一、暴力破解：从原理到实战
暴力破解本质是一种基于穷举的认证旁路攻击，核心假设是认证系统对尝试次数缺乏有效限制，且攻击者能快速发起大量请求。其成功率主要取决于两个关键因素：一是密码空间大小，纯数字8位密码的空间仅为10^8，而大小写字母+数字+符号组合的8位密码空间则指数级扩大；二是系统响应与限制，包括单请求处理时间、失败次数后的账户锁定、IP封禁或验证码触发机制。
在实战中，我们以经典的DVWA靶场为例，从环境搭建开始：首先确保BurpSuite监听器运行在127.0.0.1:8080端口，接着配置浏览器代理，可通过Chrome手动设置或Proxy SwitchyOmega插件快速切换，关键步骤是安装BurpSuite的CA证书，这是拦截解密HTTPS流量的核心前提。
具体攻击流程分为三步：第一步，在DVWA登录页面输入任意账号密码，开启BurpSuite拦截后点击登录，将捕获的请求发送至Intruder模块；第二步，在Intruder的Positions标签中，选中密码参数为攻击变量，选择Sniper攻击模式；第三步，在Payloads标签导入密码字典，启动攻击后通过响应长度或关键字（如"login success"）判断爆破结果。
二、验证码攻防：从机制到绕过
验证码作为区分人类与自动化程序的安全措施，其漏洞主要分为三类：前端校验缺陷（占比31.7%），验证逻辑仅在客户端实现；会话管理漏洞（28.4%），验证码与会话绑定失效；逻辑设计错误（39.9%），包括验证码复用、参数篡改等。
以Pikachu靶场的验证码绕过为例，当遇到前端验证的验证码时，可通过查看页面源代码发现，验证码的生成与验证逻辑完全由JavaScript实现。此时只需在BurpSuite中拦截登录请求，删除验证码参数或修改验证逻辑判断条件，即可绕过验证码限制。
对于服务器端验证的验证码，若存在验证码复用问题，可在BurpSuite中设置攻击模式为Cluster bomb，同时对账号、密码和验证码参数进行爆破，利用验证码未及时失效的漏洞完成攻击。而针对一次性验证码，需采用会话保持技术，在攻击过程中维持同一个会话，确保每次请求使用的验证码与服务器端存储的一致。
三、验证码识别：从手动到自动化
当遇到无法通过逻辑绕过的验证码时，自动化识别技术成为关键。目前主流方案是通过BurpSuite插件集成OCR识别能力，以Captcha Killer Modified插件为例，具体步骤如下：
环境准备：下载插件jar包与配套Python脚本，安装依赖库
ddddocr和aiohttp，命令为pip install ddddocr aiohttp；插件安装：在BurpSuite的Extender标签中添加插件jar包，成功后将出现Captcha Killer面板；
服务启动：运行Python脚本
codereg.py启动本地验证码识别服务；配置对接：在Captcha Killer面板中设置接口URL为
http://127.0.0.1:8888，选择ddddocr识别引擎，抓取验证码请求并配置到插件中；攻击实施：在Intruder模块中设置验证码参数为插件生成的Payload，选择Pitchfork攻击模式，同时导入账号密码字典，启动攻击后插件将自动识别验证码并完成爆破。
需要注意的是，验证码识别成功率受验证码复杂度影响，简单数字字母组合的识别率可达90%以上，而复杂扭曲、干扰线较多的验证码识别率会显著下降，此时可考虑对接专业打码平台或训练自定义识别模型。