个无痕窗口禁用所有扩展试试。最适合验证的方法是先访问一个不存在的地址比如http://test如果Burp里出现了这个请求说明代理链路是通的。4.2 爆破完所有字典都没成功大概率是编码或格式问题字典明明有正确密码却爆破失败这种情况也很常见。原因主要有密码在传输前被哈希处理。有些系统会在前端用JavaScript对密码进行MD5或SHA1运算后再提交直接提交明文自然无效。可以用Burp的Payload Processing添加Hash - MD5规则让每个候选密码先哈希再发送。参数名和实际不符。有的系统用user、pass等字段名而不是username、password抓包确认一下再标位置。大小写敏感。字典里的候选值和实际密码大小写不一致服务端严格区分大小写自然匹配不上。排查思路是先手工在浏览器里用正确密码登录一次然后拦截这个请求对比它和爆破请求之间的差异。如果正确密码在请求里也不是明文就说明存在哈希过程。4.3 爆破时请求报了429或403说明有限速机制有的实验环境故意加了请求频率限制比如同一IP每分钟最多允许30次登录尝试。爆破几秒钟内发出了上百个请求直接把请求频率干爆服务端拒绝响应。看到429 Too Many Requests或者403时需要冷静处理。策略有两种一是降低速率在Options里把Throttle调大比如3000毫秒一次二是换用更精确的字典减少无效请求与其低效地广撒网不如花时间琢磨更有可能成功的密码组合。如果目标是练习绕过限速可以在Request Headers里手动添加X-Forwarded-For头伪造随机IP来分散计数但这是另一层攻防博弈了入门阶段先在限速条件下老老实实跑。4.4 明明状态码都是200怎么区分成功和失败这是判断爆破结果的核心难点。状态码200只是说明请求到达了服务器并不代表登录成功。正确思路是构建一组对照样本用错误的密码比如admin / definitely_wrong登录一次记录响应内容。用正确的密码登录一次记录响应内容。在爆破结果中把响应长度、响应时间、状态码三个维度同时对比找到偏离绝大多数样本的请求。比如失败响应统一是用户名或密码错误、长度200字节成功响应可能出现欢迎回来、长度500字节甚至直接302重定向到首页。这种差异一眼就能看出来。万一所有响应都一样可以检查一下是否还有动态Token干扰导致每次请求都被拒绝。4.5 爆破效率低怎么办爆破时间主要由两个因素决定字典大小和请求延迟。举例来说一万个密码的字典设置2000毫秒延迟跑完需要20000秒约5.5小时如果再加上多位置笛卡尔积时间会指数级上升。所以优化路径基本就是两条缩小字典先把字典按规则过滤比如目标系统要求密码至少8位包含数字字母就提前过滤掉不符合规则的条目。精确候选先通过信息收集判断目标可能的密码规律比如姓名加生日、公司名加年份生成定向字典速度快了不知道多少倍。我个人的心得是爆破不是无脑跑字典前期花半小时做信息收集往往比盲目跑24小时字典效率高一个量级。攻击成功与否很多时候不是工具能力的差距而是思路和准备的差距。5. 爆破之外从攻防视角看这套技术5.1 防御方视角爆破为什么能成功又该怎么防了解了爆破的原理自然能推导出防御思路。既然爆破依赖的是多次提交尝试那防御的核心就是限制尝试次数和提升尝试成本。常见手段包括登录失败次数锁定连续5次失败就锁定账号15分钟。验证码机制每次登录要求输入图片或滑块验证码自动化脚本很难绕过。双因素认证即使密码被爆破成功没有第二个因素依然进不去。速率限制按IP和账号维度限制登录频率。监控告警对单账号高频失败尝试做实时检测触发告警和封禁。从这里能看出来单纯的密码强度策略并不是万能的还需要配合整体的访问控制策略。作为测试人员理解了这些防御手段才能设计出更合理的爆破策略。5.2 从爆破到更聪明的爆破Burp Suite的Intruder只是爆破的入门形态它本身也提供了很多进阶功能。一个常见误区是爆破只是一次性把所有请求发出去然后等结果。真正高效的爆破应该是边跑边调整用Intruder的Grep Match功能预先设置提取规则比如匹配登录成功关键词跑完直接高亮显示。