ограничение на количество неверно введёных паролей - десять раз введёшь неправильный пароль:
фейк-поддельная под оригинал страница,где все введённые данные в нужные тебе формы,сохраняются у тебя на хосте,и ты можешь ими воспользоваться.в данном случае это логин и пароль.присылаешь жертве ссылку на фейк,немного СЕ , и если всё грамотно сделаешь-админ попадётся.