我们在网站登录界面，为了安全起见，除了填写用户名和密码之外，还会要求用户输入验证码才能进行登录，验证码的作用最主要的是验证输入方是一个在电脑前正在输入的人，而不是某些程序模拟人的登录操作，这样就能有效地避免网站被攻击者进行暴力破解，从而非法获得网站的登录权限，验证码的种类也是多种多样的，其中我们常见的验证码就是图片验证码，验证码上的内容包括数字、字母、数字字母混合、汉字、算式等，这些字符往往都不太清晰，主要是为了增加识别难度，避免被软件自动识别。
验证码
有些人经常会吐槽某些网站的验证码，连输入者都看不清，需要输入多次才可以成功，其实使用这样的验证码的网站，往往是非常注重网络安全的，并且是提供非常重要服务的网站，其中最具代表性的就是12306网站上购买火车票是需要输入的验证码，曾经受到许多网友的吐槽，充分体现了一句话：“能够多次欺骗购票者的验证码，才是最安全的验证码。”
奇葩验证码
今天我们就来介绍一款验证码识别工具Pkav HTTP Fuzzer，来了解一下如何使用工具来自动识别验证码，从而对需要验证码的登录界面进行暴力破解，进而也认识一下那些使用所谓“奇葩”验证码的网站进行登录验证的苦衷，首先我们打开这款工具，非常有意思，它的功能按钮在最下方，我们选择“验证码识别”，然后选择图片型，如下图所示：
Pkav HTTP Fuzzer
下面我们拿一个网站的登录界面来演示一下这款工具的使用方法，首先是验证码地址，其实就是验证码图片的URL地址，当我们点击验证码图片时，验证码会刷新，我们选择右键单击验证码图片，选择属性点击，如下图所示：
验证码图片属性
就会弹出一个属性对话框，其中有一个地址（URL），就是这个验证码的地址。
属性对话框
识别模式选择“单个文本统一块”，在选择识别范围之前我们可以多点击几次验证码图片，判断一下验证码的大概类型，这个登录界面验证码的组成为数字字母的混合形式，我们就可以限定为以下字符为：“0123456789abcdefghijklmnopqrstuvwxyz”，因前边选择了“自带识别引擎”，所以“第三方识别引擎”不选择，当然我们也可以选择自己的识别库，然后选择识别测试，我们发现登录界面的验证码图片已经发送到验证码图片栏中，旁边获取到的验证码为：xatf，获取成功。
识别成功
这时我们就可以点击下方的“变体设置”，来设置变体，其中分析地址就是我们上图的登录界面地址，请求包就是我们用burp suite工具抓取的登录数据包，可以查看我的《抓包工具Burp Suite的安装与设置》一文，学习如何安装burp suite和抓取请求数据包，我们将最下边的POST数据中的验证码和密码数据分别打上“添加验证码标记”和“添加标记”，右边我们可以点击“请加载一个外部字典”选择一个密码字典，就会出现在旁边框里边，到这里我们的变体就设置好了，如下图所示：
设置变体
然后再点击下方的“重放选项”，这里我们只需要注意两点，一是验证码长度验证设置，我们知道验证码是4位长度，所以我们设置为固定值4，当我们输入验证码错误时，网站会弹窗提示“验证码错误！”，这时就代表我们识别错误了，必须重新识别，我们选择“字符串匹配”，添加弹出的“验证码错误！”当出现验证码识别错误提示时，就会重新验证发送直到成功。
重放选项
最后一步就是“发包器”了，点击启动按钮，就会自动识别验证码，进行暴力破解，这里我就不启动了，因为是真实的站点，成功与否取决于密码字典的强大，而且我输入的用户名也是自己编的，大概率是没有这个用户名的，所以是不会破解成功的，要想查看破解成功的密码，只要看请求结果中的“长度”信息，与大部分结果都不一样的那一条大概率就是真正的密码了，如下图所示：
发包器
