文章总结： 文章以SRC登录口为例演示无验证码场景下的暴力破解：先抓包确认无登录频次限制，再用BurpIntruderSniper模式固定弱口令123456并跑top500用户名，通过响应长度差异秒级定位有效账号，最终形成登录爆破+弱口令组合漏洞。 综合评分： 78 文章分类： WEB安全,渗透测试,SRC活动,实战经验,漏洞分析

src|暴力破解漏洞

原创

simple安全团队

simple安全团队

2026年1月14日 14:31 湖北

免责声明：本文所涉及的任何技术、信息或工具，仅供学习和参考之用。请勿利用本文提供的信息从事任何违法活动或不当行为。任何因使用本文所提供的信息或工具而导致的损失、后果或不良影响，均由使用者个人承担责任，与本文作者无关。作者不对任何因使用本文信息或工具而产生的损失或后果承担任何责任。使用本文所提供的信息或工具即视为同意本免责声明，并承诺遵守相关法律法规和道德规范。

前言

在挖掘src的过程中，碰到最多的页面想必就是登录页面了，若是碰上登录页面没有图形验证码的情况，离挖到漏洞就不远了，今天分享一个登录口暴力破解+弱口令的漏洞。

漏洞挖掘

1、访问系统登录页面，看到没有图形验证码，看样子像是能爆破

2、输入用户名密码，登录，抓取请求数据包，确实没有验证码，有戏

3、重放10次登录请求包，并未限制账号登录，说明存在暴力破解漏洞

4、利用burpsuite的intruder模块对账号密码进行爆破

四种爆破模式介绍：

1）Sniper attack：用一个字典，针对一个位置进行爆破。

2）Battering ram attack：用一个字典，针对所有位置进行爆破。

3）Pitchfork attack：每个位置有每个位置对应的字典，比如用户名位置处配置用户名字典，密码位置处配置密码字典，爆破的时候会一行一行对应。

4）Cluster bomb attack：每个位置有每个位置对应的字典，区别是会进行排列组合爆破，比如用户名字典中的一行会搭配密码字典中的所有行进行爆破。

这里使用Sniper attack爆破模式，将密码固定为123456，然后对用户名进行爆破，用一个top500的用户名字典：

爆破成功的响应包长度与爆破失败的响应包长度有明显区别，可以根据这个迅速判断出哪些账号被爆破成功了。

END

查看更多精彩内容，关注simple安全团队

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：simple安全团队 simple安全团队《src|暴力破解漏洞》