暴力猜解概述
暴力猜解簡單來說就是將密碼進行逐個推算，直到找出真正的密碼爲止
暴力破解注意事項
破解前一定要有一個有郊的字典（Top100 TOP2000 csdn QQ 163等密碼）；判斷用戶是否設置了複雜的密碼、網站是否存在驗證碼、嘗試登錄的行爲是否有限制、網站是否雙因素認證（等保中對管理員後臺的要求，例如只允許某個IP訪問，通過堡壘機，手機短信等）、Token值等等
對目標網站進行註冊，搞清楚帳號密碼的一些限制，比如目標站點要求密碼必須是8位以上，字母數字組合，則可以按照此優化字典，比如去掉不符合要求的密碼。(但是也可以嘗試不符合要求的密碼，因爲可能老用戶沒有被強制性更換密碼)
如果破解的是管理後臺密碼，可使用admin/administrator/root帳號機率較高，可以使用這三個帳號+隨便一個密碼字典進行暴力破解，是破解過程中一定要注意觀察提示，如“用戶名或密碼錯誤”“密碼錯誤”“用戶名不存在”等相關提示。
有時會有公司內網的一些密碼的需要大量員工使用，爲了省事，就設置統一默認密碼給員工再讓他們自己更改，可也可能出現漏洞
用戶名修改密碼新舊密碼是不允許一樣的，也可能出現漏洞
找正確用戶名的幾個方法
打開一個網站，最下面有一些郵箱地址（或者招聘投訴的郵箱），還有相關管理員的發通知信息等，或者註冊域名中，可以查註冊域名的人的郵箱地址，這些信息都可能成爲有用信息
暴力破解分類
（1）、基於表單的暴力破解
（2）、基於驗證碼暴力破解
on client常見問題：不安全的前端js實現驗證碼；不安全的將驗證碼在cookie中泄露；不安全的將驗證碼在前端源代碼中泄露
on server常見問題：驗證碼在後臺不過期，導致長期使用(php默認session是24分鐘過期)；驗證碼校驗不嚴格，邏輯出現問題；驗證碼設計的太過簡單和有規律的被猜解
（3）、基於Token破解（參考token破解文檔）
由於token值輸出在前端源代碼中，容易被獲取，因此也就失去了防暴力破解的意義，一般Token在防止CSRF上會有比較好的功效。
注意：線程數設爲1；Grep-Extract設置好開始token" value=" 結束爲" /> ；有郊載荷設爲遞歸搜索
“token” value="
（4）、基於系統、數據庫、中間件等第三方服務破解
系統漏洞掃描器自帶暴力破解、Bruter工具、hydra