WEB暴力破解工具(wvs fuzzer)

废话少说，先建立一个基于暴力破解的username运算参数：点击“Add generator”-》“Random string generator”后得到：
 
在“String length”中填入值的长度，我这里选择5；“Character set”中输入可能需要用到的字符，我这里选择26个小写字母；选择“Allow repetitions”—允许重复使用各字符。
然后再加入一个用于通过字典破解passwd字段的运算参数：点击“Add generator”-》“File generator”后得到：
 
“Filename”为字典文件的路径；“Filetype”则为读取内容的格式，多数为文本（Text）。
下面要做的工作就是将两个运算参数加入HTTP请求中。首先在选择本例中username的值（本例为alex），然后选择Gen_1，并点击“Insert into request”按钮，得到：
 
从右上角可以看到，目前的请求数量为11881376个（换句话说，有11881376个组合）。再以相同的方式用Gen_2替换passwd字段的值（本例为demon），得到：
 
嘿嘿，现在的请求数大到差不多等于无限了吧？？？…
接下来就是定义确认‘登陆成功’的过滤器（Fuzzer Filter）。点击“Fuzzer filters”进入定义过滤器的界面，默认情况下只有“200”的过滤器是激活的，去掉它前面的勾勾，然后自己定义一个名为success的过滤器，由于本例中若登陆成功的话应该是不会回到原有的登陆界面的，因此只需要定义一个‘排除登陆页面特征’的过滤器并激活就可以了：
 
来到这里，按下“OK”按钮确认刚刚对过滤器的设置。
最后回到HTTP Fuzzer主界面点击“Start”按钮即可启动本fuzz任务，剩下的工作就是‘守株待兔’了—等待“Results”分页的fuzz结果，嘿嘿，Good LuckJ。

上一页  [1] [2]