# WebCrack-plus
项目地址：https://github.com/Curator-Kim/WebCrack-plus
[](https://github.com/Curator-Kim/WebCrack-plus#webcrack-plus)

基于 [yzddmr6/WebCrack](https://github.com/yzddmr6/WebCrack) v2.2 的增强版本， 用于 Web 登录页面的弱口令及万能密码检测，保留原版字典生成和 CMS 适配能力。 仅在获得明确许可的系统中使用；结果含明文凭据，请妥善保管。

## 相比原版的改动

[](https://github.com/Curator-Kim/WebCrack-plus#%E7%9B%B8%E6%AF%94%E5%8E%9F%E7%89%88%E7%9A%84%E6%94%B9%E5%8A%A8)

*   **入口识别**：在 HTML 表单和 CMS 识别之外，支持静态 fetch、Axios、jQuery、 V2Board/Umi 接口、同源登录链接及精确站点配置；静态识别失败且未匹配 CMS 时， 多线程 GET 探测完整登录路径规则，并自动猜测 api/auth/sso/login/account 子域名 （统一路径规则、无候选总数截断，可配置探测线程数和响应大小，或关闭子域名探测）。 已补充 Nacos、MinIO、Jenkins、GitLab/Gitea、Harbor/Nexus/Artifactory、Grafana/Kibana、 RabbitMQ、Portainer、XXL-JOB、Sentinel 的管理入口候选，分类及边界见 [工具管理入口规则](https://github.com/Curator-Kim/WebCrack-plus/blob/master/docs/tool-login-entry-rules.md)。路径命中不等同于登录协议已适配。
*   **两级并发**：分别控制 URL 与单站候选请求并发，隔离工作会话并复用识别结果。
*   **更严格的判定**：明确成功证据 + 失败基线排除 + 独立会话复核，不再仅凭响应长度判成功。
*   **验证码与重试**：可选 ddddocr 图片识别，增加超时、验证码错误和服务端错误的有界重试。
*   **使用与输出**：增加命令行参数、URL 去重、TSV 成功结果汇总及本地回归测试。

不执行页面 JavaScript；前端密码加密、动态令牌等机制不在静态识别能力内。

前端后台弱口令检测