Burp Suite实战：绕过前端加密的密码暴力破解

1. 前端加密如何影响暴力破解现代Web应用越来越注重安全性前端加密已经成为保护用户凭证的常见手段。当你输入密码点击登录时JavaScript可能已经对密码进行了RSA加密、Base64编码甚至更复杂的处理。这种机制使得传统的暴力破解工具直接失效——因为攻击者无法预知原始密码会被转换成什么形式。我最近测试过一个电商网站它的登录流程是这样的用户输入密码后前端先用RSA公钥加密再进行URL编码最后才发送到服务器。这意味着即使你用Burp Suite抓到了请求包看到的也是一串像aBcDeF123%3D%3D这样的乱码完全无法直接套用密码字典。常见的前端加密类型Base64编码看起来像YWRtaW4这样的字符串实际只是编码而非加密RSA非对称加密需要公钥才能加密典型特征是以MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A开头的密钥AES对称加密输出固定长度的密文如U2FsdGVkX1Zz6wF5b5pLZJQ7gYSHA系列哈希不可逆的散列值例如5f4dcc3b5aa765d61d8327deb882cf992. 逆向分析加密逻辑要突破前端加密首先需要搞清楚它的加密流程。打开Chrome开发者工具F12我通常会按照以下步骤操作在Sources面板全局搜索关键词encrypt、password、cipher等查看Network面板的XHR请求重点关注initiator列指向的JS文件在Console执行window.encrypt或window.Crypto查看是否存在全局加密对象最近遇到一个典型案例某OA系统在login.js中定义了如下加密函数function encryptPassword(pwd) { const key CryptoJS.enc.Utf8.parse(1234567890abcdef); const iv CryptoJS.enc.Utf8.parse(abcdef1234567890); return CryptoJS.AES.encrypt(pwd, key, {iv: iv}).toString(); }通过这个代码我们就能确定它使用的是AES-CBC模式密钥和IV都是硬编码的。这种信息对后续构造加密payload至关重要。3. 搭建加密代理环境知道加密算法后我们需要在Burp Suite和目标服务器之间插入一个加密转换层。这里推荐两种方案方案一使用jsEncrypter插件安装Burp Suite插件jsEncrypter准备phantomjs环境需要v2.1.1版本编写加密脚本encrypt.jsvar jsEncrypt require(jsencrypt); var encryptor new jsEncrypt.JSEncrypt(); encryptor.setPublicKey(-----BEGIN PUBLIC KEY-----\nMIGfMA0G...\n-----END PUBLIC KEY-----); function encrypt(payload) { return encryptor.encrypt(payload); }启动服务phantomjs encrypt.js方案二Python本地服务对于更复杂的加密场景可以用Flask快速搭建加密APIfrom flask import Flask, request import rsa app Flask(__name__) pub_key rsa.PublicKey.load_pkcs1(-----BEGIN RSA PUBLIC KEY-----\n...) app.route(/encrypt, methods[POST]) def encrypt(): plaintext request.form.get(payload) return rsa.encrypt(plaintext.encode(), pub_key).hex() if __name__ __main__: app.run(port1664)实测中发现一个坑如果加密服务响应太慢会导致Burp Suite超时。建议在Resource Pool中将请求间隔设置为500ms以上。4. 配置Intruder进行加密爆破一切就绪后进入Burp Suite的关键配置环节在Proxy模块拦截登录请求发送到IntruderPositions标签页选择Cluster bomb攻击类型在Payloads标签页设置Payload set 1用户名字典如admin、test等Payload set 2密码字典如password、123456等添加Payload Processing规则Invoke Burp extension → 选择jsEncrypter或选择Extension-generated类型高级技巧遇到动态密钥时可以在Options→Grep-Extract中提取响应中的公钥用Python脚本实时生成加密payload通过External payload processing调用脚本5. 结果分析与防御建议爆破完成后通过以下特征识别成功请求响应状态码不同如302跳转响应长度显著变化响应时间差异成功登录可能触发会话创建隐藏的提示信息如欢迎回来等字符串给开发者的安全建议实施多因素认证增加图形验证码或OTP验证对登录失败次数进行限制避免在前端暴露加密细节使用HTTPS防止中间人攻击我在实际测试中发现约60%的网站前端加密都存在安全缺陷——要么密钥硬编码要么加密流程可逆向。最夸张的一个案例是某系统前端用Base64编码密码但开发者忘了删除调试代码在Console直接输出了原始密码。安全防护需要前后端协同单纯依赖前端加密就像给门上了锁却把钥匙留在锁孔里。