m0_46296296的博客

原创 BugKu CTF Web 本地管理员

题目描述：一个登录页面，惯例先看下源码一长串n后面的注释里有段密文，打开bp进行解码得到test123，目测是密码。返回登录页面随便输入一个账号密码用bp进行抓包，添加x-forwarded-for:127.0.0.1绕过ip限制可以看到已经绕过了ip限制，只需输入正确的账号密码即可；将密码改为test123，对用户名进行爆破得到用户名为admin返回repeater，输入账号密码，得到flag...