1. 项目概述从“暴力”到“优雅”的攻防博弈在网络安全的学习和实践道路上DVWADamn Vulnerable Web Application靶场几乎是每个初学者的必经之地。它就像一个精心设计的“漏洞博物馆”将Web应用中最常见的安全问题按照从易到难的防御等级Low, Medium, High, Impossible一一陈列出来。而“暴力破解”Brute Force作为最古老、最直接却也最考验防御策略的攻击方式往往是很多人上手实战的第一个关卡。今天我们不谈空泛的理论就从一个渗透测试工程师的视角手把手地带你通关DVWA的Brute Force模块所有级别。这不仅仅是一个“点击下一步”的教程我会深入每个级别的代码逻辑拆解防御者的思路并分享在实际攻防演练中如何绕过这些防御、以及如何真正有效地加固你的登录接口。无论你是刚接触安全的新手还是想巩固Web安全基础的老兵这篇基于实战经验的深度剖析都能让你对认证安全有更立体的认识。2. 环境准备与基础认知你的“手术刀”和“战场”在开始“手术”前我们必须准备好“手术刀”并了解“病人”的构造。DVWA靶场通常部署在如XAMPP、PHPStudy或Metasploitable这样的集成环境中。确保你的DVWA可以正常访问并将安全级别设置为“Low”这是我们一切的起点。工欲善其事必先利其器除了靶场我们还需要几件核心工具Burp Suite Community/Professional版这是我们的主武器。它不仅仅是一个代理更是一个强大的Web漏洞扫描和攻击平台。我们将主要使用它的Proxy代理拦截、Repeater重放测试和Intruder暴力破解/模糊测试模块。浏览器与代理配置将浏览器如Chrome、Firefox的HTTP/HTTPS代理设置为Burp Suite监听的地址通常是127.0.0.1:8080并安装Burp签发的CA证书以便拦截和修改HTTPS流量。密码字典暴力破解的灵魂。你可以使用Kali Linux自带的rockyou.txt、SecLists项目中的字典或者根据目标情况自己生成针对性字典如公司名、常见弱口令组合。一个高质量的字典能极大提升成功率。注意所有操作务必在你自己搭建的本地或授权测试环境中进行。未经授权的攻击是违法行为。我们的目的是学习防御而非破坏。在开始攻击前我们先理解一下暴力破解的本质它通过系统性地尝试大量用户名和密码组合来寻找正确的认证凭证。防御的核心就是通过各种手段提高这种尝试的成本时间成本、计算成本使其变得不可行。3. Low级别通关毫无防备的“门户大开”将DVWA安全级别调到Low访问Brute Force模块。你会看到一个极其简单的登录表单。我们首先按正常流程输入任意账号密码如admin/123并提交同时用Burp Suite拦截这个请求。3.1 源码分析与攻击面审视查看Low级别的后端PHP源码在DVWA中可直接点击“View Source”其逻辑清晰得令人“感动”$user $_GET[ username ]; $pass $_GET[ password ]; $pass md5( $pass ); $query SELECT * FROM users WHERE user $user AND password $pass;;无任何过滤用户名$user和密码$pass直接从$_GET获取未经任何处理就直接拼接进SQL语句。这里虽然主要演示暴力破解但同时也存在严重的SQL注入漏洞。密码处理仅对密码进行MD5哈希后比对。MD5早已被证明可快速碰撞但在单纯的暴力破解场景下我们直接针对哈希前的明文进行尝试。无失败处理登录成功或失败服务器立即返回结果没有任何延迟、锁定或尝试次数记录。这相当于你家大门不仅没锁门上还贴着一张纸条“钥匙就在地毯下”。攻击起来毫无技术含量。3.2 Burp Suite Intruder实战爆破拦截到的HTTP请求大概长这样GET /dvwa/vulnerabilities/brute/?usernameadminpassword123LoginLogin HTTP/1.1接下来我们使用Burp Suite的Intruder模块进行自动化攻击。发送到Intruder在Proxy的拦截历史或Repeater中右键请求选择“Send to Intruder”。设置攻击点位Positions在Intruder的Positions标签页点击“Clear §”清空所有默认标记。分别选中username参数的值如admin和password参数的值如123点击“Add §”进行标记。最终username§admin§password§123§。攻击类型Attack type选择“Cluster bomb”。