攻防世界六到十

 6.打开环境

 随便输一个用户名和密码，就会有一个弹窗提醒，用户名是admin

 用burp抓包

 鼠标右击，发送到intruder

 打开intruder，positions，将变量的符号清除

 用add将password加上变量符号

 打开payload，将弱密码字典导入进去

打开最上方的intruder，start attack，强行爆破

爆破完成之后，会发现长度共有两种， 434和437，点击密码，打开response会看到下面的代码显示，密码错误

点击123456的response，显示的是flag，说明密码就是123456

 2.

拿到题后，看到需要有get传参，要求变量a的值为0且变量a存在

 在地址栏输入a=a

再输入b=12346d ，即可得到flag

3.考察get,post传参，用get方式提交a=1

 

得到下一条提醒，用post方式提交b=2

 F12打开hackbar，用post方式给b赋值为2，提交即可得到flag

 9.xff和referer

xff是记录用户的真实ip，以及代理服务器的ip，全拼为X-Forwarded-For

打开链接后知道要用XFF来伪造ip，用burp抓包后，发送到repeater并添加X-Forwarded-For：123.123.123.123

 

 

 

 得到新的提示要再添加一个referer网址，发送后得到响应，拿到flag

 

 10.（不懂）