首先我们需要打开 Burp Suite 进行抓包。有些同学可能会遇到抓不到包的情况其中一个常见原因是使用了 127.0.0.1 或localhost来登录。在这种情况下浏览器默认会绕过指向 127.0.0.1 和 localhost 的流量不经过代理导致数据包无法发送给 Burp因此无法捕获到 Pikachu 靶场的流量。有些同学就能抓到有些同学抓不到其实也不要纠结解决方法就是用cmd查询我们的ip找到你本机IPv4 地址登录就可以了。1.基于表单的暴力破解第一关的暴力破解相对简单。我们在这个登录框是随便写几个字符然后挂上burp的代理burp开启拦截。点击登录Login这样burp就抓到包了然后发送到Intruder先点击清楚payload再重新给下面的username和password打上payload上面选择集束炸弹payload集1是账号2是密码。再下面中添加进去字典就行了因为我们知道这个账号/密码是 adminn/123456所以我们的字典要包含这一串账号密码才能成功实战中我们要有一套自己的字典通过寻找规律自己制作字典或者也可以自己去收集一些字典使用记住字典里要有正确的账号密码才能爆破成功。点击右上角 开始攻击。看这个长度正确的密码长度和其他的不一样点击它进去点页面渲染显示登录成功第一关就爆破成功了。2.验证码绕过(on server)第二关这个验证码验证几乎和第一关一模一样只是多了一个需要输入验证码验证码校验在服务端但是验证码只校验一次校验成功后 session 里标记验证码正确后续发包不再检查验证码。所以只要和第一次登录的验证码填写正确就和第一关一样了验证码只需验证一次。和第一关一样3.验证码绕过(on client)这一关也和前面两关差不多也一样它是验证码校验只在前端 (浏览器 JS) 完成后端根本不检查验证码 只要抓到数据包直接删掉验证码参数服务器照样接收登录请求。在登录的时候先输入正确验证码通关前端校验到burp的时候把 vcodeD9GD2删掉就可以了。其他步骤和前面一样。4.token防爆破?这一关就比前面三观复杂一点。每次刷新登录页面Token 值都会变。 普通 Intruder 爆破不行因为你发出去的还是旧 token服务器直接拒绝。 Burp 需要用 Pitchfork叉号多线程前置请求→ Recursive grep递归提取每次爆破密码先刷新页面拿到最新 token再带着新 token 提交登录请求。首先我们知道这个账号是admin密码随便填登录抓包在这里添加这两处的payload选择交叉模式(Pitchfork)在这里第1的payload集是密码我们把我们的密码字典上传上去第2个payload选择递归提取然后我们要去获取token在设置(Options → Grep‑Extract → Add)跟着我的操作获取token同页面最下面重定向选择总是(always)递归抓取 token 不能开多线程这是核心问题1. 回到 Intruder → Options选项2. 找到 Resource pool资源池→ Concurrent requests(并发请求数)3. 把并发线程数改成 1Recursive‑grep 必须一条一条串行发包不能同时发多个请求准备就绪点击开始攻击就可以爆破成功了看长度哪个不一样就是密码拿去页面登录即可