Burp Suite抓住包进行爆破，如何爆破密码(详细多图)
Burp Suite功能强大，但这里只介绍基本配置和页面弱密码爆破功能。
工具/配料批量套件
方法/步骤1
要首先安装java JDK，然后安装burp suite软件，请打开工具包中的burp suite文件夹。 该文件夹中有两个jar包，双击以打开BurpLoader.jar
2
打开后单击I Accept，next，然后单击Start Burp
3
如果需要，请配置Burp代理
单击代理-选项-添加-绑定-端口和IP设置-确定
IP设置为本地环回IP(127.0.0.1 )，端口设置为8080
4
然后，Burp中已经有默认的代理127.0.0.1:8080，选中后即可使用。
5
设置浏览器代理。 这里以firefox为例。 其他浏览器也是如此。
firefox —打开-打开菜单-选项
然后高级——设置
6
手动配置代理-配置代理IP 127.0.0.1 —端口8080 —选择所有协议使用相同的代理-确定
7
以上安装完成后，可以进行包爆破。
首先，捕获名为proxy-intercept-interceptisoff/on
其中，Intercept is off意味着不抓住包，Intercept is on意味着抓住包。
设置Intercept is on时，可以通过单击要捕获包的页面来捕获请求包
8
说明在weblogic登录时捕获请求包的示例。
输入用户名和密码Intercept is on —设置-单击登录-成功捕获包
9
抓住登录的请求包后，如果用户名和密码为明文，就可以进行爆破。
10
其次，爆破操作的步骤如下。
Action — Sent to Intruder
11
Intruder—位置
12
单击Clear，然后分别选择admin — Add
123456 -检查添加
13
选择爆破模式： Cluster bomb
14
在显示的对话框中，添加用户名词典和密码词典，然后单击Payloads
15
当然写txt文件，导入就可以了。
16
执行爆破：单击开始攻击
17
结果，用Length判断爆破是否成功。 例如，在下图中，可以看到长度为6928，其他为5431。
根据这个长度，爆破的用户名可以判断出admin密码是axis2。
成功爆破的用户名和密码返回长度与失败返回长度相差很大。