这是最常用的暴力破解类型适用于用户名和密码来自两个不同字典的情况它会尝试所有可能的组合。配置载荷Payloads在Payloads标签页为Payload set 1对应username加载你的用户名字典。DVWA默认常用用户名为admin、gordonb、1337、pablo、smithy等。为Payload set 2对应password加载你的密码字典。可以从简单字典开始如password,123456,admin,letmein等。开始攻击Start attackIntruder会发起大量请求。攻击完成后我们需要在结果中找出成功的那个。结果分析成功的登录请求其HTTP响应状态码可能依然是200但响应体长度Length或内容会与其他失败的请求显著不同。在结果列表中点击“Length”列进行排序通常成功登录的响应页面会包含“Welcome to the password protected area”字样其长度会远大于显示“Username and/or password incorrect.”的失败响应。找到这个独特长度的请求查看响应详情即可确认破解出的账号密码。实操心得在Low级别由于毫无防护攻击速度可以非常快。在Burp Intruder的“Options”标签中你可以适当增加线程数如20-30以提升速度。但要注意对真实目标即使是授权测试也需谨慎使用高线程可能触发运维监控告警。4. Medium级别通关增加了“减速带”将安全级别调至Medium再次查看源码发现了两处关键变化$user mysqli_real_escape_string($GLOBALS[___mysqli_ston], $user ); $pass mysqli_real_escape_string($GLOBALS[___mysqli_ston], $pass ); // ... if( $result mysqli_num_rows( $result ) 1 ) { // ... 成功 } else { sleep( 2 ); // 关键 echo prebr /Username and/or password incorrect./pre; }输入过滤使用了mysqli_real_escape_string函数对输入进行转义这基本封堵了SQL注入的可能性迫使攻击者回归到纯粹的暴力破解路径上。失败延迟在登录失败后程序会执行sleep(2)即强制等待2秒再返回错误信息。这个sleep(2)是一个典型的“减速带”防御。它不会阻止攻击但会将攻击时间成本线性放大。假设你有1000个密码要尝试那么至少需要2000秒超过30分钟。这对于手动攻击或缺乏耐心的自动化脚本是一个心理威慑。4.1 攻击策略调整与执行尽管有延迟但攻击流程和Low级别完全一致。因为防御机制并不检查请求来源、频率或历史记录只是单纯地让每次失败的请求都变慢。沿用Cluster bomb攻击在Burp Intruder中设置与Low级别完全一致。心理准备与时间管理发起攻击后你会明显感觉到进度条走得慢了很多。这是正常的。你需要做的就是等待。对于Medium级别使用大型字典几十万条变得不切实际但针对性的小字典几百上千条仍然可以在可接受的时间内完成。结果鉴别鉴别成功请求的方法不变依然是寻找响应长度或内容不同的那个请求。注意事项在实际渗透测试中遇到登录失败有延迟的情况需要评估延迟时间与字典大小。如果延迟很长如5秒、10秒通常意味着需要更精准的用户名枚举和更小的密码字典或者寻找其他绕过认证的漏洞如密码重置、会话漏洞而非一味蛮力。5. High级别通关挑战动态令牌Token防御High级别的源码引入了更强的防御机制if( isset( $_GET[ Login ] ) ) { // Check Anti-CSRF token checkToken( $_REQUEST[ user_token ], $_SESSION[ session_token ], index.php ); // ... 后续过滤和查询逻辑与Medium类似 sleep( rand( 0, 3 ) ); // 随机延迟 } // Generate Anti-CSRF token generateSessionToken();查看页面HTML源码会发现一个隐藏的表单字段input typehidden nameuser_token valuea1b2c3d4e5f6g7h8i9j0...Anti-CSRF Token每次页面加载或刷新都会生成一个随机的、不可预测的user_token并嵌入表单。提交登录请求时必须携带这个有效的token服务器会校验其与会话中存储的是否一致。