用Extract功能从响应中提取动态值配合宏自动更新Token解决带CSRF Token的爆破场景。把爆破结果导入其他分析工具比如先跑一遍用户名枚举再用枚举结果生成定向密码字典继续爆破。再补充一个细节自定义字典的构造往往是爆破成败的分水岭。比如目标系统密码策略是首字母大写加数字加符号那跑纯小写字母字典就是在浪费资源。花点时间研究目标的信息再生成几百条高概率密码效果可能比随机跑百万字典还好。这行当拼的不是蛮力是思路。5.3 关于边界技术本身没有倾向使用者的选择才有写这篇文章的目的很简单把Burp Suite密码爆破这个入门技术讲明白让刚踏入Web安全测试的朋友少走弯路。但我还是想认真多说一句爆破手段只有一个合法前提就是授权。本地实验靶场、CTF竞赛、有书面授权的渗透测试都算合法场景除此之外的任何系统都不应该成为练习对象。我们研究攻击技术是为了更深刻地理解防御而不是为了打穿什么系统。安全测试人员的价值恰恰体现在知道哪里能测、哪里必须停手。这也是为什么我在每一节都强调在本地环境、实验环境操作。自己搭一个靶场想怎么测都可以测坏了快照还原就行这才是学习技术最踏实的方式。最后聊两句实操体会折腾了这么多年安全测试我最大的感受是Burp Suite就像一个放大镜加机械手放大镜帮你看清每一个请求细节机械手帮你批量执行重复操作。爆破只是它能力的一部分但把爆破练透你对HTTP协议、Web应用运行机制的理解会上一个台阶。建议刚入门的读者别急着追求花哨工具就按这篇记录的流程在本地靶场里反复跑几遍爆破直到拿到结果那一刻的套路都熟稳了再往Cookie伪造、Token绕过这些深水区走。工具是越用越顺手的思路是越练越开阔的。 
长河君 · 2026/10/15 4:51:55 · 阅读 1.2k Burp Suite密码爆破实操：从抓包到Intruder完整流程
很多人在初学网络安全测试时第一个接触的实战工具往往就是Burp Suite而密码爆破又是绕不开的经典入门场景。说白了爆破就是对着登录接口反复提交用户名和密码组合直到某一次恰好试出了正确凭证。这个操作听起来简单但真正落地时涉及抓包、参数定位、字典选择、结果分析一系列环节很多小白就是卡在这些衔接处查了一圈教程依然拼不出完整流程。这篇文章就以本地实验环境为例从零走一遍用Burp Suite做登录密码爆破的完整过程把每个环节为什么这么做、有哪些坑都拆开讲透。不管你是刚装好Burp Suite还一头雾水还是试过几次但总爆破失败这篇实操记录都能直接对着抄。1. 准备工作先搭一个能合法动手的试验台1.1 爆破的本质其实就是试钥匙在动手之前得先想明白爆破到底在做什么。登录功能本质上是一个判断题服务端收到用户名和密码后返回对了或错了。爆破就是把这个判断过程自动化用字典里的候选值去批量试。打个比方就像你丢了一把钥匙在小区里挨家挨户试门锁总有一扇门能打开。而Burp Suite里的Intruder模块就是那把帮你自动试锁的机械手。这里要提醒一句爆破只能在你拥有授权的目标上进行比如你自己搭的靶场、公司授权的渗透测试项目、或者CTF比赛环境。没有授权就拿别人系统爆破那是违法行为哪怕只是练手也不行。本文所有演示都基于本地实验环境读者在实际操作时一定要守住这条边界。1.2 环境清单Burp Suite、浏览器、靶场三件套需要准备的东西其实不多社区版就完全够用Burp Suite Community Edition去官网下载安装即可社区版虽然有速度限制但做小规模爆破演示毫无压力。浏览器Chrome或Firefox都行关键在于后面要配置代理。本地实验环境建议在自己电脑上部署一个开源漏洞练习平台或者写一个最简单的PHP/Node登录页。别直接拿真实网站练手这点不用再强调了。我自己的习惯是本地起一个虚拟机里面装好实验靶场宿主机跑Burp Suite中间用浏览器访问虚拟机上的登录页。这样环境隔离不怕把实验环境搞坏也方便随时快照回滚。注意Burp Suite启动后默认监听127.0.0.1:8080这个端口就是浏览器代理要指向的位置。