1、被测系统多次输入错误的账号和密码后，没有弹出验证码，于是，开始**，Burp Suite和浏览器，分别设置本地代理。
2、登录被测系统，随便输入账号和密码，提交，通过Burp Suite拦截登录请求。
3、将请求包发送到intruder模块。
4、切换到intruder，首先点击，清除所有变量，然后选择要**的参数，点击
添加变量，这里要对账号和密码进行**，所以选中这两个参数，分别添加变量，Attack type选择Cluster bomb。
5、切到Payloads页面对变量进行设置，首先对变量1进行设置。
6、对变量2进行设置。
7、点击开始**，查看**结果，根据Length很容易看到不一样的包。
8、根据得到的密码（加密后的），可以通过“碰撞”得到明文密码。
9，输入账户和密码，登录系统成功。