BurpSuite——Intruder四种模式详解

一、Sniper（狙击手）

Sniper模式只能使用一组 payload 集合，一次只使用一个 payload 位置；假如标记了两个位置 "A" 和 "B" ，payload 集合内有“1”和“2”两个值，那么它攻击会形成以下组合：

攻击序列	位置A	位置B
1	1	不替换
2	2	不替换
3	不替换	1
4	不替换	2

适用场景：竞争条件测试（选择Null payloads），密码、验证码暴力破解，重放攻击等场景

二、Battering ram（攻城锤）

同样只能使用一组 payload 集合，不同的地方在于每次攻击都是替换所有payload标记位置；如果添加了两个参数的话，就一起进行爆破，两个参数爆破时候的值肯定就是一样的了：

攻击序列	位置A	位置B
1	1	1
2	2	2

适用场景：暴力破解

三、Pitchfork（草叉）

草叉模式允许使用多组payload组合，如果只添加了一个参数的话，会报错；在每个标记位置上遍历各自对应的payload组合，假设有两个位置“A”和“B”，payload组合1的值为“1”和“2”，payload组合2的值为“3”和“4”，那么它攻击会形成以下组合：

攻击序列	位置A	位置B
1	1	3
2	2	4

注：如果两个payload行数不一致的话，取最小值进行测试。所以爆破的次数取两个中最小的为准。

适用场景：恶意注册、撞裤

四、Cluster bomb（集束炸弹）

集束炸弹也允许使用多组payload组合，跟草叉模式不同的地方在于，集束炸弹模式会对payload组进行笛卡尔积，那么它攻击会形成以下组合：

攻击序列	位置A	位置B
1	1	3
2	1	4
1	2	3
2	2	4

适用场景：账号、密码暴力破解