企业官网建设流程全解析

wfuzz（kali自带的工具）

用途：

1.猜测URL里面的参数

2.爆破密码

3.找出网站过滤的参数，如SQL注入和xss

4.目录扫描

5.压力测试

靶场：pikachu

1.F12找到请求的地址，这里是post请求

2.payload字段有三个：username password submit

对pikachu暴力破解的参数：

wfuzz -z file,user -z file,password -d "username=FUZZ&password=FUZ2Z$submit=login" http://localhost/pikachu/vul/burteforce/bf_form.php

把用户名的字典放在user里面，密码的字典放在password里面

post请求用-d来指定payload

执行命令后：

使用 --hw 1797过滤字段，过滤后就只会剩下需要的那个字段