弱口令是個很常見的漏洞，基本上很多網站都會存在這個漏洞，可能很多認為，弱口令算什么漏洞，，，

這樣說吧，比如你在網上注冊一些論壇，你的賬號可能是你的QQ號的昵稱，密碼了？隨便一些，123456，這些簡單的密碼，那我不就可以輕易的猜解出你的賬密，并登陸你的賬號了？

好了正文開始了...

弱口令可分為默認密碼和簡單的弱密碼，其中默認密碼，隨便一個滲透者，都會去嘗試的，比如說，當我們拿到一個需要測試的 web 后，我們會先找見它的后臺，然后嘗試默認密碼，或者萬能密碼（這個萬能密碼，不詳細解釋了，想了解的請百度。），然后就會使用一些爆破工具，去嘗試可能是哪個弱密碼。

一般的網站管理員，他的?默認賬號?有可能是 admin 或者 test ，等等這些常見的管理意思的單詞，當然這是默認。密碼也一樣，常見的默認的密碼?admin ， admin888 ， password 等等這些默認密碼。

當然還有一些社工式密碼，社工式密碼，就是收集一些管理員個人信息，然后把管理員的信息，進行組合，湊成一本字典，然后用這個字典去爆破賬號，因為人，都比較懶，所以會把自己的密碼設置成和自己信息有關的，所以社工式密碼，很大幾率的就會爆破出你的密碼。

以上只是一個在線的社工密碼字典組成網站，感覺還可以，組的字典還不錯。

下面我開始講解 burp 的這個 intruder 模塊的使用，這個算是一個爆破模塊。

首先打開我們準備爆破的本地搭建的后臺。

然后，因為是本地搭建的，我就自己組了個簡單的字典，畢竟我自己是知道密碼的。。。

好了，這兩個算是就緒了，下面開始掛代理，就是把網絡數據包代理到我的 burp 這個抓包工具里。

因為我是火狐的瀏覽器，所以就直接截這個圖了，話說也建議大家用火狐，真的很不錯。

然后我開始隨便出入個賬號密碼，進行抓包。

記住，必須先進入 proxy 這個模塊，然后看第一個 intercept 這個小塊下的 intercept is off 這個必須是摁下的，因為這個是抓包開始。然后如果成功抓取的話，你會在這個數據包里，看到你一開始隨便輸入的賬號密碼。

下一步，鼠標右鍵，找見 send to intruder 這個選項，點擊發送。

這個也就是剛才我們說到的爆破模塊。

然后在上面的大模塊里找見 intruder 這個模塊，然后點擊下面第二個小模塊 positions ，然后看著下圖的提示操作。

因為一開始，工具會自動鎖定默認選擇爆破的位置，也就是編程里的變量，我們點擊 clear § ，取消所有默認爆破的位置，然后選擇咱們需要爆破的位置，進行設置變量。

選中后，點擊 add § ,也就是添加的意思。

然后選擇上面 payloads 這個小模塊，然后往下翻，

在這里添加外部字典，也就是TXT格式的文本，就像我上面隨便組的呢個。

開始選擇...

我是在桌面上放著的，所以直接找見了。

打開后，就自動添加到待爆破列表里了，下面我們開始點擊上面第四個小模塊 ，也就是最后一個小模塊 options ，然后往下翻。

把系統默認的爆破都取消了，點 clear 。

然后添加咱自己的報錯。

打開需要爆破的網頁，找見爆破后的提示（隨便輸錯一次人，然后點擊登錄，不就出現爆錯了？）。

下面我們把爆錯信息，進行添加。

這按著圖里的提示來，很簡單的就添加了。

恩，對，咱不用考慮，為什么和添加的不一樣的這個問題。

然后我們開始點擊最上面的 intruder 這個選項然后點擊 start attack 。

開始后就會出現下面這個界面。

我們開始找不同，因為正確的，肯定和錯誤的響應的不一樣。呢個不一樣的肯定是密碼。

那我們開始登陸下看看吧。

我要開始登陸了！！！

我擦！進去了！！！

話說，admin 這個弱密碼，還需要爆破嗎？(*^__^*) 嘻嘻……

直接猜就出來了，所以說，弱口令，這個漏洞，就是很平常見的，也是很容易被入侵的，我們大家都要讓自己的密碼，不要設置的這么簡單哦！

最后，大家可能會問，那如果有有驗證碼，那咋搞？好，我擦。。。。。

我不說了，，，，，你們可以百度下 PKAV 這個團隊，他們自己研發了一個可以識別驗證碼的爆破工具，，，名字我就不說了，我就直接貼個圖吧。

關于這個工具咋用，，，我就不說了，反正我也不會，我一個玩本地源碼的，需要爆破工具嗎？?嘎嘎！！！

總結：

弱口令很危險！一定不能設置弱口令，太弱了。。

轉載于:https://www.cnblogs.com/dsli/p/7282145.html

總結

以上是生活随笔為你收集整理的弱口令的分析和爆破工具使用的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。