TSW马宝国杯 web（我马宝国被黑了）

这是一道不算特别难的web漏洞扫描及密码爆破题

这次的web题又将引入新的工具：御剑后台扫描工具。这是一款非常强大的后台安全工具，话不多说，我们直接来看题。

从题目的提示可以看出这个网页是存在漏洞的，这时我们直接掏出御剑后台扫描工具对这个网页进行扫描，首先要做的事情就是摆好阵型(^▽)

在御剑工具的域名栏我们把网页的地址输入进去开始扫描

扫描后可以看到有一个shell异常

接下来我们对这个地址进行访问，出现了下面的这个页面

打开后是一个让输密码的页面，我们用burp对这个页面抓包
但是我们现在并不能定位到输入密码的位置在哪里，所以我们要在密码框内输入一次密码再对其进行抓包（这里密码随便输，这里我输的是111）

在抓包数据的最下方我们可以看到多出了一个密码位置，既然已经定位到了密码位置，那么接下来我们就可以对它进行爆破了（在数据包的位置右键 发送到intruder），接下来要做的就是先清除所有的那个变量，将爆破位置定位在pass后的111上

然后掏出祖传大字典开始爆破

在爆破结果中我们可以看到有一串长度异常的密码（其他都是1201，只有它是1193），点开之后可以看到密码是hack

输入密码之后下面就显示了flag，至此这道题就解决了。。。