攻防世界——weak_auth（NO.GFSJ0482）

基础环境

靶机：xctf
方向：Web
难度：1

解题过程

打开题目

结合题目内容，可以判断出来这是弱口令类型的，那么我们只需要暴力破解就行

我们先随便输入一些内容，可以看见页面的弹窗，提示我们用admin登录，那我们知道账号了，接下来就可以直接爆破密码了

打开bp并抓包,将抓到的包丢进intruder模块

接下来打开intruder模块，我们只需要选中password后面的内容，并且点击右侧的add按钮，

接下来进入poloads，在payloads模块加入你自己的字典，，这里我是随便输入了一些，因为我已经做过了，知道密码是123456，所以这里只是演示一下

这些设置好后其他的不用怎么设置，直接点击右上角的start attack即可

等待程序运行完成后，通过长度来对比出不同的项目，可以看出来123456的length值跟其他的不一样，因此我们可以试一试密码是否为123456

可以看到，输入账号密码后返回了flag

Cyberpeace{B8C8C412FB74FE5E9B2FDBD7907E397F}