1.自定义请求方法

如果请求GET 尝试将其更改为 POST、PUT 等，

如果你想绕过 API 的请求限制，尝试HEAD 方法。

2.向请求头添加欺骗IP

X-Forwarded: 127.0.0.1

X-Forwarded-By: 127.0.0.1

X-Forwarded-For: 127.0.0.1

X-Forwarded-For-Original: 127.0.0.1

X-Forwarder-For: 127.0.0.1

X-Forward-For: 127.0.0.1

Forwarded-For: 127.0.0.1

Forwarded-For-Ip: 127.0.0.1

X-Custom-IP-Authorization: 127.0.0.1

X-Originating-IP: 127.0.0.1

X-Remote-IP: 127.0.0.1

X-Remote-Addr: 127.0.0.1

或者使用两个或以上参数

X-Forwarded-For:

X-Forwarded-For: IP

3. 使用特殊字符绕过限制

在电子邮件末尾添加空字节 ( %00 ) 有时可以绕过限制。

尝试在电子邮件后添加空格字符。（未编码）

一些有助于绕过速率限制的常用字符：%0d、%2e、%09、%20、%0、%00、%0d%0a、%0a、%0C

比如email=abc@g.com,a&password=password123

在 api 地址末尾添加斜杠（/）也可以绕过限制。domain.com/v1/login->domain.com/v1/login/

4.使用 IP 轮换 Burp 扩展

如果限制每个 IP 尝试 10 次，则每 10 次尝试都会更改请求头内的 IP

Burp插件

5.如果遇到的是验证码时

尝试从请求正文中删除验证码参数

尝试添加一些与参数长度相同的字符串

保持Intercept打开，向Intruder发送请求。有时，它可能会产生意想不到的结果

6. 使用 Turbo Intruder

7. 使用忘记密码页面

有时忘记密码页面会解锁用户帐户。当用户帐户由于登录次数过多锁定时，攻击者可以通过点击忘记密码发送邮件后解锁用户帐户来继续他的暴力攻击。

8. 检查 Cookie 或 CSRF 值

网站使用 cookie 或 csrf 令牌来验证每个请求。因此可以尝试删除这些值并尝试绕过限制，或者可以自己生成这些令牌并使用来测试暴力攻击。