网站后台爆破工具:WebCrack

网站后台爆破工具:WebCrack

WebCrack简介

WebCrack是一款开源免费的web后台弱口令/万能密码批量爆破、检测工具。

不仅支持如discuz,织梦,phpmyadmin等主流CMS的后台爆破,并且对于绝大多数小众CMS甚至个人开发网站后台都有效果,只需在工具中导入后台地址即可进行自动化检测。

使用方法

下载
GitHub项目:github.com/yzddmr6/WebC
项目拉取

git clone https://github.com/yzddmr6/WebCrack

安装所需依赖

pip3 install -r requirements.txt


运行脚本

>python webcrack.py 
*****************************************************
*                            * 
****************    Code By yzddMr6   ***************
*                            *
*****************************************************
File or Url:

输入文件名则进行批量爆破,输入URL则进行单域名爆破。

开始爆破

自定义配置

在cms.json里面可以进行自定义配置

文件里面给出了几种常见CMS的配置方案,可进行参考。

原理分析

根据我们平时使用burpsuite中的爆破的原理,可知webcrack的爆破原理与其差异不大,自动分析找到爆破点、带入字典进行匹配、判断是否成功。

寻找爆破点

根据提取到的参数名来匹配用户名和密码的位置(缺陷:可能不包含在已设定的选项中)

判断是否成功

原理就是先对两个错误请求的返回值进行比较,如果不同,则无法进行判断,退出爆破;如果相同,则记录下来作为判断的标准。

根据黑名单判断,出现黑名单中的情况判定为爆破失败

为了提高准确度,防止误报,还有重新检查的环节。就是再次把爆破出的帐号密码发送一次,将返回值与一个新的错误返回值进行对比,如果不同,则表示爆破成功。(为什么不使用前面记录下来的错误返回值进行对比,因为WAF的存在或其他因素的干扰会导致返回值的变化)

动态字典

根据域名自动生成动态字典列表

如果输入的是一个IP,则返回一个空列表。

万能密码

除了弱口令以外,还可能存在万能密码的漏洞,WebCrack中添加了一些常用的payload用来检测是否存在万能密码的漏洞。(缺陷:可能会被WAF拦截)

验证码

这部分自动化完成比较困难,这里只提供了一个简单的解决方案


因为通用型爆破,可能无法做到百分百准确,可以修改配置文件来更符合你的需求。(出现sql错误信息可能存在post注入的情况无法进行爆破)二向箔安全 最近开放了一系列免费的网络安全技能包,通过学习技能不断提升自我能力,在网络安全的世界中不断闯关升级。

编辑于 2020-02-24

文章被以下专栏收录