httpconn暴破dvwa第一个密码0000提示破解成功

# 课程信息
课程：密码暴力猜解与防御-1.5-python实现暴力破解
靶场：dvwa
代码：httpconn.py

# 问题现象
第一个密码就提示破解成功（0000）

![](/media/202401/2024-01-11_172607_1742800.8132800181145236.png)

# 代码逻辑
先说说代码的逻辑：
```
    if 'Username and/or password incorrect.' in resp.text:
        print('破解失败：'+pwd, end='')
    else:
        print('破解成功：'+pwd, end='')
        break;
```
只要HTTP响应内容没有出现``Username and/or password incorrect.`` 都认为是破解成功。
那么除了密码错误之外的各种异常情况，都会提示暴破成功。

# 问题1：PHPSESSID没有使用最新已登录的
代码中已经有提示，PHPSESSID务必替换为登录以后的PHPSESSID。
方法：
F12打开开发者工具，打开Network选项卡，刷新网页，点击任何一个请求，把PHPSESSID复制出来，粘贴到代码httpconn.py中

# 问题2：登录的域名和代码中的域名不同
比如，打开靶场登录的域名是 ``http://dvwa`` 或者``http://127.0.0.1``。
而代码里面的域名是``http://localhost/``，这三个不同的域名，cookie是不能共享的。
所以解决办法就是用浏览器打开``http://localhost/dvwa/``，重新登录，复制PHPSESSID。

# 问题3：安全级别错误

这种情况下靶场没有漏洞，自然不会返回``Username and/or password incorrect.``这个关键词，代码误判断为登录成功。

比如这个同学：HTTP请求里面security里面出现了两个值：

![](/media/202401/2024-01-11_172407_3234890.7662746829473603.png)

必须要把安全级别设置为``low``。
如果改了以后不生效，必须要清空浏览器缓存：Ctrl+Shift+Del键