我們在網(wǎng)站登錄界面，為了安全起見，除了填寫用戶名和密碼之外，還會要求用戶輸入驗證碼才能進行登錄，驗證碼的作用最主要的是驗證輸入方是一個在電腦前正在輸入的人，而不是某些程序模擬人的登錄操作，這樣就能有效地避免網(wǎng)站被攻擊者進行暴力破解，從而非法獲得網(wǎng)站的登錄權(quán)限，驗證碼的種類也是多種多樣的，其中我們常見的驗證碼就是圖片驗證碼，驗證碼上的內(nèi)容包括數(shù)字、字母、數(shù)字字母混合、漢字、算式等，這些字符往往都不太清晰，主要是為了增加識別難度，避免被軟件自動識別。
驗證碼
有些人經(jīng)常會吐槽某些網(wǎng)站的驗證碼，連輸入者都看不清，需要輸入多次才可以成功，其實使用這樣的驗證碼的網(wǎng)站，往往是非常注重網(wǎng)絡(luò)安全的，并且是提供非常重要服務(wù)的網(wǎng)站，其中最具代表性的就是12306網(wǎng)站上購買火車票是需要輸入的驗證碼，曾經(jīng)受到許多網(wǎng)友的吐槽，充分體現(xiàn)了一句話：“能夠多次欺騙購票者的驗證碼，才是最安全的驗證碼。”
奇葩驗證碼
今天我們就來介紹一款驗證碼識別工具Pkav HTTP Fuzzer，來了解一下如何使用工具來自動識別驗證碼，從而對需要驗證碼的登錄界面進行暴力破解，進而也認識一下那些使用所謂“奇葩”驗證碼的網(wǎng)站進行登錄驗證的苦衷，首先我們打開這款工具，非常有意思，它的功能按鈕在最下方，我們選擇“驗證碼識別”，然后選擇圖片型，如下圖所示：
Pkav HTTP Fuzzer
下面我們拿一個網(wǎng)站的登錄界面來演示一下這款工具的使用方法，首先是驗證碼地址，其實就是驗證碼圖片的URL地址，當我們點擊驗證碼圖片時，驗證碼會刷新，我們選擇右鍵單擊驗證碼圖片，選擇屬性點擊，如下圖所示：
驗證碼圖片屬性
就會彈出一個屬性對話框，其中有一個地址（URL），就是這個驗證碼的地址。
屬性對話框
識別模式選擇“單個文本統(tǒng)一塊”，在選擇識別范圍之前我們可以多點擊幾次驗證碼圖片，判斷一下驗證碼的大概類型，這個登錄界面驗證碼的組成為數(shù)字字母的混合形式，我們就可以限定為以下字符為：“0123456789abcdefghijklmnopqrstuvwxyz”，因前邊選擇了“自帶識別引擎”，所以“第三方識別引擎”不選擇，當然我們也可以選擇自己的識別庫，然后選擇識別測試，我們發(fā)現(xiàn)登錄界面的驗證碼圖片已經(jīng)發(fā)送到驗證碼圖片欄中，旁邊獲取到的驗證碼為：xatf，獲取成功。
識別成功
這時我們就可以點擊下方的“變體設(shè)置”，來設(shè)置變體，其中分析地址就是我們上圖的登錄界面地址，請求包就是我們用burp suite工具抓取的登錄數(shù)據(jù)包，可以查看我的《抓包工具Burp Suite的安裝與設(shè)置》一文，學習如何安裝burp suite和抓取請求數(shù)據(jù)包，我們將最下邊的POST數(shù)據(jù)中的驗證碼和密碼數(shù)據(jù)分別打上“添加驗證碼標記”和“添加標記”，右邊我們可以點擊“請加載一個外部字典”選擇一個密碼字典，就會出現(xiàn)在旁邊框里邊，到這里我們的變體就設(shè)置好了，如下圖所示：
設(shè)置變體
然后再點擊下方的“重放選項”，這里我們只需要注意兩點，一是驗證碼長度驗證設(shè)置，我們知道驗證碼是4位長度，所以我們設(shè)置為固定值4，當我們輸入驗證碼錯誤時，網(wǎng)站會彈窗提示“驗證碼錯誤！”，這時就代表我們識別錯誤了，必須重新識別，我們選擇“字符串匹配”，添加彈出的“驗證碼錯誤！”當出現(xiàn)驗證碼識別錯誤提示時，就會重新驗證發(fā)送直到成功。
重放選項
最后一步就是“發(fā)包器”了，點擊啟動按鈕，就會自動識別驗證碼，進行暴力破解，這里我就不啟動了，因為是真實的站點，成功與否取決于密碼字典的強大，而且我輸入的用戶名也是自己編的，大概率是沒有這個用戶名的，所以是不會破解成功的，要想查看破解成功的密碼，只要看請求結(jié)果中的“長度”信息，與大部分結(jié)果都不一樣的那一條大概率就是真正的密碼了，如下圖所示：
發(fā)包器
以上就是我們驗證碼自動識別工具的使用及結(jié)合burp suite工具進行網(wǎng)站登錄界面暴力破解密碼的全部內(nèi)容，對Pkav HTTP Fuzzer這款工具有興趣的可以在評論區(qū)評論“驗證碼”，我會將這款工具分享給大家，再次提醒大家，大家獲得了工具不要做違法的事，我們的目的是為了提高大家的網(wǎng)絡(luò)安全技術(shù)，有違底線的事情大家還是及時停止，歡迎關(guān)注@科技興了解更多科技尤其是網(wǎng)絡(luò)安全方面的資訊和知識。
