漏洞练习记录
前言：在此记录一些常见漏洞
暴力破解
1 基于表单的暴力破解
指对没有设置验证码，一定时间内提交次数的登录框进行暴力破解
直接用burp suite在用户名和密码添加payload然后跑字典就行，最后观察结果长度判断是否跑出结果
2 验证码绕过(验证码在前端)
我们通过尝试登陆，多次repeat和查看源码得知，如验证码生成和校验通过前端进行，不经过后端验
证，我们直接忽略验证码，对用户名和密码设置payload然后继续跑字典就行
3 验证码绕过(验证码服务器端)
如果验证码在服务器端，但后端只设置了刷新后更新验证码，没有设置检测后销毁验证码，我们正常
提交表单，触发js中的onclick事件，页面会刷新，验证码也会跟新。但这种情况下我们直接发送数据
包是不会触发onclick事件的，也就是页面不会更新，当前验证码仍然有效，对于这种情况，我们从页
面中获取当前的验证码，然后在数据包中输入当前验证码，在用户名和密码处设置payload继续跑字
典就行。
4 绕过taken
有些网站会在登陆时由后端生成taken发送给前端，然后在接受到数据包后比较用户名，密码和
taken，如果错误，会生成新的taken,如果taken是以明文放在了html中，我们只需要在爆破时从html
中提取taken即可，bp可以实现该功能