1.3 浏览器代理配置让流量从Burp眼皮底下经过Burp Suite之所以能截获请求靠的是中间代理机制。浏览器把请求先发给Burp监听端口Burp再把请求转发给目标服务器响应也原路返回。这样Burp就能在中间偷看甚至修改流量。配置步骤非常简单Burp Suite启动后点开Proxy模块确认Interface监听在127.0.0.1:8080。打开浏览器的代理设置手动配置HTTP代理为127.0.0.1端口8080。首次配置代理后访问任意HTTP站点浏览器会提示证书不受信任。这是因为Burp生成了自己的CA证书需要导出并安装到系统信任列表里具体路径在Proxy - Options - Import/Export CA Certificate。安装证书后HTTPS流量才能被正常解密和查看。验证是否生效访问实验靶场登录页打开Burp的Proxy - HTTP History能看到浏览器发出的请求出现在列表里说明代理已生效。这一步最常见的坑是浏览器走的是系统代理但系统代理没刷新或者之前装过其他代理插件抢占了8080端口。实测下来直接在浏览器设置里配置代理最省心注意用完要恢复成无代理状态不然会发现上不了网。2. 抓包定参把登录请求拆开看清楚2.1 一条登录请求里藏着哪些关键信息在爆破之前必须先搞清楚登录请求长什么样。打开实验靶场的登录页面随便输入一个用户名和密码比如admin / 123456然后点击登录。此时不要急着看页面反应先打开Burp的Proxy - HTTP History找到刚才那条POST请求。点击这条请求右侧会显示完整的请求报文大致长这样POST /login.php HTTP/1.1 Host: 192.168.1.10 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) ... Content-Type: application/x-www-form-urlencoded Content-Length: 31 Cookie: PHPSESSIDabc123def456 usernameadminpassword123456这里的信息可以分为两部分请求头和请求体。请求头里有Host、Cookie、User-Agent等元信息其中Cookie通常用来维持登录状态爆破时一般要带着。请求体是真正的参数区userame和password这两个字段就是我们要爆破的目标。对小白来说理解请求体的结构至关重要。服务端就是根据这里面的字段名来接收数据的字段名称变了、顺序乱了都可能导致爆破无效。所以下一步我们就要把这两个字段标记为爆破位置。2.2 用Proxy拦截精准获取登录请求直接在HTTP History里找请求虽然可行但请求一多就容易眼瞎。更稳妥的方法是开启拦截。操作路径Proxy - Intercept把Intercept开关打开然后回到浏览器再提交一次登录。此时Burp会卡住这个请求界面会显示Forward和Drop两个按钮请求就被拦住了。在拦截界面里可以自由编辑请求内容。比如把password字段的值改成随便一个字符串然后再点击Forward放行服务端返回的结果会对应改变。这一步的意图是确认哪些参数会真正影响服务端判断。如果改了username返回的错误提示变了说明这个字段是爆破参数如果改了Cookie里的某个值返回结果却不变说明这个字段暂时不用管。拦截结束记得把Intercept开关关掉不然之后所有请求都会被卡住浏览器也会一直转圈。经验有些实验环境登录请求是GET方式参数直接放在URL里。原理完全一样只是标记爆破位置时空格后面选中的是URL中的参数串而不是请求体。别被这个差异绕晕。2.3 识别真正能爆破的参数别被干扰项带偏一个登录请求里往往不止一组参数。除了username和password经常还有csrf_token、captcha、rememberme这种附加字段。CSRF Token现在的Web应用里非常常见这个参数每一次请求都会变化由服务端生成并嵌入页面提交时校验。