发帖
 找回密码
 立即注册
搜索
0 23

WEB bp官方靶场Authentication vulnerabilities身份认证漏洞7

CTF练习 940 0 2025-8-2 13:17:24

第七关 通过帐户锁定枚举用户名

这一关就是账户锁定有逻辑缺陷,通过枚举有效用户名暴力破解密码,然后登录

提示:1、靶场容易受到用户名枚举的攻击。它使用帐户锁定,但这包含一个逻辑缺陷

2、给了用户名和密码两个列表

具体操作

1、随便输入账号和密码,点击登录,然后去burp工具历史里找到触发登录功能的post数据包发往intruder(相关操作见第一关)

2、直接进行爆破

1、选择集束炸弹

2、给用户名设置成变量

在密码后面设置一个空变量,也就是空的有效载荷(不对数据包产生影响)

payload设置如图

第一个位置选择简单列表,把刚刚提示给的用户列表粘贴过来

第二个位置选择空的有效载荷5次

就是说在枚举用户名的时候需要使每一个用户名重复5次进行暴力破解,并观察哪个用户名返回更长的响应

线程池保持默认就行

长度排序找不同:

用户:adserver

3、知道了用户,直接暴力破解密码

找不同

密码:123321

4、如图靶场过关

──── 23人觉得很赞 ────
免责声明:
1、本论坛中所有用户发布的内容仅代表作者个人观点,与本网站立场无关,本站不对其真实性、完整性或观点承担任何责任。
2、本论坛所提供的全部信息与内容,不保证其准确性、完整性或时效性。因阅读或使用本站内容而产生的任何误导、损失或风险,本站概不承担任何连带或法律责任。
3、当国家司法、行政机关依照法定程序要求本论坛披露用户信息时,本站予以配合并因此免责。
4、因网络线路故障、技术问题、不可抗力或本站无法控制的其他原因导致的服务中断或暂停,本站不承担由此造成的任何直接或间接损失。
5、对于任何通过技术手段破坏、攻击本论坛系统或扰乱正常秩序的行为,本站有权采取包括但不限于限制账号、封禁账号、追究法律责任等措施。
您需要登录后才可以回帖 立即登录
高级模式
返回