CTFHub解题笔记之Web密码口令：1.弱口令

1.题目描述

题目位置

网页显示

2.解题思路

看到网页猜测此题可能采用弱口令爆破的方式。

弱口令，可以理解为简单的密码，比如123456，大部分用户会将手机号码，生日，姓名字母缩写作为密码，这也就是弱口令。

弱口令字典，就是包括了一些常见的弱口令和根据特征信息生成的密码（比如你的生日、手机号）。

爆破，就是在工具中导入字典，不断尝试利用字典里的密码去登录，直到返回成功登录的结果。

验证码的出现和输错多次自动锁定等方式正是为了应对密码口令爆破，当然也有工具可以对验证码进行自动识别，不过现在的验证码越来越复杂化，多样化，编写代码也越来越严谨，这就需要用到其他的方法了，此是后话，暂且不提。

以下是一些可能用到的弱口令密码字典下载网站：

常见的弱口令 密码字典 下载网站 - donleo - 博客园

3.解题步骤

这里我们随便输入一个用户名和密码，利用bp工具进行拦截。

将其发送到爆破模块，选中name和password，添加payload位置。

攻击模式选择集群炸弹，也就是利用两本字典，同时对用户名和密码进行爆破。

导入用户名弱口令字典和密码弱口令字典，点击开始攻击。

此时bp开始进行爆破，等待爆破完毕，点击长度，发现一个不一样的数值，这就是正确的用户名和密码。

查看响应，得到flag。