新一代后台密码爆破工具重磅发布！
工具说明
工具主要是为了方便在面对web后台进行爆破测试的时候，用户名和密码是加密的情况下 如果单纯分析js来进行爆破测试时间成本会比较多，这里呢就采用模拟浏览器通过调用js来直接写入账号密码进行请求，来快速达到测试效果。
爆破模式
sniper:狙击手
ram:攻城锤
fork:草叉模式
bomb:集束炸弹
jietu:截图
截图模式 采用的也是 sniper:狙击手
工具优点
1：针对网站后台用户名密码加密无需分析js即可爆破请求。
2：采用通用特征方式识别用户名和密码进行提交请求。
3：通过内置大佬ddddocr库可以进行存在验证码后台爆破。
4：通过监听请求数据可以做到验证码错误重试功能。
5：可以对大量不同登录系统进行批量爆破测试并截图。
6：新添加cdp模式，可以使用工具直接爆破也可以配合burp的autodecoder插件做到burp调试明文实际发包密文传输。
请求模式
自动模式：
自动模式针对标准后台登录网站，输入账户密码字典就可以爆破。
手动模式：
手动模式的话就需要填入用户、密码，登录按钮，如果有验证码就填入验证码的xpath 路径。
cdp模式：
cdp模式需要配合burp使用，采用aiohttp来进行发包，cdp协议来远程调用加密函数。
CDP模式演示
通过burp 访问地址进行抓包，他这里的滑块验证码存在漏洞短时间可以多次使用。
这里我们可以看到密码参数是处于加密的。这个时候我们就需要去分析js了，先找到密码参数打个断点，进行调试。
通过分析这里发现加密参数，使用Sha256 进行加密，断点到这里的时候我们就可以使用cdp 协议来调用这个加密参数了。
复制burp刚刚请求的数据包到爆破工具上，在密码参数那里复制我们分析的加密函数，通过点击jscode按钮进行参数包裹。
继续通过点击单参数加密按钮对加密函数里面的密码进行包裹。
在右边输入我们需要爆破的密码，点击开始即可，根据网站响应长度成功获取密码。
项目地址
https://github.com/gubeihc/blastingCVES实验室
“CVES实验室”(www.cves.io)由团队旗下SRC组与渗透组合并而成，专注于漏洞挖掘、渗透测试与情报分析等方向。近年来我们报送漏洞总数已达八万余个，其中包含多个部级单位、多个通信运营商、Apache、Nginx、Thinkphp等，获得CNVD证书、CVE编号数百个，在不同规模的攻防演练活动中获奖无数，协助有关部门破获多起省督级别的案件。
广告
目前团队运营了两个知识星球分别为“追洞星球”与“挖洞星球”：
追洞星球】
内容：
1.最新漏洞POC复现分享
2.1day0day漏洞代码审计详细分析文章分享
3.未来会上线私有漏洞库
适合人群：
1.有安全加固、漏洞库运营等需求的人
2.喜欢追洞(1day、0day复现)学习代码审计的人
3.想加入CVES实验室学习的人，我们需要通过追洞学苑筛选出执行力强、学习能力强的人作为我们实验室的子队后备力量！
挖洞星球】
1.国内/国外漏洞赏金项目原创报告分享
2.黑盒测试(渗透测试-红队)项目原创报告分享
3.未来会上线渗透辅助工具(资产收集、漏洞扫描、免杀等)
适合人群：
1.有一定web安全基础
2.想拓展web安全、渗透测试知识面，想学习更多漏洞挖掘思路的人
3.想加入CVES实验室学习的人，我们需要通过挖洞学苑筛选出执行力强、学习能力强的人作为我们实验室的子队后备力量！