“百度杯”CTF比赛 十一月场 题目名称：Mangager

“百度杯”CTF比赛 十一月场

题目名称：Mangager
题目内容：
进入后台，我就会升职加薪当上总经理出任CEO迎娶白富美走向人生巅峰,现在想想还有点小激动。

1. 解题思路
   SQL注入，盲注。因为用户名和密码输入错误，提示信息不同。可以对用户名进行盲注，当提示下图信息，说明猜测正确
   
   2. 抓包分析
   
   _nonce=f46bb1c2ad026b360b3dfe4d615754826696482修改后会被检查到，说明他有用。

2. 查找_nonce怎么得到
在login.js 可以看到对它进行了赋值，但是getnonce()计算的是一个随机值，服务端是不能够检测出来的。可以输入同样的用户名和密码来看，_nonce都是一样的。所有不在这。

接下来，查看其它js，找到sign()函数