Burp Suite的漏力破暴力破解模块，说白了就是洞扫个不断试密码的机器。但真正用起来，漏力破你会发现它远不是洞扫点个“Start attack”那么简单。

去年我帮朋友测试一个内部管理系统，漏力破管理员账号是洞扫admin，密码策略要求至少八位。漏力破我直接拿默认字典跑，洞扫跑了半小时，漏力破一无所获。洞扫后来抓了个登录包，漏力破仔细一看——参数里除了username和password，洞扫还有个隐藏的漏力破csrf_token。这玩意儿每次请求都变，洞扫Burp的漏力破Intruder默认不会处理动态令牌。你光替换密码字段，token对不上，服务器每次都返回“会话失效”。

这时候你得用Macro。在Project options里配置一个会话处理规则，让Burp每次发请求前自动去GET一次登录页面，提取新的token，再替换到请求里。听起来繁琐，但这是绕过动态防护的基础操作。没有这步，你跑一万个密码也白搭。

再说说位置标记。很多人把payload放在密码字段就开跑，忽略了用户名也可能被锁定。有些系统对同一IP连续失败五次就锁账号，你这边跑得欢，那边账号早锁了。更聪明的做法是同时爆破用户名和密码——用Cluster bomb模式，两个字典交叉组合。虽然请求量翻倍，但能发现那些“admin”和“administrator”都存在的系统。

实际测试中，我习惯先小规模试探。比如拿Top 10的弱密码，配合正确的用户名，看返回包的长度差异。如果某个密码返回的长度明显不同——多了几十字节，或者跳转了Location头，那基本就是中了。别一上来就上百万字典，很多WAF会直接封IP。你被封了，连正常测试都做不了。

还有个坑是线程数。默认的1个线程太慢，但调到50个，有些老系统直接崩。我遇到过一台Tomcat服务器，并发超过20就返回500，日志里全是连接池超时。这时候你得用“Resource pool”限制最大并发，或者干脆用“Turbo Intruder”插件，它支持更细粒度的速率控制。别迷信高并发，稳定比速度重要。

真正让我觉得Burp暴力破解有意思的，是处理那些“反爬虫”逻辑。有个网站，连续输错三次密码，会弹出一个滑块验证码。Burp本身处理不了滑块，但你可以用“Session handling rules”里的“Check response”功能——如果响应里出现验证码关键词，就暂停当前线程，等人工手动过一下验证码，再继续。虽然麻烦，但比纯手工试密码快多了。

最后说个容易被忽略的点：字典质量。网上下的rockyou.txt有1400万条，但很多是旧密码。真正有效的是结合目标信息定制的字典。比如知道管理员喜欢足球，就把“messi2023”“golang10”这类加进去。我有个习惯，跑之前先去LinkedIn或者公司官网看看员工名字，把姓名拼音和生日组合成字典。命中率比通用字典高一个数量级。

暴力破解不是无脑撞库，它考验的是对目标系统的理解程度。Burp只是工具，思路才是关键。下次你拿到一个登录框，先别急着拖字典，花十分钟看看请求参数、cookie逻辑、有没有验证码、有没有频率限制。这些细节，决定了你是花五分钟拿到密码，还是跑一晚上一无所获。