爆破带有验证码认证的请求
- 本地ocr ddddocr
- 多线程
- 支持payload自定义二次处理（插件）2022.06.10更新
- 支持用id检查验证码的类型 2022.06.13更新
- 拉取和配置环境
git clone https://github.com/AbelChe/BlastWithCaptcha.git
cd BlastWithCaptcha
pip install -r requirements.txt -i https://pypi.tuna.tsinghua.edu.cn/simple- 请求文件
以账号密码登录认证为例
- blast.txt
从burpsuite等工具中复制登录的请求包到blast.txt
在get或post参数中标记需要爆破的参数位置，如下所示，爆破username password 以及验证码 validCode
使用$<index>$标记，注意这里需要按照index的顺序设置config.yaml字典列表的顺序
设置字典列表时，验证码位置忽略顺延即可
这里1 2 3位置的对应关系：1、2对应config.yml的target.WORDDICT_LIST，3对应target.CAPTCHA_INDEX
POST /api/login HTTP/1.1
Host: example.com.test
Cookie: SESSION=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Content-Length: 61
Sec-Ch-Ua: " Not A;Brand";v="99", "Chromium";v="102", "Microsoft Edge";v="102"
Accept: application/json, text/plain, */*
Content-Type: application/json;charset=UTF-8
Sec-Ch-Ua-Mobile: ?0
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/102.0.5005.63 Safari/537.36
Sec-Ch-Ua-Platform: "macOS"
Origin: https://example.com.test
Sec-Fetch-Site: same-origin
Sec-Fetch-Mode: cors
Sec-Fetch-Dest: empty
Referer: https://example.com.test/
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9,en;q=0.8,en-GB;q=0.7,en-US;q=0.6
Connection: close
{"username":"$<1>$","password":"$<2>$","validCode":"$<3>$"}
- captcha.txt
直接复制burpsuite中请求验证码的数据包即可
GET /captcha.jpg HTTP/1.1
Host: example.com.test
Cookie: SESSION=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Sec-Ch-Ua: " Not A;Brand";v="99", "Chromium";v="102", "Microsoft Edge";v="102"
Sec-Ch-Ua-Mobile: ?0
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/102.0.5005.63 Safari/537.36
Sec-Ch-Ua-Platform: "macOS"
Accept: image/webp,image/apng,image/svg+xml,image/*,*/*;q=0.8
Sec-Fetch-Site: same-origin
Sec-Fetch-Mode: no-cors
Sec-Fetch-Dest: image
Referer: https://example.com.test/
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9,en;q=0.8,en-GB;q=0.7,en-US;q=0.6
Connection: close
另外，无需考虑blast.txt和captcha.txt的cookie对应关系，程序会自动生成新回话
- 配置
配置文件config.yml
system:
PROXY: # 上行代理 例如 127.0.0.1:8080
REQUEST_RETRIES: 5 # requests 的重试
ONCETIME_THREAD_POOL_SIZE: 1 # 并发数
THREAD_POOL_SIZE: 10 # 线程池最大线程数
TRYAGAIN_TIMES: 3 # 验证码识别失败重试次数
USERAGENT: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/101.0.4951.64 Safari/537.36 #自定义user-agent
LFLAG: '$<' # 左标志符号
RFLAG: '>$' # 右标志符号
SSL_VERIFY: FALSE # requests verify配置，默认即可
ocr:
CAPTCHA_REGEX: '.*(\w{4})' # 对ocr识别的结果进行提取 例如 .*(\w{4}) .*(\d{4}) (.*?) ......
CAPTCHA_REGEX_GETVALUE_INDEX: 1 # 搭配CAPTCHA_REGEX使用，获取其正则表达式结果位置，从1开始
target:
BLAST: blast.txt # 爆破的请求文本文件，默认即可
CAPTCHA: captcha.txt # 验证码请求文本文件，默认即可
CAPTCHA_LENGTH: 4 # 验证码位数，用于鉴别ocr识别结果准确与否 例如4 6...... 设置为0的话则为不验证验证码位数
CAPTCHA_DATATYPE: CUSTOM # 验证码返回数据类型，可选择 原始图片:RAW base64编码:BASE64 自定义获取数据:CUSTOM
CAPTCHA_CUSTOM_GETFLAG: 'code"\:"(.*?)"' # 搭配CAPTCHA_DATATYPE值为CUSTOM使用，正则表达式提取数据
CAPTCHA_ID_INDEX: 4 # 验证码id位置，标志位从1开始
CAPTCHA_ID_GETFLAG: '"codeId"\:"(.*?)"' # 提取验证码id的正则表达式
CAPTCHA_INDEX: 3 # 验证码的位置，标志位从1开始
WORDDICT_LIST: # 字典设置，需要注意顺序与BLAST文件中标记的顺序对应
-
file: /Users/AbelChe/SecTools/worddicts/fuzzDicts/userNameDict/top500.txt # 字典文件位置
plugin: # payload插件配置 数组格式 留空即为使用字典原始数据
- ['upper']
-
file: /Users/AbelChe/SecTools/worddicts/Blasting_dictionary/top100password.txt # 字典文件位置
plugin: # payload插件配置 数组格式
- ['md5'] # 格式为[插件名称（与plugins目录下文件名称对应）, 参数1, 参数2, ......] 参数要与插件代码中的args=[]对应, 映射关系为 args=[参数1, 参数2, ......]
