wfuzz(kali自带的工具)
用途:
1.猜测URL里面的参数
2.爆破密码
3.找出网站过滤的参数,如SQL注入和xss
4.目录扫描
5.压力测试
靶场:pikachu
1.F12找到请求的地址,这里是post请求
2.payload字段有三个:username password submit
对pikachu暴力破解的参数:
wfuzz -z file,user -z file,password -d "username=FUZZ&password=FUZ2Z$submit=login" http://localhost/pikachu/vul/burteforce/bf_form.php
把用户名的字典放在user里面,密码的字典放在password里面
post请求用-d来指定payload
执行命令后:
使用 --hw 1797过滤字段,过滤后就只会剩下需要的那个字段