BP中Intruder模块的常规使用
Intruder模块简介
Intruder模块是Burp Suite中的自动化修改HTTP请求参数并批量发送请求的强大工具。虽然直译为“入侵者”，但在安全测试领域，更多被称为“爆破模块”，常用于密码爆破等场景。
Intruder模块的核心原理
- 自动化请求：通过批量修改HTTP请求中的参数，自动发起大量请求，并分析响应内容，帮助发现目标数据的特征或突破口。
- 应用场景：
- URL参数名与参数值
- 路径名、文件名
- POST请求体中的参数
- HTTP请求头（如Cookie等）
插入点（Insertion Point）的理解
插入点指的是HTTP请求中可以被修改和测试的所有内容区域，例如：
- URL参数名和参数值
- 路径名、文件名
- POST请求体中的参数值
- 请求头中的Cookie等
这些都是Intruder模块可以测试和利用的范围。
Intruder模块的常见应用场景
1. 密码暴力破解
- 枚举用户名：针对未知用户名，通过字典或生成枚举，批量发起登录请求。如果网站提示“用户名不存在”，可据此判断哪些用户名有效。
- 爆破密码：在已知用户名的情况下，利用密码字典进行尝试。根据提示（如“密码不正确”或“用户名和密码不匹配”），判断哪些密码有效，哪些登录操作成功。
2. 参数与目录枚举
- 参数枚举：针对未知参数名，利用字典批量测试，找出实际存在的参数。例如，某些参数可能用于SQL语句或后台功能。
- 目录与文件名枚举：通过字典探测网站根目录下的目录和文件名，递归扫描多级目录。该功能可用Burp Suite或其他工具（如遇见、dirb）实现。
3. 商品ID枚举
- 遍历商品ID：批量尝试符合规则的商品ID（如ID=1到N），分析响应内容，筛选出目标商品类别、价格、发货地等信息。
4. 验证码爆破
- 针对简单的验证码（如四位数字），如果验证码不过期，可枚举所有可能值并尝试配合用户名和密码进行登录。
5. 模糊测试（Fuzzing）
- 参数模糊测试：如寻找未知参数属于模糊测试的一种。也可用于探测WAF过滤的关键字（如XSS payload、SQL注入关键字等），通过字典批量测试特殊字符和常用关键字，分析哪些未被过滤。
Intruder 模块四种攻击模式简介
本笔记简要介绍 Intruder 模块在 DVWA Brute Force 靶场下的四种常用攻击模式，帮助大家理解各自的应用场景和配置方法。
环境说明
我们以 DVWA 的 Brute Force 靶场为例，目标为一个包含用户名和密码的登录系统。
1. Battering Ram 模式
特点：
- 对所有选定字段使用相同的值进行攻击，无论选择多少个字段，都共用同一组 payload。
适用场景：
- 不确定各字段可能取值时，用相同值测试所有字段。
- 请求中需要多个字段输入相同值的情况。
操作步骤：
- 随意输入用户名和密码，将请求发送给 Intruder，并设置标记。
- 在 Payload Sets 中，只能设置一个 payload 列表，实际请求中所有字段会使用该列表中的相同顺序值。
结果验证：
- 检查请求，username 和 password 字段的值完全相同（如 admin/admin, admin12/admin12）。
- 适合测试弱口令，尤其是用户名和密码相同的情况。
2. Sniper 模式
特点：
- 适用于已知一个字段信息，通过字典攻击另一个字段。
操作说明：
- 逐个字段进行 payload 测试，常用于只需爆破一个字段的场景。
结果分析：
- 攻击后可通过响应长度判断，发现不同长度时即可确认正确密码（如 password）。
3. Pitchfork 模式
特点：
- 每个选定字段有独立的 payload 集合，按字段出现顺序一一对应组合 payload。
关键设置：
- Payload 数量需与字段位置严格对应。
- 字段顺序由原始请求中的出现顺序决定，而非选择顺序。
请求次数：
- 以 payload 数量较少的字段为准。例如，10 个用户名 + 3000 个密码，只发起 10 次请求。
配置说明：
- 配置两个 payload 集，一个为用户名，一个为密码字典。
注意：
- 如果两个字典内容相同，配对的数据也是按顺序对应，未必能覆盖所有组合，因此不一定能全部跑出来。
4. Clusterbomb 模式
特点：
- 针对多个字段进行全排列组合攻击。
- 攻击次数 = 各字段 payload 数量的乘积（如 10 用户 × 10 密码 = 100 次）。
工作流程：
- 第一个密码与所有用户名组合，依次循环，直到所有组合完成。
结果分析：
- 可通过响应长度排序，识别成功组合，最长响应通常表示匹配成功（如 admin/password 组合）。
总结：
- Clusterbomb 会遍历所有可能的用户名和密码组合，确保测试全面。