又一神器!万能网站密码爆破工具

民工哥 2020/8/1 16:03:43

本文作者:whw1sfb原文:__https://www.freebuf.com/secto...免责声明:本文中提到工具与测试方法仅供研究学习使用,请遵守《网络安全法》等相关法律法规。在Web渗透测试中有一个关键的测试项:密码爆破。目前越来越多的网站系统在登录接口中加入各式各样的加密算法,依赖…

本文作者:whw1sfb
原文:__https://www.freebuf.com/secto...
免责声明:本文中提到工具与测试方法仅供研究学习使用,请遵守《网络安全法》等相关法律法规。

在Web渗透测试中有一个关键的测试项:密码爆破。

目前越来越多的网站系统在登录接口中加入各式各样的加密算法,依赖于BurpSuite中的那些编码方式、Hash算法已经远远不够,这里给大家介绍一款支持AES/RSA/DES(即将支持)加密算法,甚至可以直接将加密算法的js运行与BurpSuite中的插件:BurpCrypto。

安装

BurpCrypto可从其官方Github页面进行下载已编译好的版本,或下载源代码本地编译,然后在BurpSuite的扩展列表中添加插件即可。

使用方法

BurpCrypto安装完成后会在BurpSuite中添加一个名为BurpCrypto的选项卡,打开选项卡可进入不同加密方式的具体设置界面。

AES加密

常见的加密插件往往只提供一个Processor,此插件设计了多Processor功能,可以添加多个Processor,同时运行多个不同加密方式、不同密钥的测试器。

在测试器中选择刚刚创建的Processor

下面直接点击Start Attack即可。

找的密文对应的明文

BurpSuite中有一个饱受诟病的问题,在测试器的测试结果中,无法显示原始Payload,也就是字典内容。

该插件具有内置数据库功能,只要是通过该插件生成的密文内容,都可以使用插件中提供的“Get PlainText”功能找回原始Payload。

ExecJs功能

该插件对于不支持的加密算法也提供了一种变通方法,使用者可根据不同网站使用的加密方法提取其加密的核心函数,并将核心函数稍作加工即可加入本插件中使用。

此处演示使用的是某网站使用的特殊版本的MD5算法。

然后像AES模块一样添加Processor即可,使用方式也类似与AES模块。

该插件的的官方Github为:https://github.com/whwlsfb/Bu...

牛不牛逼??还不给我点个在看转发分享支持一下!!!

jishuroad.jpg

随时随地学软件编程-关注百度小程序和微信小程序
关于找一找教程网

本站文章仅代表作者观点,不代表本站立场,所有文章非营利性免费分享。
本站提供了软件编程、网站开发技术、服务器运维、人工智能等等IT技术文章,希望广大程序员努力学习,让我们用科技改变世界。
[又一神器!万能网站密码爆破工具]http://www.zyiz.net/tech/detail-145495.html

上一篇:公司中了勒索病毒,我一个助理工程师应该被辞退么?

下一篇:没有了

赞(0)

共有 条评论 网友评论

验证码: 看不清楚?
    关注微信小程序
    程序员编程王-随时随地学编程

    扫描二维码或查找【程序员编程王】

    可以随时随地学编程啦!

    技术文章导航 更多>
    扫一扫关注最新编程教程