如果直接把这个参数也标记为爆破位置那每次爆破请求的token值都是旧的服务端一校验就直接拒绝爆破100%失败。那怎么区分哪些参数能爆破、哪些是干扰项很简单看参数值是否每次请求都不变。可以多拦截几次登录请求对比一下固定值username、password你手动输入的值在每次请求里肯定不同但爆破时我们会替换它动态值csrf_token、captcha每次生成都不同不能直接当爆破对象除非你有办法实时获取对于带CSRF Token的实验环境入门阶段最简单的方法是在靶场配置里把Token校验关掉或者找一个没有Token的实验页面来练手。理解了爆破基本流程之后再学习用Burp的宏功能自动提取Token那是另一个进阶话题。3. 正式爆破Intruder模块四步走3.1 把请求发送到Intruder并标记爆破位置抓到登录请求后右键点击请求选择Send to Intruder进入爆破工作台。界面上方有四个标签页Target、Positions、Payloads、Options。Target页保持默认即可里面是目标地址和端口一般不用动。关键在Positions页。这里会看到刚才的请求报文而且有些参数值已经自动被两个§符号包裹例如username§admin§password§123456§这两个§符号就是爆破位置的标记。爆破时Intruder会把标记范围内的值替换成字典里的候选值。如果自动标记的位置不符合需求可以手动选中参数值点击右边的Add §按钮来添加标记。要注意的是标记只能包裹参数值不要把字段名username也包进标记区那样字段名也会被替换掉服务端就认不出来了。3.2 选择Attack TypeSniper还是Cluster BombPositions页面里有一个Attack Type下拉框这个选项决定了多个爆破位置如何组合。入门阶段只需要搞懂两种攻击类型适用场景工作方式Sniper狙击手只有一个爆破位置依次把字典值套到每个标记位置上一次只变一个位置Cluster bomb集束炸弹同时爆破多个位置笛卡尔积组合比如用户名字典5个、密码字典10个就会产生50组请求如果是只爆破密码、用户名已知比如admin用Sniper就够了。如果用户名和密码都需要爆破就要用Cluster bomb。这里举个实际例子验证一下理解假设用户名有100个候选值密码有1000个候选值用Sniper跑两个位置会产生100 1000 1100个请求用Cluster bomb跑却会产生100 x 1000 10万个请求。所以除非确实需要同时爆破多个字段否则优先用Sniper可以大大节省时间。3.3 配置Payload字典爆破的弹药从哪来Payloads标签页是整个爆破最核心的配置区域。Payload type选择Simple list然后在下方输入或粘贴候选值也可以点击Load加载外部字典文件。除了简单列表还有几种常用类型Numbers生成一段连续数字适合爆破纯数字密码比如1到999999。Runtime file从外部文件逐行读取字典不会一次性加载进内存适合超大字典。Custom iterator把多个词典按位置组合比如第1位是字母、第2位是数字灵活度更高但理解成本也高一点。对于第一次实操建议先做一个最小的字典测试用户名填admin密码填123456、password、admin123、12345678这几个常见弱口令。这样一是速度快二是便于理解爆破的流程和结果差异。这里还要提一个容易被忽略的概念Payload processing也就是载荷处理规则。比如目标系统要求密码必须转换成MD5后再传输或者请求体要求URL编码可以在Payload Processing里添加对应的规则让Burp在发包前自动处理。入门阶段很少用到但知道有这个功能就行。3.4 设置速率参数别让爆破变成DDoSOptions标签页里有几个参数直接影响爆破的效率和隐蔽性。最关键是Request Throttling默认是0毫秒延迟也就是全速发包。对于本地实验环境这没问题但如果目标有限速机制全速发包很容易触发封禁。