漏洞描述
暴力破解的基本思想是根据题目的部分条件确定答案的大致范围，并在此范围内对所有可能的情况逐一验证，直到全部情况验证完毕。若某个情况验证符合题目的全部条件，则为本问题的一个解；若全部情况验证后都不符合题目的全部条件，则本题无解。常常存在于网站的登录系统中，通过对已知的管理员用户名，进行对其登录口令的大量尝试。
检测描述
- 已知Web网站具有登录页面。
- 登录页面无验证码，无锁定机制。。
具体攻击可以使用burp的Intruder模块，此模块提供四种攻击方式：
- sniper
狙击手模式,一组poc依次替换，发动攻击对服务器进行暴力破解.
- Battering ram
攻城锤模式，也是指定单一的POC，与sniper不同的是，它可以指定多个位置，使用单一的POC进行攻击。如下所示：
- pitchfork
鱼叉攻击模式，假如有两个位置： 第一组使用的是A和B，第二组使用的就是C和D。如下所示：
- cluster
最后我们看一下炸弹攻击
修复方案
- 账户锁定
- 返回信息
- 页面跳转
- 延时登录
- 封锁IP
- 验证码
