除了之前給大家介紹的medusa和hydra之外，今天給他家介紹另一款含有爆破功能的工具burpsuite，這款工具呢在web表單爆破的時候比另外兩款更爲方便。
密碼爆破我們主要是用到burpsuite的intruder功能
Burpsuite Intruder介紹
1.1 Intruder只要有四個模塊組成
- Target 用於配置目標服務器的詳細信息
- Positions 設置愛payload的插入點以及攻擊類型（攻擊模式）
- Payloads 設置payload，配置字典
- Options 此選項卡包含了request header、request engine、attack results、grep match、grep_extrack、grep payloads和redirections。你可以發動攻擊之前，在主要intruder的UI上編輯這些選項，大部分設置也可以在攻擊時對已在運行的窗口進行修改。
1.1.1 Target模塊
該模塊主要設置目標IP、端口
1.1.2 Postions模塊
在這個模塊下有的attack type有4個選項
-attack type：
- Sniper 狙擊模式
- Battering ram 攻城錘模式
- Pitchfork 草叉模式
- Cluster bomb 集束炸彈
Sniper 狙擊模式
如：只有一個變量a，字典裏的內容是1,2,3。然後a會被依次替換成1,2,3。
** Battering ram 攻城錘模式**
如：設置了兩個變量a，b。字典是內容是數字1,2。那麼變量a，b會被依次替換成相同的值。結果是 a=1，b=1；a=2，b=2。
Pitchfork 草叉模式
如：有兩個變量a，b。字典一內容是A,B,C。字典二內容是1,2,3。那麼替換結果是a=A，b=1；a=B，b=2；a=C，b=3。
Cluster bomb 集束炸彈
如：變量a，b。字典一內容是 A,B。字典二內容是1,2。那麼替換結果是a=A，b=1；a=A，b=2；a=B，b=1；a=B，b=2。
1.1.4 Options模塊
在這裏主要介紹幾個重要的
Request Engine
當網站裝了waf的時候，會對請求的線程，訪問次數有限制。可以在這裏設置
Grep-Match
在暴力破解的時候，可以用正則來匹配一些響應包的回饋。
Grep-Extract
通過遍歷，不想要遍歷中的整個數據，只想要其中的一段數據，就可以在這裏做正則匹配。
