BurpSuite爆破base64账号密码

背景

考试时遇到域名用户爆破，其验证格式为base64编码的组合凭证，社区版尽量用小字典，大字典会卡吐，以下为示例：

推荐字典：

• /usr/share/wordlists/nmap.lst
• /usr/share/seclists/Passwords/darkweb2017-top1000.txt

1.选择Positions，Attack type选择Sniper，选中使用base64加密过的那一段密文，点击右侧的Add$

2.选择Payloads,Payload type选择Custom iterator

3.Posion选择1，点击下方的Clear,点击Load items from file,选择一个用户名爆破文件

4.Posion选择2，点击下方的Clear,在Add出输入 : （注意是英文），点击Add

5.Posion选择3，点击下方的Clear,点击Load items from file,选择一个密码爆破文件 

6.在Payload Processing中的Add,选择Encode，然后选择Base64-encode,点击ok 

7.在Payload Encoding中，取消勾选URL-encode 

8.点击 Start attack，开始爆破。