Tomcat部署界面使用burp爆破

打开界面显示私密连接，正常抓包。

抓包查看Authorization的数据

Basic 后面的数据是经过base64加密后的。格式为admin:123456

勾选对应参数，payload设置为Custom iterator

position1设置username position2 输入英文:

position3就设置为password



这里我们采用针对同一弱口令去爆破不同账号的方式进行猜解，将可能存在的username放入position1的位置，其次放置password在position3的位置，最后attack时爆破的顺序如下图，就不会针对同一账号锁定。这样做的好处在于我们针对同一个口令去爆破大量用户时，由于用户不同，不会被锁定，同时由于第二次使用这个账户爆破其他口令时，tomcat的缓存有很大几率被占满，就不会导致锁定。

下方设置编码格式为base64编码格式

并且取消url编码即可。