验证码有条件不刷新 某些时候会有这种情况：用户在登录失败后，系统会打开一个新的页面或者出现弹窗，提示用户登录失败，点击“确定”后返回登录界面，验证码也会刷新。但是这种情况下，只要我们不关闭新窗口、弹窗，直接使用BurpSuite截取登录请求包，先发送至Repeater模块，多“Go”几次，看看会不会返回“验证码错误”的提示信息，如果依旧返回“密码错误”则说明验证码不进行刷新。再将数据包发送到Intruder模块，把密码设为变量再进行MD5编码，就可直接爆破了。

不点击【确定】

多Go几次，判断验证码是否会刷新。

将密码编码，爆破。