此次爆破使用的网站是DVWA来进行测试
工具：Burp suite
1、进去DVWA网站，选择高级安全等级，再进入到Brute Force（爆破）模块，假设此时已知账号是admin的情况下我们不知道密码，需要爆破密码，在账号输入框输入admin，密码框随便输入。
2、打开BP进行拦包，把拦到的包发送到Intruder模块，设置两个爆破参数（1、密码参数 2、token值参数。），选择第三种爆破模式Pitchfork，爆破模式详解见上一篇文章
3、设置参数的爆破字典和爆破方式
（1）密码爆破我们直接插入字典即可
（2）这里主要详解token爆破方式
4、token爆破方式
（1）在Payload Sets里的Payload type里选择Recursive grep（迭代查询）的爆破方式
（2）在Options里面设置线程，线程要设置为1，因为token值不能同时发送
（3）在Grep-Extract（查询并提取）中添加token的初始值和结束值，我们只要选中token就好，会自动添加
（4）在Redirections里选择Always（也就是让我们每爆破一次就要获取和发送一次token值）
4、开始爆破
通过下图可以看到最有可能的密码已经显示出来了
注：每次发送的token值都不一样
