【實驗原理】
Burp Suite是Web應用程序測試的最佳工具之一，其多種功能執行各種任務。請求的攔截和修改，掃描web應用程序漏洞，以暴力破解登錄表單，執行會話令牌等多種的隨機性檢查。
Burp Suite主要有它的以下特點：
1.Proxy（代理）-Burp Suite帶有一個代理，通過默認端口8080上運行，使用這個代理，我們可以截獲並修改從客戶端到web應用程序的數據包。
2.Spider(蜘蛛) -Burp Suit的蜘蛛功能是用來抓取Web應用程序的鏈接和內容等，它會自動提交登錄表單（通過用戶自定義輸入）的情況下.Burp Suite的蜘蛛可以爬行掃描出網站上所有的鏈接，通過對這些鏈接的詳細掃描來發現Web上的漏洞。
3.Scanner(掃描器)-它用來掃描Web應用程序漏洞，在測試的過程中可能會出現一些誤報，重要的是要記住，自動掃描器的結果不可能100%正確。
4.Intruder（入侵）-此功能可用多種用途，如利用漏洞，web應用程序模糊測試，進行暴力猜解等。
5.Repeater(中繼器)-此功能用於根據不同的情況修改和發送相同的請求次數並分析。
6.Sequencer--此功能用來檢查web應用程序提供的會話令牌的隨機性，並執行各種測試。
7.Decoder--此功能可用於解碼數據並找回原來的數據形式，或者進行編碼和加密數據。
8.Comparer--此功能用來執行任意的兩個請求，響應或任何其形式的數據之間的比較。
一.進入管理后台
瀏覽器輸入http://192.168.1.3:8003 進入后台界面
這里寫圖片描述
1,2輸入用戶名admin 任意密碼，注意到沒有驗證碼機制。如圖
二、嘗試用burpsuite暴力破解
三參數配置
3.1在proxy->options中設置代理服務器，地址為：127.0.0.1:8080（默認）。
3.2在IE瀏覽器（工具）->Internet選項->連接->局域網設置 中，勾選代理服務器
3.3在proxy->intercept開啟攔截，進行數據攔截。
3.4在后台登錄界面輸入用戶名admin密碼123456，然后單擊forward。在burpsuite中可以看到攔截到的數據
3.5【全選】->【右鍵】，將攔截的數據發送到【intruder】
3.6在【intruder】->[positions]選項卡下，點擊【clear$】取消burpsuite對已截取到數據的標記
3.7將需要暴力破解的內容（123456）選中，點擊【add $]添加標記
3.8在【payloads】選項下，點擊【load---】導入密碼.txt 文件（俗稱密碼字典）
3.9在【options】下，調整線程數，加快破解速度
3.10在菜單欄中，點擊instruder下的start attack 開始暴力破解
3.11匹配字典得到結果
得到密碼為admin進入后台