CTFHUB刷题 HTTP协议/基础认证

一、题目描述分析

打开题目后，发现除了一个链接，还有题目附件，下载打开后，发现是密码字典，如下图

 点开链接，进入发现需要用户名和密码才能登入页面，如下图

利用BurpSuite抓包，如下图，注意到右侧Response部分“Do u know admin ?”,猜测用户名是admin，密码考虑暴力破解

 二、解题过程

1.在输入用户名和密码登录时，利用BurpSuite抓包

注意到HTTP头部 Authorization （相关知识点可以点击Authorization-HTTP|MDN），利用Basic64解码，发现是刚才登入输入的用户名和密码，以此为突破口

 2.暴力破解

在第1步中，右键-->Send to intruder-->Intruder模块-->Positions,选择爆破位置，如下图淡绿色部分

 配置字典，准备暴力破解，Intruder-->Payloads-->Payload Options[Simple List]-->load上传题目附件中的密码字典，接着Payload-->Processing-->Add,添加解码方式为Base64 encode，添加前缀（Prefix）admin: （注意冒号不要少，输入法调为英语）

 配置完成，点击右上角Start Attack 开始暴力破解，找到状态码为200的并选中点击Response，得到flag

 三、反思与总结

1.关于BurpSuite工具的安装与使用，具体教程可以网上搜索，自己还要继续学习。

2.这题也可以利用提供的密码字典，用户名为admin,密码一遍遍代入，就是有点费时间。