文章总结： 本文介绍暴力破解登录验证实验。通过BurpSuite抓包，设置Clusterbomb模式加载用户名与密码字典进行穷举。根据响应长度差异分析破解结果，成功绕过验证机制。实验旨在掌握字典攻击原理，适用于弱口令场景的渗透测试。 综合评分： 73 文章分类： 渗透测试,WEB安全,安全工具

什么！！不知道系统密码就这样子破解了？

原创

建哥聊安全 建哥聊安全

建哥聊安全

2026年1月31日 11:05 湖南

验证机制之暴力破解用户名密码

实验目的

通过本实验，掌握使用字典暴力破解绕过登录验证。

实验环境

·操作机：Win10 用户名：Administrator 密码：Sangfor!7890

·靶机：Apache + PHP

·实验地址：http://ip/webug/pentest/test/b2e16da5985ee1be/index.html

实验原理

登录页面在设置用户名和密码的时候，没有遵循密码设置规则，借助字典利用穷举法将所有可能的用户名和密码一一尝试，进行蛮力攻击，最后暴力破解出用户名和密码，绕过验证机制。

实验步骤

1、登录”Attack”操作机，打开浏览器，访问

http://ip/webug/pentest/test/b2e16da5985ee1be/index.html

2、随便输入用户名为：“root”，密码为“123456”提交，登录失败

3、返回登录页面，还是随便输入用户名为：“root”，密码为“123456”

4、打开桌面的的“Burp”文件夹，双击“BURP.cmd”启动Burp Suite抓包工具

5、切换到“Proxy”代理模块的“Options”，查看Bp的代

6、切换到浏览器，选择火狐插件中的代理（配置浏览器的的代理），与Bp的代理一致

7、点击“登录”，提交输入的用户名和密码，Bp成功抓取数据包

8、右键，选择“Send to Intruder”，将数据包发送到暴破模块

9、将攻击模式设置为“Cluster bomb”

10、切换到“Payloads”，设置攻击载荷。设置攻击位置1的payload类型为”Simple list”，并加载用户名字典

11、设置攻击位置2的payload类型为”Simple list”，并加载密码字典

12、点击“Start attack”，开始暴力破解，暴破成功

实验总结

通过本实验，掌握使用字典暴力破解，对暴破的结果根据长度进行分析，长度值与其他不同的就是正确结果，从而绕过登录验证机制。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：建哥聊安全 建哥聊安全 建哥聊安全《什么！！不知道系统密码就这样子破解了？》