以上就是我们验证码自动识别工具的使用及结合burp suite工具进行网站登录界面暴力破解密码的全部内容，对Pkav HTTP Fuzzer这款工具有兴趣的可以在评论区评论“验证码”，我会将这款工具分享给大家，再次提醒大家，大家获得了工具不要做违法的事，我们的目的是为了提高大家的网络安全技术，有违底线的事情大家还是及时停止，欢迎关注@科技兴了解更多科技尤其是网络安全方面的资讯和知识。
内容出处：，
声明：本网站所收集的部分公开资料来源于互联网，转载的目的在于传递更多信息及用于网络分享，并不代表本站赞同其观点和对其真实性负责，也不构成任何其他建议。如果您发现网站上有侵犯您的知识产权的作品，请与我们取得联系，我们会及时修改或删除。文章链接：http://www.yixao.com/customer/10178.html
微信扫一扫
支付宝扫一扫
相关推荐
-
网站生成静态页对网站用户体验的作用
艺宵网憬网络专家分析，网站生成静态页主要有以下好处：1，如果是生成了静态页，更容易被搜索引擎收录和排名靠前，这是优点一，这也是大家使用HTML的主要目的。 2，如果是使用静态页，那么可能就不调用数据库了，所以对服务器的压力更小，因为每一次显示都是一个直接的网页。 3，如果是使用了静态页，网站不需要经过数据库就可以打开，所以运行速度更快。
-
如何制作网站才能提高网站信任度
信任度的建设体现在以下方面：1. 关于我们页面：详细、真实的说明公司背景、历史、业务范围等等情况。2. 网站备案：获得ICP的备案许可。3. 服务流程：让客户充分了解整个过程，让服务更透明。4. 报价列表：根据不同服务，分别给出相应报价范围。
-
从“互联网思维”到“结构化思维”的转变
互联网思维过于虚化、过于神话，却又无法给希望通过互联网转型升级的传统企业以具体的方法论和策略，反而容易误导其进行各种生搬硬套或者东施效颦的方法论中。所以，企业家更愿意提倡“结构化思维”。
-
AI助聊未来发展趋势如何？百度输入法告诉了答案
未来既充满着未知数，又充满着变数，因此，在迷雾中正确航行就十分考验掌舵人的判断力及领导力。 现在科技发展，每类产品都不断融入AI科技，尤其本就是科技虚拟产物，研发人员则更加注重这一…
-
项目开发过程中甲方频繁变更需求如何处理？
恰好之前做过几次外包项目，有点小经验分享给大家，仅做参考1：首先，在项目开始之前就和甲方确定好需求，约束好在开发中不进行需求的变更（当然这种几率很小，但确实能在一定程度上减少需求变…
-
app让互联网倒退，网站才是互联网的未来
未来的网络信息都在云端存储，人们的上网设备不该再考虑存储空间和性能，而是像电视一样，打开，就能访问我们要用的网络资源。所以我才说，最终，网站才是互联网的未来。
-
淘宝网到底卖什么才赚钱?
1． 拥有独特的实体产品，或者是认识渠道的人，或者是自己本身就在做实体。不熟不做，这类成功的机会比较大，因为对买卖的产品内行，才可能做好； 2． 做高仿产品。品牌本身就是一个推广资源，高仿山寨也是一个机会点，很多人做这个生意，中等价格销售高仿品获取高利润。 3． 做代销。这些是对于那些创业不是很坚决的人士的一个模式，服装（淘宝女装）、饰品领域比较普遍。 4． 自己城市批发渠道、生产渠道找货。
-
从产品设计角度来说，地铁黄线外刷卡的逻辑是什么？
一个月坐地跌就要花掉150块钱，经常刷卡的时候因为习惯性的站在了黄线内，刷卡失败，西二旗地铁站每天还要专人在刷卡口拿着喇叭喊：“请站在黄线外刷卡！！！”，昨晚喊着喊着，啪叽一声，喇…
-
最常见的4条用户体验误区，老司机有时候也会湿鞋
随着互联网的快速发展示，用户体验的概念越来越火热，从事互联网人张口闭口就谈用户体验，用户体验的概念离我们每个人那么的近。但是用户体验是人人都可以做好的吗？答案是否定的，就像人人都是…
-
优惠券的设计逻辑思维
只说一下常规逻辑，太细节的地方就因业务和产品设计而异了： 大的框架分为：获取、种类、使用，3种 A、获取：主动获取（抢券，领券等）、被动获取（邀请奖励、网站分发等） B、种类：维度…
