BruteForceAI

BruteForceAI — инструмент для авторизованного тестирования веб-форм входа: языковая модель помогает определить селекторы полей, после чего программа проверяет комбинации имён пользователей и паролей. Он рассчитан на специалистов по безопасности, разработчиков, проверяющих собственные приложения, и учащихся; участникам bug bounty важно соблюдать разрешённый охват.

Работа разделена на команды analyze и attack. Для анализа подают файл со списком URL, а для проверки учётных данных — файлы с URL, именами пользователей и паролями. Инструмент извлекает содержимое формы из HTML, может повторно анализировать её с учётом обратной связи и определять успешность входа по изменениям DOM. Для анализа нужен настроенный LLM-провайдер: поддерживаются локальная Ollama и облачный Groq, которому требуется API-ключ.

• Анализ форм и подбор селекторов полей.
• Перебор сочетаний и режим password spraying.
• Настройка потоков и задержек между попытками.
• Повтор попыток при сетевых ошибках.
• Журнал результатов в SQLite и сохранение вывода в файл.
• Уведомления об успешной проверке через вебхуки и Telegram.

По умолчанию команда attack работает в режиме bruteforce с одним потоком и без задержки между попытками; число потоков, задержку и её случайное отклонение можно изменить. Уже зарегистрированные попытки можно пропускать или запускать повторно, а проверку — останавливать после первого успеха. Для контроля запуска предусмотрены подробные сообщения с временными метками; результаты хранятся в SQLite, базу можно просмотреть и очистить.

Чтобы попробовать инструмент, понадобятся Python 3.8 или новее, зависимости проекта, Chromium для Playwright и настроенный провайдер языковой модели. При локальной обработке через Ollama API-ключ не нужен. Проект распространяется по некоммерческой лицензии: разрешены личное использование, образование, исследования и авторизованное тестирование, но коммерческое использование и перепродажа запрещены. Цена лицензии не указана; производные работы требуют указания авторства и сохранения той же лицензии. Применять инструмент к системам без разрешения нельзя.