能否暴力破解日期格式？是否需按日、月、年分别执行破解？

关于日期爆破的两种可行方式 #

当然可以暴力破解日期格式，两种思路都适用，具体选哪种看目标的输入结构：

• 一次性全量爆破：适合目标把日期做成单个输入字段（比如YYYY-MM-DD格式的输入框）。直接用包含所有合法日期组合的字典跑就行，逻辑简单，缺点是字典体积会大一些，但当前硬件性能足够支撑。
• 拆分日/月/年单独爆破：适合目标把日期拆成三个独立输入框（日、月、年各一个）。这种情况分开爆破效率更高——比如先固定已知的年和月，只爆破日；或者根据目标的校验逻辑调整顺序，能大幅减少无效请求。

Burp Suite新手爆破失败的排查步骤（以单个日期字段为例） #

既然你知道正确日期却没成功，大概率是操作细节没做好，按下面步骤走：

1. 抓包并发送到Intruder：用Proxy拦截提交日期的请求，右键选Send to Intruder。
2. 正确标记爆破变量：切换到Intruder的Positions标签，选中日期对应的参数值（比如请求里的date=2020-01-01，就选中2020-01-01），点击Add §把它设为唯一的爆破变量，别误选其他参数。
3. 准备精准字典：
   • 如果你知道正确格式（比如DD/MM/YYYY），直接生成该格式的合法日期字典（比如用本地工具生成近10年的所有有效日期，注意排除2月30号这种无效日期）；
   • 不确定格式的话，多准备几种常用格式的字典（比如MM-DD-YYYY、YYYY/MM/DD）分开跑。
4. 设置Payload并启动：切换到Payloads标签，选择Simple list，把准备好的日期粘贴进去，或者加载字典文件。点击Start attack。
5. 识别正确响应：爆破结束后，看结果列的响应长度、状态码——正确日期对应的响应通常会和其他错误请求有明显差异（比如错误请求是400状态码，正确的是200；或者错误响应长度是2000，正确的是5000）。

新手常见坑点 #

• 请求被限流：如果大量请求失败，调低Intruder的线程数（在Resource pool里设成5-10），或者加个100ms的延迟。
• 前端校验干扰：有些网站前端会先拦截非法格式，你得确保Burp发送的请求格式是后端认可的，别用前端不让输的格式去发。
• 变量标记错误：比如把整个date=都标成变量，导致请求里变成date=§2020-01-01§，这种请求后端肯定不识别。

内容的提问来源于stack exchange，提问作者Sarah Bader