这主要用于防御跨站请求伪造CSRF但同时也给传统的暴力破解带来了麻烦因为每次尝试都需要一个全新的、有效的token。随机延迟失败延迟从固定的2秒变成了sleep( rand( 0, 3 ) )在0到3秒间随机使基于响应时间的旁路攻击Timing Attack变得更加困难。此时如果我们直接用Low/Medium的方法只把username和password设为变量攻击会立刻失败因为第一次尝试后服务器端的session token就失效了后续请求携带的仍是旧的token会导致checkToken失败。5.1 方法一Burp Suite的Pitchfork模式与递归提取Grep-Extract这是最经典、最优雅的绕过方法完全在Burp Suite内完成。抓取首次请求设置攻击点位拦截一个正常的登录请求发送到Intruder。你会发现请求中包含了user_token参数。我们将三个参数标记为变量username、password和user_token。username§admin§password§123§LoginLoginuser_token§abc123def456§选择攻击类型选择“Pitchfork”草叉模式。该模式会并行使用多个Payload集并且每个Payload集只遍历一次然后停止。它要求各Payload列表长度一致并按顺序一一对应。这正适合我们我们需要为每一次尝试提供一组对应的username、password和实时获取的user_token。配置Payload集Payload Set 1 (username)加载用户名字典。假设我们已知或猜测用户名为admin可以只放一个admin或者放几个常见用户名。Payload Set 2 (password)加载密码字典。Payload Set 3 (user_token)这是关键。我们不能使用静态字典。需要设置Payload类型为“Recursive grep”。设置Recursive Grep首先我们需要告诉Intruder如何从服务器的响应中提取新的user_token。在Intruder的“Options”标签页找到“Grep - Extract”区域。点击“Add”Burp会弹出一个窗口让你从样本响应中提取数据。我们需要一个包含user_token的响应页面比如登录失败后的页面或者直接刷新Brute Force页面获取的源码。在样本响应中找到user_token的input标签类似input typehidden nameuser_token valuea1b2c3d4e5... /。用鼠标精确选中value和之间的那串令牌值。Burp会自动生成一个提取规则通常基于前缀value和后缀。点击“OK”保存。然后在“Payloads”标签页为Payload Set 3选择类型为“Recursive grep”并选择刚才创建的那个提取项。关键配置在“Options”标签页必须将“Request Engine”中的线程Number of threads设置为1。因为Recursive Grep模式是串行的它需要先发送一个请求从响应中提取token再将这个token用于下一个请求。多线程会导致token混乱。将“Redirections”设置为“Always”确保能跟随跳转获取完整响应。发起攻击点击“Start attack”。Burp会执行如下循环 a. 使用Payload Set 1的第一个用户名、Payload Set 2的第一个密码以及Payload Set 3的初始值来自我们标记的请求中的token发起第一次请求。 b. 从第一次请求的响应中提取出新的user_token。 c. 使用Payload Set 1的第一个用户名、Payload Set 2的第二个密码以及上一步提取的新user_token发起第二次请求。 d. 如此循环直到密码字典耗尽。如果用户名列表有多个则会切换到下一个用户名并重新开始获取token和尝试密码的过程。通过这种方式我们实现了token的自动更新完美绕过了High级别的Token验证。攻击速度虽然受限于单线程和随机延迟但依然是完全可行的。5.2 方法二编写Python脚本实现自动化对于喜欢编码或需要更灵活控制的情况编写脚本是更好的选择。思路同样是模拟“获取token - 携带token尝试登录”的循环。import requests import re import time from bs4 import BeautifulSoup # 目标URL和会话管理 target_url http://your-dvwa-ip/dvwa/vulnerabilities/brute/ login_url http://your-dvwa-ip/dvwa/login.php dvwa_session requests.Session() # 1. 