我们在网站登录界面，为了安全起见，除了填写用户名和密码之外，还会要求用户输入验证码才能进行登录，验证码的作用最主要的是验证输入方是一个在电脑前正在输入的人，而不是某些程序模拟人的登录操作，这样就能有效地避免网站被攻击者进行暴力破解，从而非法获得网站的登录权限，验证码的种类也是多种多样的，其中我们常见的验证码就是图片验证码，验证码上的内容包括数字、字母、数字字母混合、汉字、算式等，这些字符往往都不太清晰，主要是为了增加识别难度，避免被软件自动识别。
验证码
有些人经常会吐槽某些网站的验证码，连输入者都看不清，需要输入多次才可以成功，其实使用这样的验证码的网站，往往是非常注重网络安全的，并且是提供非常重要服务的网站，其中最具代表性的就是12306网站上购买火车票是需要输入的验证码，曾经受到许多网友的吐槽，充分体现了一句话：“能够多次欺骗购票者的验证码，才是最安全的验证码。”
奇葩验证码
今天我们就来介绍一款验证码识别工具Pkav HTTP Fuzzer，来了解一下如何使用工具来自动识别验证码，从而对需要验证码的登录界面进行暴力破解，进而也认识一下那些使用所谓“奇葩”验证码的网站进行登录验证的苦衷，首先我们打开这款工具，非常有意思，它的功能按钮在最下方，我们选择“验证码识别”，然后选择图片型，如下图所示：
Pkav HTTP Fuzzer
下面我们拿一个网站的登录界面来演示一下这款工具的使用方法，首先是验证码地址，其实就是验证码图片的URL地址，当我们点击验证码图片时，验证码会刷新，我们选择右键单击验证码图片，选择属性点击，如下图所示：
验证码图片属性
就会弹出一个属性对话框，其中有一个地址（URL），就是这个验证码的地址。
属性对话框
识别模式选择“单个文本统一块”，在选择识别范围之前我们可以多点击几次验证码图片，判断一下验证码的大概类型，这个登录界面验证码的组成为数字字母的混合形式，我们就可以限定为以下字符为：“0123456789abcdefghijklmnopqrstuvwxyz”，因前边选择了“自带识别引擎”，所以“第三方识别引擎”不选择，当然我们也可以选择自己的识别库，然后选择识别测试，我们发现登录界面的验证码图片已经发送到验证码图片栏中，旁边获取到的验证码为：xatf，获取成功。
识别成功
这时我们就可以点击下方的“变体设置”，来设置变体，其中分析地址就是我们上图的登录界面地址，请求包就是我们用burp suite工具抓取的登录数据包，可以查看我的《抓包工具Burp Suite的安装与设置》一文，学习如何安装burp suite和抓取请求数据包，我们将最下边的POST数据中的验证码和密码数据分别打上“添加验证码标记”和“添加标记”，右边我们可以点击“请加载一个外部字典”选择一个密码字典，就会出现在旁边框里边，到这里我们的变体就设置好了，如下图所示：
设置变体
然后再点击下方的“重放选项”，这里我们只需要注意两点，一是验证码长度验证设置，我们知道验证码是4位长度，所以我们设置为固定值4，当我们输入验证码错误时，网站会弹窗提示“验证码错误！”，这时就代表我们识别错误了，必须重新识别，我们选择“字符串匹配”，添加弹出的“验证码错误！”当出现验证码识别错误提示时，就会重新验证发送直到成功。
重放选项
最后一步就是“发包器”了，点击启动按钮，就会自动识别验证码，进行暴力破解，这里我就不启动了，因为是真实的站点，成功与否取决于密码字典的强大，而且我输入的用户名也是自己编的，大概率是没有这个用户名的，所以是不会破解成功的，要想查看破解成功的密码，只要看请求结果中的“长度”信息，与大部分结果都不一样的那一条大概率就是真正的密码了，如下图所示：
发包器
以上就是我们验证码自动识别工具的使用及结合burp suite工具进行网站登录界面暴力破解密码的全部内容，对Pkav HTTP Fuzzer这款工具有兴趣的可以在评论区评论“验证码”，我会将这款工具分享给大家，再次提醒大家，大家获得了工具不要做违法的事，我们的目的是为了提高大家的网络安全技术，有违底线的事情大家还是及时停止，欢迎关注@科技兴了解更多科技尤其是网络安全方面的资讯和知识。
