webcracker40字典进行暴力破解

用WebCracker40跑字典，字典最直接的进行结果往往不是“破开了”，而是暴力先被目标站点的响应速度拖到崩溃。我上周拿它测一个本地搭建的破解WordPress登录页，字典选了rockyou.txt的字典前一万条，结果跑到第两千三百多条时，进行脚本自己卡死了——不是暴力密码对，是破解服务器那边返回的302重定向把会话池耗尽了。这事说明一个很实在的字典问题：暴力破解的瓶颈从来不在字典大小，而在目标系统的进行容忍度。

WebCracker40这个工具本身不复杂。暴力它就是破解一个HTTP表单爆破器，支持GET/POST、字典自定义header、进行代理轮换，暴力还能识别验证码字段是否为空。核心逻辑是读字典文件，逐行替换用户名和密码变量，然后发请求，根据返回状态码或页面关键词判断成功。但很多人第一次用会栽在配置上。比如默认的失败标识是“incorrect”，可有些站点返回的是“Invalid credentials”或者干脆200状态码加一段JavaScript跳转。你不手动改匹配规则，跑一万次也是白跑。

我习惯先抓一个正常登录的请求包，把Cookie、User-Agent、甚至CSRF token都填进WebCracker40的“请求头”和“额外数据”栏。CSRF token比较麻烦，如果每次登录都变，就得配合正则提取或者写个小脚本先刷token。这时候字典反而次要了——你拿top100的弱口令去撞，比拿10G的字典瞎跑有效得多。有个做渗透测试的朋友跟我说过，他见过最离谱的案例是某后台管理员密码是“admin123”，但登录表单里藏了一个隐藏字段“attempt=1”，每失败一次就自增，超过5次直接封IP。WebCracker40的延时设置设成0.5秒都没用，因为封的是IP不是频率。

字典的选择直接决定成败。WebCracker40自带的字典很基础，就是几百个常见密码。真正干活得自己合并：把target公司名、年份、常见键盘模式（qwerty、1qaz2wsx）混进去。我通常会写个Python小脚本，把公司缩写加数字后缀生成几千条，再和rockyou的前五千条去重。这样跑起来命中率比纯rockyou高不少。但注意，别拿这种字典去测线上生产环境——除非你有书面授权。去年有个哥们儿用WebCracker40扫某电商后台，字典里带了“admin888”，结果真进去了，然后被请去喝茶。工具无罪，用法有罪。

性能调优方面，WebCracker40的线程数别开太高。默认是10，我一般降到5。为什么？因为很多WAF（比如Cloudflare）对同一IP的并发请求超过8次/秒就弹验证码。你开20线程，前3秒爽，后面全是403。代理池能解决，但免费代理质量太差，付费代理又贵。更实际的做法是挂低速率，比如每秒1-2个请求，跑一晚上。反正字典就几千条，不急。

最后说个细节：WebCracker40的“成功标识”可以填正则。比如登录成功后页面会出现“Dashboard”或者“退出登录”。别只依赖状态码。有些站点登录失败返回200，成功也返回200，但内容长度差几十字节。你可以在工具里勾选“比较响应长度”，设个阈值。这个功能藏得深，但比盲猜靠谱。跑完一轮后，记得把结果导出CSV，里面会记录每个尝试的响应时间和长度。翻一翻那些长度异常的条目，往往就是突破口。

工具终究是工具。WebCracker40能帮你自动化试错，但能不能破开，七成看你对目标的理解，三成看字典质量。剩下的，交给运气和网速。