CTF学习第五站——CTF技能树Web前置技能HTTP协议之基础认证

题目：

由题意得我们需通过登录来获取Flag

但我们没有账号密码，因此我们需对此进行爆破。

操作如下：

1.利用Burp在如下界面抓包，其中用户名和密码为随意输入，在此我均采用123

注意：先打开代理，再点击click，然后在burp中代理界面点击放行，才能抓到这个界面的包如下

2.阅读后发现，第十行Authorization为授权，basic后应为用户名和密码的密文，我们利用Burp中的编码工具对其解码

尝试后发现编码方式为base 64 ，格式为用户名：密码

3.此时我们用题目所提供的附件（弱口令字典）和burp中的intruder对其进行爆破

首先将抓下来的东西发送到intruder，在之前发现的位置添加payload位置

之后在设置中导入附件，

在处理中添加前缀admin：和编码Base64

去掉URL编码字符

之后开始攻击

4.在结果中我们可以发现两种不同的状态码，

HTTP401错误代表用户没有访问权限，需要进行身份认证。

200状态码代表请求成功。

5.我们对状态码为200的payload进行解码得到密码。（注：每次密码都有所不同）

6.登陆并得到flag后提交，别忘记关闭代理