有的時候經常遇到401.今天正好朋友問怎么爆破，也順便記錄一下 怕忘記了
referer:http://www.2cto.com/Article/201303/194449.html
看到Burpsuite上的幾篇文章，如：
Burpsuite教程與技巧之HTTP brute暴力破解
AuthTrans(原創工具)+BurpSuite的暴力美學-破解Http Basic認證
感覺有些小題大作了。 自己也寫過Burpsuite Intruder這塊的功能，所以對這些還比較了解。其實通過Burpsuite自身的功能就能夠輕松實現對Http Basic認證的爆破。
下面講解下在burpsuite_pro_v1.4.07下如何設置Http Basic認證的PayLoad(當然新版的Burpsuite已經有了Http Basic認證爆破的選項，但是感覺還是較為麻煩):
以www.baidu.com為示例，不做真的爆破，僅講解如何設置PayLoad：
設置PayLoads，如下圖所示：
將”PayLoad set”設置為”custom iterator”，然后導入用戶名字典，如上圖所示，導入a-z做演示。然后在右側的separator的文本框內填入”:”，Position 1設置完畢。接下來將左側的滾動條下拉一格，設置position 2，如下圖：
在position 2直接導入密碼字典，這里導入0-9做演示，separator不填。
最后一步，在“PayLoad processing rules”列表中添加Base64-encode規則，如下圖：
Ok,完成了。接下來我們測試下，看圖吧：
可能有些人對Burpsuite的PayLoad選項”custom iterator”認識有個誤區，以為設置了多個position，“PayLoad processing rules”列表里的規則對於每一個position都是唯一的。其實錯了，這里不是設置了多個PayLoad，而是將多個position組合成了一個PayLoad的，設置的PayLoad規則僅對組合成的PayLoad生效。