BruteForceAI：基于LLM的自动化登录表单暴力破解渗透测试工具，自动识别网页登录表单

BruteForceAI 是一款面向安全人员的渗透测试工具，借助大语言模型自动解析网页HTML与DOM结构，识别登录表单元素与CSS选择器，替代人工手动编写表单定位代码；支持多线程执行暴力破解、密码喷洒两类账号爆破攻击，内置各类反检测模拟手段，同时配套日志记录、Webhook通知等监控能力。LLM支持本地Ollama部署或者Groq云API两种模式。

GitHub：https://github.com/MorDavid/BruteForceAI

核心工作流程

analyze 表单分析阶段：LLM读取页面HTML，自动识别账号、密码输入框与提交按钮，提取表单选择器，检测DOM变化用来判断登录成功状态。
attack 攻击执行阶段：基于上一步识别到的表单信息，多线程执行账号密码尝试，搭配随机延迟、UA轮换等方式模拟人类访问行为。

功能清单

智能表单分析

LLM自动识别登录表单选择器，支持Ollama本地模型 / Groq云模型
DOM页面变化检测，用来判断凭据是否登录成功
自动重试，可根据结果反馈优化识别策略
智能提取网页HTML内容

攻击模式

暴力破解：遍历全部用户名+密码组合
密码喷洒：固定密码，批量尝试全部用户名（更常见的渗透测试场景）
可配置多线程并发（1~100+线程）
请求之间增加同步延迟，可添加随机抖动

反检测规避能力

User-Agent 随机轮换
可配置请求延时与随机抖动，模拟真人操作节奏
HTTP代理支持
浏览器可见性控制

监控与通知

成功获取有效凭据时，通过Webhook推送通知（Discord、Slack、Teams、Telegram）
SQLite数据库完整记录全部尝试日志，带时间戳
找到有效账号密码后自动退出
自动跳过已尝试组合，避免重复测试

附加功能

结果输出保存到本地文件
彩色终端UI
网络错误自动重试
数据库清理工具
自动版本更新检查

环境与部署

依赖

Python3.8+，依赖Playwright（浏览器自动化）、requests、PyYAML；需要安装Chromium浏览器内核。
支持两种LLM后端：

Ollama本地：推荐 llama3.2:3b，无需对外API密钥，本地离线分析
Groq云API：推荐 llama-3.3-70b-versatile，识别复杂表单效果更好，需要Groq API Key

基础命令示例

# 阶段1：AI分析登录页面表单，使用本地Ollama
python BruteForceAI.py analyze --urls urls.txt --llm-provider ollama

# 阶段2：执行爆破攻击
python BruteForceAI.py attack --urls urls.txt --usernames users.txt --passwords passwords.txt --threads 10

配套辅助命令：clean-db 清理数据库、check-updates 检查版本更新。