首先登录DVWA获取有效会话 (DVWA默认账号密码 admin/password) login_data { username: admin, password: password, Login: Login, user_token: # 先留空第一次需要从登录页面获取 } # 获取登录页面的token resp dvwa_session.get(login_url) soup BeautifulSoup(resp.text, html.parser) user_token soup.find(input, {name: user_token}).get(value) login_data[user_token] user_token # 提交登录 dvwa_session.post(login_url, datalogin_data) print([] DVWA登录成功) # 2. 设置安全级别为High (需要先知道你的DVWA安全级别设置页面的URL和参数) # 这里省略假设你已经手动将Brute Force模块安全级别设为High # 3. 准备字典 username admin passwords [password, 123456, admin, letmein, 12345, root] # 示例字典 # 4. 暴力破解主循环 for password in passwords: # 步骤A: 访问Brute Force页面获取最新的user_token resp dvwa_session.get(target_url) soup BeautifulSoup(resp.text, html.parser) user_token soup.find(input, {name: user_token}).get(value) # 步骤B: 构造登录请求数据 brute_data { username: username, password: password, Login: Login, user_token: user_token } # 步骤C: 发送登录请求 resp dvwa_session.get(target_url, paramsbrute_data) # 步骤D: 检查响应是否成功 if Welcome to the password protected area in resp.text: print(f[] 破解成功! 用户名: {username}, 密码: {password}) break else: print(f[-] 尝试失败: {username}:{password}) # High级别有随机延迟脚本中可以不额外sleep因为每次循环都包含一次网络请求和页面解析本身就有时间间隔。 print([*] 破解完成。)这个脚本清晰地展示了攻击链维持一个会话requests.Session每次尝试前先GET页面获取新鲜token然后用这个token组合用户名密码发起登录GET请求最后检查响应内容。它比Burp的Pitchfork模式更透明也便于添加代理、异常处理等复杂逻辑。实操心得High级别的Token防御在自动化脚本面前形同虚设因为它只是增加了攻击的复杂性而非不可逾越的障碍。这告诉我们Token是防御CSRF的利器但绝非抵御暴力破解的银弹。真正的防御需要多层措施叠加。6. Impossible级别解析为何“不可能”Impossible级别的源码展示了近乎完美的防御姿态// 1. 使用PDO预处理语句彻底杜绝SQL注入 $data $db-prepare( SELECT * FROM users WHERE user (:user) AND password (:password) LIMIT 1; ); $data-bindParam( :user, $user, PDO::PARAM_STR ); $data-bindParam( :password, $pass, PDO::PARAM_STR ); $data-execute(); // 2. 检查是否找到用户 if( $data-rowCount() 1 ) { // 3. 获取用户信息 $row $data-fetch(); // 4. 