实践中Chris推荐设置1000到3000毫秒的间隔礼貌且有效。另外是Number of threads线程数决定了并发请求数。社区版默认限制单线程实际上很多操作都串行执行所以这个值调高意义不大。专业版可以调但也要谨慎——线程数过高容易导致服务端崩溃或WAF报警。对于教学实验默认设置就足够了。还有一个Number of retries选项默认是0。如果网络不好偶尔丢包可以适当增加重试次数但要注意这会让总请求数膨胀。我自己的习惯是网络环境稳定就保持默认不稳定就设置1次重试。3.5 点击Attack分析爆破结果配置完成后点击右上角的Start Attack按钮会弹出一个新的结果窗口。这里每一行代表一次请求列含义如下Request编号第几个请求Payload这次请求使用的字典值StatusHTTP响应状态码Response Length响应内容长度Response Timing响应耗时爆破结果的判断逻辑总结成一句话观察大多数失败样本的共性找到特立独行的那一个。比如99%的请求返回状态码200、响应长度1300字节突然有一个请求返回302、响应长度1450字节这个大概率就是爆破成功的标志。因为服务端在密码错误时和密码正确时的处理逻辑往往不同返回的内容或状态码自然有差异。找到可疑结果后选中这一行右键选择Send to Repeater把请求单独发送到Repeater模块再点击Send对比响应内容和原始登录失败的响应。如果响应里出现了跳转链接、欢迎语、或者提示登录成功那就可以实锤了。经验不要只看状态码有些实验环境对成功和失败都返回200但在响应Body里有明显的差异。建议在结果表上点击Length列排序把长度异常的请求排到最前面检查效率会翻倍。4. 实战中的坑常见问题与排查实录4.1 抓不到包先检查这三处这是新手最常卡住的地方。配置了代理但Burp里看不到任何请求90%是下面三个原因之一浏览器代理没有生效。很多浏览器有使用系统代理设置和使用浏览器自带代理两套逻辑如果只改了系统代理而浏览器没勾选对应选项流量就不会走到Burp。Burp的监听地址没监听在正确的网卡上。如果虚拟机里访问靶场需要确认是否监听了所有接口或者手动指定宿主机的IP。浏览器扩展冲突。常见的广告拦截、代理类扩展会把流量带偏排查方式是开一个无痕窗口禁用所有扩展试试。最适合验证的方法是先访问一个不存在的地址比如http://test如果Burp里出现了这个请求说明代理链路是通的。4.2 爆破完所有字典都没成功大概率是编码或格式问题字典明明有正确密码却爆破失败这种情况也很常见。原因主要有密码在传输前被哈希处理。有些系统会在前端用JavaScript对密码进行MD5或SHA1运算后再提交直接提交明文自然无效。可以用Burp的Payload Processing添加Hash - MD5规则让每个候选密码先哈希再发送。参数名和实际不符。有的系统用user、pass等字段名而不是username、password抓包确认一下再标位置。大小写敏感。字典里的候选值和实际密码大小写不一致服务端严格区分大小写自然匹配不上。排查思路是先手工在浏览器里用正确密码登录一次然后拦截这个请求对比它和爆破请求之间的差异。如果正确密码在请求里也不是明文就说明存在哈希过程。4.3 爆破时请求报了429或403说明有限速机制有的实验环境故意加了请求频率限制比如同一IP每分钟最多允许30次登录尝试。爆破几秒钟内发出了上百个请求直接把请求频率干爆服务端拒绝响应。看到429 Too Many Requests或者403时需要冷静处理。策略有两种一是降低速率在Options里把Throttle调大比如3000毫秒一次二是换用更精确的字典减少无效请求与其低效地广撒网不如花时间琢磨更有可能成功的密码组合。如果目标是练习绕过限速可以在Request Headers里手动添加X-Forwarded-For头伪造随机IP来分散计数但这是另一层攻防博弈了入门阶段先在限速条件下老老实实跑。4.4 明明状态码都是200怎么区分成功和失败这是判断爆破结果的核心难点。