223 字
1 分钟
【踩坑】有关pikachu靶场token防爆破的解决思路
抓不到本地的包
解决1：
地址写成本机的局域网ip
如：
本机ip为192.168.110.78
地址就写成http://192.168.110.78/pikachu
解决2：
使用 BurpSuite 自带的的浏览器
爆破的方法
由于选择 Cluster Bomb Attack 会出现同一token不同的账号密码的排列
故选择 Pitchfork Attack 的选项，只爆破密码（或用户名）
将数据包发送到 Intruder
添加密码和token两个 Payload
添加爆破密码的字典
在设置中提取页面中的token值，双击token并复制（一会初始的数据包要用），最后确定
回到 Payload 中，类型选择递归提取，填入刚才复制的初始token
在资源池中选择最大并发数为1，防止出现同一token多个数据包的情况
最后开始攻击
结果
可以看到，在对应的数据包中，login success
【踩坑】有关pikachu靶场token防爆破的解决思路
https://fuwari.vercel.app/posts/2025-08-03/