打开pikachu靶场，力破暴力破解模块就躺在那里。解教它不装神弄鬼，力破直接给你一个登录框——用户名、解教密码、力破验证码，解教三件套摆得整整齐齐。力破这玩意儿就是解教让你来打的，但真上手时，力破大多数人第一反应是解教拿Burp Suite硬怼。我见过太多人卡在第一步：验证码刷不出来，力破或者刷出来了但每次请求都被拦。解教别急，力破先搞明白这靶场的解教脾气。

第一步，力破你得先抓个包看看。随便输个admin/123456，Burp里能看到POST请求把参数明晃晃地摆在body里。pikachu的验证码是前端校验的，意思是你得先手动输对一次验证码，让请求带着正确的captcha字段发出去。很多人栽在这儿——他们用Intruder跑字典，但验证码字段每次都是同一个，结果后端一比对就炸。解决办法很简单：把验证码固定成你刚刚输入的那个值，然后只爆破username和password两个参数。这不算作弊，因为靶场设计的就是让你理解“验证码绕过”的思路。

接下来是字典选择。别拿那种几万行的弱密码表直接怼，pikachu的admin密码是“123456”，但你要真这么跑，反而容易错过细节。我习惯先手动试几个常见组合——admin/admin，admin/password，test/test。你会发现响应长度有细微差异。用Burp的“Compare”功能看响应包，登录失败时返回“用户名或密码错误”，但密码正确时跳转页面长度会多出几十字节。这招比看状态码靠谱，因为pikachu对404和200的区分不太明显。

真正有意思的是第二关——“基于表单的暴力破解”旁边还有个“基于token的暴力破解”。这关每次请求都会刷新token，藏在页面源码里。你拿Intruder跑，payload里得带上新token，否则全部被拒。怎么搞？用Burp的“Grep-Extract”功能，在响应里提取token值，然后把它动态塞进下一次请求的变量里。这操作不难，但很考验你对“会话状态”的理解。我第一次跑通时，足足花了二十分钟——因为忘了把token字段的位置放在密码参数前面，导致每次提交的还是旧token。

还有个细节容易被忽略——pikachu的验证码其实可以关闭。在靶场后台的“配置”菜单里，有个“是否启用验证码”的开关。你要是想纯练爆破逻辑，直接关掉它，省得每次手动输验证码拖慢节奏。但别依赖这个，真实网站哪能让你关验证码？所以练完基础后，还是得把验证码打开，试着自己写脚本处理。Python的requests库加个session，配合PIL识别简单验证码，也就几十行代码的事。

最后说点实在的。暴力破解这玩意儿，本质上是“时间换空间”的博弈。pikachu没做锁定策略，所以你能无限跑。但真实系统早就有防爆破机制了——连续五次失败锁账号十五分钟，或者IP封禁。所以练这个靶场，重点不是学会怎么跑字典，而是理解为什么有的系统扛不住爆破，以及怎么防御。你拿Burp跑通admin密码的那一刻，应该想的是：如果我是站长，我该不该加个验证码失效时间？该不该限制单IP请求频率？想通这些，比多跑几个密码有用得多。