- ['suffix', 'xxxxxxxxxx']
SSL: False # 使用https与否
CAPTCHA_ERROR_FLAG: # 判断验证码错误的文本标志，正则表达式
- 验证码错误
- 请输入正确验证码
- 验证码异常
CAPTCHA_ERROR_CODE: # 判断验证码错误的状态码
- 500
- 502
- 403
LOGIN_ERROR_FLAG: # 判断认证失败的标志，正则表达式
- 账号不存在或密码错误
LOGIN_ERROR_CODE: # 判断认证失败的状态码
LOGIN_SUCCESS_FLAG: # 判断登录成功的文本标志，正则表达式
- 登录成功
LOGIN_SUCCESS_CODE: # 判断登录成功的状态码
关于插件：
类似burp爆破的payload processing，可以自定义，使用方法见上方target.WORDDICT_LIST的解释，插件目录为plugins/
自定义插件:
如下代码为添加前缀（如果你写过sqlmap tamper插件，那你也应该会写这个）：
class PayloadProcessor: # 类名称不要更改
name = __name__ # 不用修改
description = '添加前缀' # 插件描述
def __init__(self, payload, args=[]): # 不用修改
self.payload = payload # 不用修改
self.args = args # 不用修改 从config.yml的target.WORDDICT_LIST[1].get('plugin')[1]传进来的, 故这里args值为['XXXXXX']
def __str__(self): # 不用修改
return self.name # 不用修改
def genterPatload(self): # 不用修改
#>>>>>>>>>>>>自定义代码段>>>>>>>>>>>>>
try:
# return 返回payload字符串即可
return self.args[0] + self.payload
except Exception as e:
print(e)
#<<<<<<<<<<<<自定义代码段<<<<<<<<<<<<<- 启动
需要python>=3.7
python BlastWithCaptcha.py- 结果
如果有爆破成功的，会保存到BlastWithCaptchaResult.txt中
参考使用方法-初始
以如下数据包为例：
- captcha.txt
POST /captcha HTTP/1.1
Host: example.test.com
Content-Length: 2
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/102.0.5005.63 Safari/537.36
Content-Type: application/json
Accept: */*
Origin: http://example.test.com
Referer: http://example.test.com/
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9,en;q=0.8,en-GB;q=0.7,en-US;q=0.6
Connection: close
{}
返回内容：
HTTP/1.1 200
Server: nginx/1.21.4
Date: Mon, 13 Jun 2022 03:38:54 GMT
Content-Type: application/json
Connection: close
Vary: Origin
Vary: Access-Control-Request-Method
Vary: Access-Control-Request-Headers
Access-Control-Allow-Origin: *
Set-Cookie: JSESSIONID=XXXXXXXXXXXXXXXXXXXXXXXXX; Path=/; HttpOnly
Content-Length: 1186
{"code":200,"msg":"成功","data":{"codeId":"20ebd4da6fbf43e5a12c0ffdfb04049c","code":"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"}}
- blast.txt
POST /login HTTP/1.1
Host: example.test.com
Content-Length: 114
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/102.0.5005.63 Safari/537.36
Content-Type: application/json
Accept: */*
Origin: http://example.test.com
Referer: http://example.test.com/
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9,en;q=0.8,en-GB;q=0.7,en-US;q=0.6
Connection: close
{"user":"$<1>$","passwd":"$<2>$","code":"$<3>$","codeId":"$<4>$"}
- config.yml
config.yml对应部分如下
target:
CAPTCHA_LENGTH: 4 # 验证码位数
CAPTCHA_DATATYPE: CUSTOM # 验证码返回数据类型，可选择 原始图片:RAW base64编码:BASE64 自定义获取数据:CUSTOM
CAPTCHA_CUSTOM_GETFLAG: 'code"\:"(.*?)"' # 提取验证码base64内容
CAPTCHA_ID_INDEX: 4 # 验证码id位置，$<4>$
CAPTCHA_ID_GETFLAG: '"codeId"\:"(.*?)"' # 提取验证码id的正则表达式
CAPTCHA_INDEX: 3 # 验证码的位置，$<3>$
- 插件（类似burp爆破的payload processing）2022.06.10
- 带有id的验证码 2022.06.13
- GUI