弱口令是个很常见的漏洞，基本上很多网站都会存在这个漏洞，可能很多认为，弱口令算什么漏洞，，，
这样说吧，比如你在网上注册一些论坛，你的账号可能是你的QQ号的昵称，密码了？随便一些，123456，这些简单的密码，那我不就可以轻易的猜解出你的账密，并登陆你的账号了？
好了正文开始了...
弱口令可分为默认密码和简单的弱密码，其中默认密码，随便一个渗透者，都会去尝试的，比如说，当我们拿到一个需要测试的 web 后，我们会先找见它的后台，然后尝试默认密码，或者万能密码（这个万能密码，不详细解释了，想了解的请百度。），然后就会使用一些爆破工具，去尝试可能是哪个弱密码。
一般的网站管理员，他的 默认账号 有可能是 admin 或者 test ，等等这些常见的管理意思的单词，当然这是默认。密码也一样，常见的默认的密码 admin ， admin888 ， password 等等这些默认密码。
当然还有一些社工式密码，社工式密码，就是收集一些管理员个人信息，然后把管理员的信息，进行组合，凑成一本字典，然后用这个字典去爆破账号，因为人，都比较懒，所以会把自己的密码设置成和自己信息有关的，所以社工式密码，很大几率的就会爆破出你的密码。
以上只是一个在线的社工密码字典组成网站，感觉还可以，组的字典还不错。
下面我开始讲解 burp 的这个 intruder 模块的使用，这个算是一个爆破模块。
首先打开我们准备爆破的本地搭建的后台。
然后，因为是本地搭建的，我就自己组了个简单的字典，毕竟我自己是知道密码的。。。
好了，这两个算是就绪了，下面开始挂代理，就是把网络数据包代理到我的 burp 这个抓包工具里。
因为我是火狐的浏览器，所以就直接截这个图了，话说也建议大家用火狐，真的很不错。
然后我开始随便出入个账号密码，进行抓包。
记住，必须先进入 proxy 这个模块，然后看第一个 intercept 这个小块下的 intercept is off 这个必须是摁下的，因为这个是抓包开始。然后如果成功抓取的话，你会在这个数据包里，看到你一开始随便输入的账号密码。
下一步，鼠标右键，找见 send to intruder 这个选项，点击发送。
这个也就是刚才我们说到的爆破模块。
然后在上面的大模块里找见 intruder 这个模块，然后点击下面第二个小模块 positions ，然后看着下图的提示操作。
因为一开始，工具会自动锁定默认选择爆破的位置，也就是编程里的变量，我们点击 clear § ，取消所有默认爆破的位置，然后选择咱们需要爆破的位置，进行设置变量。
选中后，点击 add § ,也就是添加的意思。
然后选择上面 payloads 这个小模块，然后往下翻，
在这里添加外部字典，也就是TXT格式的文本，就像我上面随便组的呢个。
开始选择...
我是在桌面上放着的，所以直接找见了。
打开后，就自动添加到待爆破列表里了，下面我们开始点击上面第四个小模块 ，也就是最后一个小模块 options ，然后往下翻。
把系统默认的爆破都取消了，点 clear 。
然后添加咱自己的报错。
打开需要爆破的网页，找见爆破后的提示（随便输错一次人，然后点击登录，不就出现爆错了？）。
下面我们把爆错信息，进行添加。
这按着图里的提示来，很简单的就添加了。
恩，对，咱不用考虑，为什么和添加的不一样的这个问题。
然后我们开始点击最上面的 intruder 这个选项然后点击 start attack 。
开始后就会出现下面这个界面。
我们开始找不同，因为正确的，肯定和错误的响应的不一样。呢个不一样的肯定是密码。
那我们开始登陆下看看吧。
我要开始登陆了！！！
我擦！进去了！！！
话说，admin 这个弱密码，还需要爆破吗？(*^__^*) 嘻嘻……
直接猜就出来了，所以说，弱口令，这个漏洞，就是很平常见的，也是很容易被入侵的，我们大家都要让自己的密码，不要设置的这么简单哦！
最后，大家可能会问，那如果有有验证码，那咋搞？好，我擦。。。。。
我不说了，，，，，你们可以百度下 PKAV 这个团队，他们自己研发了一个可以识别验证码的爆破工具，，，名字我就不说了，我就直接贴个图吧。
关于这个工具咋用，，，我就不说了，反正我也不会，我一个玩本地源码的，需要爆破工具吗？ 嘎嘎！！！
总结：
弱口令很危险！一定不能设置弱口令，太弱了。。