http://www.yunsec.net/a/security/web/jbst/2012/0908/11390.html

Burp suite是由portswigger開 發的一套用於Web滲透測試的整合套件，它包含了spider,scanner(付費版 本),intruder,repeater,sequencer,decoder,comparer等模組，每個模組都有其獨特的用途，給專業和非專業的 Web滲透測試人員的測試工作帶來了極大的便利。

Burpsuite需要JAVA支援,請先安裝JAVA環境。

首先我們先開啟Burpsuite，proxy >> intercept >>intercept off,把攔截（intercept）功能關閉,因為我們這裡不需要進行資料攔截

然後，使用代理埠8080

設定好了以後，我們開啟我們的瀏覽器，設定瀏覽器的代理，這裡我使用的是火狐瀏覽器，當然，其他瀏覽器也可以，設定代理即可

我們這裡的埠是8080，如果前面你的埠被佔用了，你可以換成其他埠，這裡填寫你更換的埠，提示一下，如果不使用這個軟體的話，記得把瀏覽器的代理給關掉哦，否則無法上網哦！

這樣我們的burp_suite就可以成功抓取瀏覽器的資料了。

現在我們在瀏覽器上開啟我們的webshell，隨便輸入密碼，密碼錯誤，提示

我們抓取的資料包

然後,我們把抓到的POST請求包傳送到"入侵者"(intruder)中進行破解。因為我們輸入密碼進行驗證本身就是一個表單的POST請求。所以千萬不要選錯GET。如圖：

之後我們就會跳轉到侵入者功能選單頁面

我們在position(位置)這個選單頁選擇attack type(功能型別)為預設sniper即可。

然後,選中COOKIES中後半部分（深色）。 點選右邊第二個clear$按鈕,去掉$符號(非$,不知道這個符號怎麼打,哈哈)。

然後跳轉到payloads(負荷)功能標籤頁面。

這裡是密碼字典的一些配置。我們點選LOAD從一個檔案從匯入密碼（字典我會在本文後面提供下載地址）

如圖,我已經匯入了我的密碼字典,之後再跳轉到最後一個選項標籤選單頁面。這裡是對一些錯誤資訊過濾的配置。從剛才我們隨意輸入密碼返回的錯誤資訊中,隨意輸入部分即可。點選ADD新增

如果在這裡我們也可以不選擇，我們到後面根據包的大小也可以判斷密碼是否正確

之後就算配置完成了。現在就可以開始攻擊了！

1. 584521  
2. nohack  
3. 45189946  
4. hacksb  
5. hackersb  
6. heixiaozi  
7. 360  
8. sb360  
9. 360sb  
10. yushiwuzheng  
11. wuzheng  
12. spider  
13. angel  
14. 4ngel  
15. yyswxws  
16. lcx  
17. nc  
18. hackqingshu  
19. qingshu  
20. qingshu$  
21. sz  
22. sunzi  
23. shunzi  
24. [email protected]#  
25. [email protected]#123  
26. 123654  
27. 123654789  
28. 123654789!  
29. 123654789.  
30. aspadmin  
31. phpadmin  
32. jspadmin  
33. aspxadmin  
34. noadmin  
35. cms  
36. iamnotadmin  
37. fuckit  
38. fuckhack  
39. fuckhacker  
40. F19ht  
41. f19ht  
42. fight  
43. hkmjj  
44. chinared  
45. ouou  
46. hake  
47. hakecc  
48. wwwhakecc  
49. 520hack  
50. hack520  
51. r4sky  
52. ghost  
53. baidu  
54. yy  
55. daoqq  
56. daohao  
57. sb  
58. youaresb  
59. caonimadebi  
60. caonimade  
61. worinima  
62. wocaonima  
63. caonimei  
64. lunnijie  
65. whatweb  
66. baidusb  
67. baiduadmin  
68. chenxue  
69. cnot  
70. xxoxx  
71. rinima  
72. hkk007  
73. chengnuo  
74. wrsk  
75. wrsky  
76. 54321  
77. yuemo  
78. 521  
79. *******  
80. 4lert  
81. yuemo  
82. maek   
83. dreamh  
84. Shell  
85. xxxxx  
86. shell  
87. 10011C120105101  
88. fclshark  
89. 19880118  
90. 376186027  
91. 654321  
92. 535039  
93. 000  
94. 123  
95. darkst  
96. jcksyes  
97. jcksyes  
98. jinjin  
99. 12345  
100. sq19880602  
101. jtk2352  
102. sq19880602  
103. kill  
104. chengnuo  
105. 45189946  
106. 123321  
107. hacker  
108. hack  
109. haode  
110. chuang  
111. aiezu  
112. 981246  
113. et520  
114. 12  
115. lx  
116. lengxue  
117. 20080808  
118. aoyunhui  
119. fucker  
120. tiger  
121. tig  
122. tag  
123. iloveshell  
124. loveshell  
125. yrpx  
126. air  
127. hkk007  
128. wrsk  
129. rinima  
130. caonima  
131. ceshi2009  
132. kissy  
133. 520  
134. 52013  
135. 5201314  
136. 3452510  
137. 1314520  
138. rfkl  
139. username  
140. 847381979  
141. jing  
142. winner  
143. 4816535  
144. shaomo  
145. zhack  
146. mama  
147. mama520  
148. fuckyou  
149. Fuckyou  
150. FuckYou  
151. lengfeng  
152. lengfengsk  
153. rensheng  
154. rs  
155. fuck  
156. 123go  
157. 1  
158. xiaowu  
159. Baike  
160. admin888  
161. honker  
162. hongker  
163. liner  
164. lin  
165. xiaoyi  
166. xiaoe  
167. 1  
168. login  
169. 888999  
170. Evav  
171. 13572468  
172. Sa  
173. sa  
174. sasa  
175. dangdang  
176. webshell  
177. lovehack7758  
178. rfkl  
179. 123  
180. darkst  
181. asp  
182. hkmm  
183. 133135136  
184. 80sec  
185. G.xp  
186. gxp  
187. 1992724  
188. satan  
189. Satan  
190. yong  
191. fst  
192. f.s.t  
193. F.S.T  
194. noid  
195. sadness  
196. caodan  
197. 96315001  
198. admin  
199. axiao   
200. 847381979   
201. rfkl  
202. yuemo  
203. 12  
204. bzxyd   
205. tonecan   
206. bzxyd  
207. 5201314   
208. 3est   
209. sin   
210. 654321   
211. ghost   
212. C  
213. cc  
214. evil  
215. evilhk  
216. evilhack  
217. evilhacker  
218. yong  
219. ying  
220. webadmin  
221. webadmin2  
222. HqzX  
223. tx  
224. tengxin  
225. tengxunsb  
226. danteng  
227. rusuan  
228. dantong  
229. youguest  
230. cmdshell  
231. Webshell  
232. WebShell  
233. sh3ll  
234. h4ck  
235. h4ck3r  
236. ufo  
237. ufohack  
238. jiaozu  
239. huaidan  
240. jiaozhu  
241. lover  
242. love  
243. daoker  
244. daokers  
245. daoke  

使用包大小，有時會受到網速或者其他誤差，所以能找到關鍵字就新增關鍵字吧！

burp suite需要安裝Java環境才可以執行，JDK6官方下載地址:

http://www.java.net/download/jdk6/6u10/promoted/b32/binaries/jdk-6u10-rc2-bin-b32-windows-i586-p-12_sep_2008.exe

burpsuite_pro_v1.3.03 破解版免費下載：http://u.115.com/file/e6yeojob