网站后台爆破工具:WebCrack

网站后台爆破工具:WebCrack

WebCrack简介

WebCrack是一款开源免费的web后台弱口令/万能密码批量爆破、检测工具。

不仅支持如discuz,织梦,phpmyadmin等主流CMS的后台爆破,并且对于绝大多数小众CMS甚至个人开发网站后台都有效果,只需在工具中导入后台地址即可进行自动化检测。

使用方法

下载
GitHub项目:github.com/yzddmr6/WebC
项目拉取

git clone https://github.com/yzddmr6/WebCrack

安装所需依赖

pip3 install -r requirements.txt


运行脚本

>python webcrack.py 
*****************************************************
*                            * 
****************    Code By yzddMr6   ***************
*                            *
*****************************************************
File or Url:

输入文件名则进行批量爆破,输入URL则进行单域名爆破。

开始爆破

自定义配置

在cms.json里面可以进行自定义配置

文件里面给出了几种常见CMS的配置方案,可进行参考。

原理分析

根据我们平时使用burpsuite中的爆破的原理,可知webcrack的爆破原理与其差异不大,自动分析找到爆破点、带入字典进行匹配、判断是否成功。

寻找爆破点

根据提取到的参数名来匹配用户名和密码的位置(缺陷:可能不包含在已设定的选项中)

判断是否成功

原理就是先对两个错误请求的返回值进行比较,如果不同,则无法进行判断,退出爆破;如果相同,则记录下来作为判断的标准。

根据黑名单判断,出现黑名单中的情况判定为爆破失败

为了提高准确度,防止误报,还有重新检查的环节。就是再次把爆破出的帐号密码发送一次,将返回值与一个新的错误返回值进行对比,如果不同,则表示爆破成功。(为什么不使用前面记录下来的错误返回值进行对比,因为WAF的存在或其他因素的干扰会导致返回值的变化)

动态字典

根据域名自动生成动态字典列表

如果输入的是一个IP,则返回一个空列表。

万能密码

除了弱口令以外,还可能存在万能密码的漏洞,WebCrack中添加了一些常用的payload用来检测是否存在万能密码的漏洞。(缺陷:可能会被WAF拦截)

验证码

这部分自动化完成比较困难,这里只提供了一个简单的解决方案


今天的内容就分享到这里,希望对你有所帮助。二向箔安全推出了网络安全入门系列的主题技能包

需要的朋友可以领,现在没设置收费

  • 《资产探测与主机安全》:知识盒子 资产探测与主机安全:censys、fofa、NSE、Hydra等实用工具教学,体系化学习资产探测,高效辅助漏洞挖掘
  • 《CTF实战特训课程》:知识盒子 CTF实战特训课程:典型套路、题目详解、代码审计、赛事讲解
  • 《新手入门|穿越赛博》:知识盒子 新手入门|穿越赛博:常见安全工具安装与使用,视频教学,截图验证,适合网络安全入门
  • 《主题进阶|前端黑客》:知识盒子 前端迷雾:常见web前端安全漏洞,简单易懂,在线靶场练习,视频演示,通过学习掌握基础前端安全思路
  • 《暗夜契约|Python黑客》:知识盒子 python黑客: 内容涵盖流量分析,Flask模板注入等常见python安全基础与工具开发,需要有一定python基础,内容具有一定学习深度。
编辑于 06-24

文章被以下专栏收录