一篇教新手使用神器Burpsuit的暴力破解的教程，因为是新手入门所以写的尽量详细易懂，我也是菜鸟同学，希望投稿能通过了和大家一起交流。~~好吧，其实我是来搞基的！

找回密码时会给手机发送六位数字验证码，纯数字大家都懂的 可以暴力破解

于是我就祭出神器Burpsuit试试看，一试果然可以暴力破解，没有加任何限制，破出来验证码拿去改密码进邮箱，对于把重要信息存在邮箱上的用户来说密码已经形同虚设了，一点安全性都没有，所以说危害还是很严重的。

由于是拿自己的手机测试的，所以验证码是24****，我直接用240000-250000的字典跑了下，成功了后又用000000-999999的字典跑，两次测试证明漏洞确实存在。

详细过程：

找回密码页面

来到mail.wo.com.cn找回密码，打开Burpsuit设置好代理并OFF截包

输入一个简单的新密码，短信验证码随便填，我这里填123456，提示验证码错误，然后来到神器的history看刚才的POST请求包

嗯，就是这个包，序号是4611

我们选中，然后点send intruder发送到爆破

然后看到标签栏的intruder亮了

来到intruder

Target可以不用管，position和payloads、Options都有需要修改的地方：

首先position是定位变量，提交的数据有许多的参数，Burpsuit默认把所有的参数值都通过符号§给括起来了，我们只需要括起来验证码的那个参数就可以，所以全选，点clear§，然后选中验证码123456点击add§，修改好结果如图

Payloads标签下需要粘贴我们的字典，用字典生成器生成000000-999999纯数字，复制，粘贴（paste）

Options里需要填写返回错误时的标识字符串，也可以不填，我就写个错误

填完了所有信息，点击菜单栏intruder里start开始爆破吧

剩下的交给机器跑了，我们先去打会儿坐……

许久，结果出来了

根据返回包的长度很容易分辨爆破结果

248173就是我收到的验证码

，拿验证码去改密码吧。。修改成功

修复方案

增加验证码超时验证，登录错误次数限制机制 防止恶意的破解。