密码验证使用password_hash()和password_verify()即使数据库泄露也无法直接破解哈希值 if ( password_verify( $pass, $row[ password ] ) ) { // 登录成功... } else { // 5. 登录失败增加延迟并记录日志模拟 sleep( 3 ); // 记录失败尝试到数据库或文件可用于后续分析或锁定 } } else { sleep( 3 ); }SQL注入免疫采用参数化查询PDO预处理将用户输入与SQL指令分离从根本上消灭了注入漏洞。强密码哈希使用password_hash()通常采用bcrypt算法存储密码并用password_verify()验证。bcrypt算法设计缓慢且可调整成本因子使得即使攻击者拿到了数据库的密码哈希值进行离线暴力破解或彩虹表攻击的成本也极高。一致的失败响应无论用户是否存在、密码是否正确失败时都返回相同的消息和相同的3秒延迟。这防止了攻击者通过响应差异来枚举有效用户名用户名枚举漏洞。失败记录与账户锁定潜在虽然代码中未直接实现锁定但注释提示会记录失败尝试。在实际应用中可以基于此实现账户锁定或IP地址限制策略。在这个级别传统的Web请求暴力破解已经基本失效。原因如下无法绕过认证逻辑密码哈希验证是密码学安全的无法从哈希反推密码。时间成本不可接受每次尝试固定延迟3秒且无法通过响应差异获取信息。尝试1000个密码需要50分钟且成功率极低。可能触发警报如果实现了失败尝试记录多次失败会很快引起管理员注意。那么Impossible级别就真的无懈可击了吗从纯Web应用层暴力破解的角度看是的。但安全是一个整体攻击者可能会转向其他弱点社会工程学通过钓鱼邮件、电话等方式骗取凭证。密码重置漏洞攻击密码重置功能而非直接登录。横向移动如果已有一个低权限账户尝试利用其他漏洞提权。离线攻击如果通过其他漏洞如SQL注入、文件包含窃取了数据库中的密码哈希则可以在本地进行高强度的离线破解。虽然bcrypt很难破但面对弱密码如password123和强大的GPU/ASIC算力仍有风险。这强调了使用强密码的重要性。7. 防御方案总结与进阶思考通关四个级别我们实际上经历了一场生动的防御演进史。下面我们来系统性地总结和拓展暴力破解的防御方案防御层级具体措施对应DVWA级别优点局限性/绕过方法无防御无任何过滤、延迟、限制Low无可被高速自动化工具瞬间破解基础加固输入过滤、固定延迟Medium增加时间成本阻止简单脚本无法阻止有耐心的自动化攻击如Burp Intruder增强交互动态Anti-CSRF Token、随机延迟High增加攻击复杂性阻止简单重放可通过自动化工具递归提取或脚本绕过密码学安全参数化查询、强密码哈希bcryptImpossible根本性防止SQL注入极大增加离线破解成本Web层攻击基本无效但依赖其他环节如密钥管理安全行为层面验证码尤其是行为验证码DVWA未包含有效区分人与机器可能影响用户体验存在OCR、打码平台绕过风险策略层面账户锁定n次失败后锁定一段时间DVWA未包含直接阻断自动化枚举可能被用于DoS攻击锁定合法用户需平衡安全与可用性策略层面IP速率限制同一IP单位时间请求次数DVWA未包含限制攻击源效率攻击者可使用代理池、僵尸网络Botnet分散攻击策略层面设备指纹/行为分析DVWA未包含识别异常登录行为模式实现复杂可能存在误判进阶思考与实操建议多层防御Defense in Depth不要依赖单一措施。“强密码哈希 账户锁定/IP限制 验证码”的组合拳能提供强大的防御。例如前5次失败仅记录第6次开始要求验证码连续10次失败则锁定账户1小时。用户体验平衡安全措施不能过度妨碍合法用户。可以考虑“智能锁定”例如对来自常用设备和地理位置的失败尝试更宽容而对异常来源则更严格。监控与告警所有失败的登录尝试都应被记录并分析。短时间内来自大量不同IP对同一账户的失败尝试是明显的暴力破解攻击信号应触发实时告警。面向未来的密码鼓励或强制用户使用密码管理器生成的随机、长密码如12位以上包含大小写字母、数字、符号。对于高敏感系统推行双因素认证2FA。渗透测试中的暴力破解在实际授权测试中进行暴力破解前务必确认测试范围是否允许。即使允许也应使用可控的、低频率的测试并优先使用从信息收集阶段获得的针对性字典如公司名、产品名、员工姓名组合而非盲目使用超大通用字典。从Low级别的“门户大开”到Impossible级别的“铜墙铁壁”DVWA的Brute Force模块生动地展示了安全是一个持续对抗和演进的过程。作为开发者理解每一层防御的原理和局限才能构建出真正稳健的系统。作为安全研究者或渗透测试员理解这些防御机制才能更有效地发现和验证漏洞。希望这篇结合实战工具和代码分析的教程能让你下次面对登录框时不仅有攻击的思路更有防御的智慧。