BurpSuite暴力破解结果过滤
BurpSuite暴力破解大家应该都很熟悉了，甚至是破解结果过滤都很清楚（其实破解结果过滤也很简单），只是操作稍微有一点点不人性化，容易让人理解错误，这里只是为了给自己做个记录。
破解结果分析
-
在日常工作中，常常只验证某接口是否存在暴力破解漏洞即可，都是使用几个、十几个数据进行测试，这样测试结果一目了然，但是在真实环境中，往往都需要大量数据进行暴力破解，那最难就是从众多结果中筛选出正确的数据。
-
之前面试一个后选人，给我的回答就是看length，当时有点无语。因为业务接口需要根据不同参数返回不同的结果，比如：用户名不正确、密码错误、密码长度不够……。那这样的结果的长度就会有很多种可能，怎么能用长度来判断暴力破解结果呢？
-
正确的办法是判断response的内容，每个系统都不一样，每个接口开发人都不一样，返回内容说明都不一样，是需要人为判断的。
-
再一个，Length列是不能用过滤的方法搜索，所以不准确、不可靠、不实用
过滤
- 首先，分析返回结果特征，如果下图，接口返回使用status等于多少来判断接口的参数是否正确，也可以用info参数进行印证。
- 其次，通过Filter进行response过滤，筛选可能正确的结果
- 像
Regex、case sensitive、Negative search、Filter by status code等都不需要讨论，大家都明白，今天主要说的是show all、hide all和过滤框（就是上图输入status":"0的框） show all和hide all分别表示全选和全不选2xx、3xx、4xx、5xx的，不是你在滤框里填了内容后点击要显示和隐藏的按钮，很尴尬吧?，我是在过滤框里填了内容后，点击show all想显示我想过滤的内容，结果什么效果都没有。- 正确的方法，就是，当在过滤框里填完内容之后，只需要在其它空白地方点击一下，即可以执行过滤?
本文来自互联网用户投稿，文章观点仅代表作者本人，不代表本站立场，不承担相关法律责任。如若转载，请注明出处。 如若内容造成侵权/违法违规/事实不符，请点击【内容举报】进行投诉反馈！