同一台电脑，多用户怎么同时使用一个burpsuite

启动dvwa，如果不知道dvwa是啥的，请看一起学安全测试——自己搭建安全测试环境（DVWA）。

启动Burp Suite，设置Burp的Proxy，同时设置浏览器代理，如果不知道怎么设置，请看一起学安全测试——Burp Suite Proxy与浏览器设置。

设置好了代理，打开Burp-Proxy-Intercept，设置状态为Intercept is on 

在dvwa中，设置Security级别为Low 

打开Brute Force，输入Username/Password，点击Login

查看Intercept，将拦截到的请求，右键Send to Intruder 

在Intruder-Position中设置，将自动设置的positionClear掉，然后在请求中username和password的地方点击Add添加position

设置攻击类型为Cluster bomb，因为这是要同时对username和password进行爆破，选择字典的笛卡尔积进行最大程度的爆破，关于攻击类型，请看一起学安全测试——Burp Suite Intruder的4种攻击类型。 

在Intruder-Payloads中设置攻击载荷，分别选择payload set 1/2，并添加username和password的载荷。 

点击menu中的Intruder-Start attack开始攻击。

在结果列表中，通过Length排序，选出长度与其他不同的一个，查看Response，可以看到“Welcome to the password protected area admin”的字段，证明这对载荷是正确的，爆破成功。 

在网页通过刚刚爆破得到的username/password登录，登录成功。 

暴力破解 ：暴力破解简单来说就是将密码进行逐个测试，直到找出正确的密码为止

    暴力破解：是一攻击具手段，在web攻击中，一般会使用这种手段对应用系统的认证信息进行获取。 其过程就是使用大量的认证信息在认证接口进行尝试登录，直到得到正确的结果。为了提高效率，暴力破解一般会使用带有字典的工具来进行自动化 *** 作

    暴力破解漏洞：如果一个web应用系统没有采用或者采用了比较弱的认证安全策略，导致其被暴力破解的“可能性”变的比较高

暴力破解前准备 ：

    1 web系统的认证安全策略：

        是否要求用户设置复杂的密码；

        是否每次认证都使用安全的验证码

        是否对尝试登录的行为进行判断和限制（如：连续5次错误登录，进行账号锁定或IP地址锁定等）

        是否采用了双因素认证

        认证过程是否带有token信息

2工具准备：准备合适的暴力破解工具以及一个有郊的字典

三个要点：

       1 对目标网站进行注册，搞清楚帐号密码的一些限制，比如目标站点要求密码必须是8位以上，字母数字组合，则可以按照此优化字典，比如去掉不符合要求的密码

        2 web管理面密码使用admin/administrator/root帐号的机率较高，可以使用这三个帐号+随便一个密码字典进行暴力破解

        3 破解过程中一定要注意观察提示，如有“用户名或密码错误”“密码错误”“用户名不存在”等相关提示,可进一步利用

暴力破解分类 ：

    B/S模式：浏览器服务器模式的认证过程是>