burp Intruder Tips - 火线 Zone-安全攻防社区

burp Intruder Tips

39952

充分利用 payload processing 功能：
挖洞时有时候会遇到需要爆破的字段在一串编码后的中间，如/login?p=dXNlcm5hbWU9eHh4eCZwYXNzd29yZD1wd2RtZDU%3d；对参数p 进行base64解码后就是username=xxxx&password=pwdmd5，要枚举用户或爆破密码时需要对username和password单独设置。
可以通过加前缀，加后缀，再进行base64编码方式:

如果对password进行爆破，假设密码是进行md5加密的，就需要先通过payload processing进行md5、再加前缀、后缀，最后进行base64编码：

payload processing 支持多种处理规则，还可以结合burp插件，比如传输方式是通过JS文件进行加密，可以配合jsEncrypter等插件对参数进行爆破。