状态码200只是说明请求到达了服务器并不代表登录成功。正确思路是构建一组对照样本用错误的密码比如admin / definitely_wrong登录一次记录响应内容。用正确的密码登录一次记录响应内容。在爆破结果中把响应长度、响应时间、状态码三个维度同时对比找到偏离绝大多数样本的请求。比如失败响应统一是用户名或密码错误、长度200字节成功响应可能出现欢迎回来、长度500字节甚至直接302重定向到首页。这种差异一眼就能看出来。万一所有响应都一样可以检查一下是否还有动态Token干扰导致每次请求都被拒绝。4.5 爆破效率低怎么办爆破时间主要由两个因素决定字典大小和请求延迟。举例来说一万个密码的字典设置2000毫秒延迟跑完需要20000秒约5.5小时如果再加上多位置笛卡尔积时间会指数级上升。所以优化路径基本就是两条缩小字典先把字典按规则过滤比如目标系统要求密码至少8位包含数字字母就提前过滤掉不符合规则的条目。精确候选先通过信息收集判断目标可能的密码规律比如姓名加生日、公司名加年份生成定向字典速度快了不知道多少倍。我个人的心得是爆破不是无脑跑字典前期花半小时做信息收集往往比盲目跑24小时字典效率高一个量级。攻击成功与否很多时候不是工具能力的差距而是思路和准备的差距。5. 爆破之外从攻防视角看这套技术5.1 防御方视角爆破为什么能成功又该怎么防了解了爆破的原理自然能推导出防御思路。既然爆破依赖的是多次提交尝试那防御的核心就是限制尝试次数和提升尝试成本。常见手段包括登录失败次数锁定连续5次失败就锁定账号15分钟。验证码机制每次登录要求输入图片或滑块验证码自动化脚本很难绕过。双因素认证即使密码被爆破成功没有第二个因素依然进不去。速率限制按IP和账号维度限制登录频率。监控告警对单账号高频失败尝试做实时检测触发告警和封禁。从这里能看出来单纯的密码强度策略并不是万能的还需要配合整体的访问控制策略。作为测试人员理解了这些防御手段才能设计出更合理的爆破策略。5.2 从爆破到更聪明的爆破Burp Suite的Intruder只是爆破的入门形态它本身也提供了很多进阶功能。一个常见误区是爆破只是一次性把所有请求发出去然后等结果。真正高效的爆破应该是边跑边调整用Intruder的Grep Match功能预先设置提取规则比如匹配登录成功关键词跑完直接高亮显示。用Extract功能从响应中提取动态值配合宏自动更新Token解决带CSRF Token的爆破场景。把爆破结果导入其他分析工具比如先跑一遍用户名枚举再用枚举结果生成定向密码字典继续爆破。再补充一个细节自定义字典的构造往往是爆破成败的分水岭。比如目标系统密码策略是首字母大写加数字加符号那跑纯小写字母字典就是在浪费资源。花点时间研究目标的信息再生成几百条高概率密码效果可能比随机跑百万字典还好。这行当拼的不是蛮力是思路。5.3 关于边界技术本身没有倾向使用者的选择才有写这篇文章的目的很简单把Burp Suite密码爆破这个入门技术讲明白让刚踏入Web安全测试的朋友少走弯路。但我还是想认真多说一句爆破手段只有一个合法前提就是授权。本地实验靶场、CTF竞赛、有书面授权的渗透测试都算合法场景除此之外的任何系统都不应该成为练习对象。我们研究攻击技术是为了更深刻地理解防御而不是为了打穿什么系统。安全测试人员的价值恰恰体现在知道哪里能测、哪里必须停手。这也是为什么我在每一节都强调在本地环境、实验环境操作。自己搭一个靶场想怎么测都可以测坏了快照还原就行这才是学习技术最踏实的方式。最后聊两句实操体会折腾了这么多年安全测试我最大的感受是Burp Suite就像一个放大镜加机械手放大镜帮你看清每一个请求细节机械手帮你批量执行重复操作。爆破只是它能力的一部分但把爆破练透你对HTTP协议、Web应用运行机制的理解会上一个台阶。建议刚入门的读者别急着追求花哨工具就按这篇记录的流程在本地靶场里反复跑几遍爆破直到拿到结果那一刻的套路都熟稳了再往Cookie伪造、Token绕过这些深水区走。工具是越用越顺手的思路是越练越开阔的。