内容出处：，
声明：本网站所收集的部分公开资料来源于互联网，转载的目的在于传递更多信息及用于网络分享，并不代表本站赞同其观点和对其真实性负责，也不构成任何其他建议。如果您发现网站上有侵犯您的知识产权的作品，请与我们取得联系，我们会及时修改或删除。文章链接：http://www.yixao.com/customer/10178.html
微信扫一扫
支付宝扫一扫
相关推荐
-
网憬大师关于网站的可信度的分析
说到网站的可信度，其意义就在于用户对网站的信任程度，如果用户仅仅是通过搜索引擎偶然检索到一个网页，看过内容之后随手就关掉了该网页，这种情况下对网站的可信度也许没有任何意义，但是对于具有商业目的的网站来说(比如企业网站以及专业电子商务网站等)，用户来到网站获取基本信息之后，如果产生了进一步的行为动机，如注册为会员、直接购买产品等，这时候就不能不考虑网站是否值得信任的问题了。
-
国内设计师用户体验设计究竟有多牛逼
随着国内互联网巨头纷纷迈出国际化步伐以及国内用户挑剔程度的日益加深，设计师和产品经理不得不对自己有更高的要求，而这种高要求往往从原型阶段就能见真章。 在国内设计师纷纷向国外看齐的大…
-
微信搜一搜真的颠覆百度的传统搜索吗？
微信又更新了。 互联网圈里有一种微信一更新就易兴奋体质的人，哪怕只是一个像素的变化，都能提到颠覆移动互联网的议程，在这种四处洒金水的氛围下，甚至出现了互联网两个凡是的…
-
网站建立用户体验过程的实用方法
也许你刚刚来到一家公司，他们希望进行一些“可用性”工作。你可能是一名UI设计师，业务分析师，或前端开发人员，一名产品经理，或者负责用户体验部门的经理或副总。你知道，如果更好地了解使用产品/软件/郑州网站建设的人，就可能开发出更好的产品/软件/郑州网站建设。不管怎么样，不管你是谁，也不管你在哪里，用户体验这件事，现在就归你管了。
-
新闻客户端百家争鸣，哪家评论交互能力强？
我曾通过抽样的方法对网易新闻、腾讯新闻、今日头条评论功能的数量和质量进行了对比分析。本文将继续对这三款产品评论功能的交互设计进行对比分析。我的结论是并非某款产品明显优于其他，而是各…
-
2017上半年度移动APP分类排行榜出炉！
转瞬之间，大半年已经悄然走过。不同于2016年的跌宕起伏，2017年的移动应用市场没有各类直播平台的层出不穷、没有如《阴阳师》般的现象级手游出现、也没有摩拜单车的横空出世，2017…
-
网页设计全方位的用户体验
“用户体验（User Experience，简称UX 或 UE）是一种纯主观的在用户使用一个产品（服务）的过程中建立起来的心理感受。因为它是纯主观的，就带有一定的不确定因素。个体差异也决定了每个用户的真实体验是无法通过其他途径来完全模拟或再现的。但是对于一个界定明确的用户群体来讲，其用户体验的共性是能够经由良好设计的实验来认识到。
-
基于角色访问控制RBAC权限模型的动态资源访问权限管理实现
RBAC权限模型（Role-Based Access Control） 前面主要介绍了元数据管理和业务数据的处理，通常一个系统都会有多个用户，不同用户具有不同的权限，本文主要介绍基…
-
传统网站不仅没死，数据告诉你反而越来越好
市面上现在经常看到唱衰网站和百度的言论，但可以肯定这些人是不做生意的，要么是做技术的，要么就是墙头草 你的感觉并不重要，数据很重要。 2019年2月，移动月活数11.38亿 202…
-
听听微软MSN高管谈论腾讯QQ的竞争力
有时我在想，MSN和QQ都是IM软件的高手，MSN如何看待腾讯？先行者被模仿者超越的关键何在？差距在哪？最近，跟微软MSN中国负责人有过一个非正式沟通，专门谈了这个话题。对于MSN和腾讯QQ的差异和差距，有四点关键的看法：
