6.打开环境
随便输一个用户名和密码,就会有一个弹窗提醒,用户名是admin
用burp抓包
鼠标右击,发送到intruder
打开intruder,positions,将变量的符号清除
用add将password加上变量符号
打开payload,将弱密码字典导入进去
打开最上方的intruder,start attack,强行爆破
爆破完成之后,会发现长度共有两种, 434和437,点击密码,打开response会看到下面的代码显示,密码错误
点击123456的response,显示的是flag,说明密码就是123456
2.
拿到题后,看到需要有get传参,要求变量a的值为0且变量a存在
在地址栏输入a=a
再输入b=12346d ,即可得到flag
3.考察get,post传参,用get方式提交a=1
得到下一条提醒,用post方式提交b=2
F12打开hackbar,用post方式给b赋值为2,提交即可得到flag
9.xff和referer
xff是记录用户的真实ip,以及代理服务器的ip,全拼为X-Forwarded-For
打开链接后知道要用XFF来伪造ip,用burp抓包后,发送到repeater并添加X-Forwarded-For:123.123.123.123
得到新的提示要再添加一个referer网址,发送后得到响应,拿到flag
10.(不懂)