Web安全期末作业 Django系列

靶机地址：http://110.40.154.100:8000

1、在浏览器进入 靶机地址

2、在网站后边输入 authenticate 进行用户验证

Django 提供的函数 authenticate  用于处理登录账户的验证是否存在

这时返回一个用户名 admin ，然后在网址后输入 admin进入登陆界面，输入用户名admin，密码随便输入一个，然后打开 代理，进入burpsuite，进行抓包

3、抓包完之后在将 内容发送到 Intruder模块下的Positions，将自动添加的变量取消，设置密码为变量名

4、然后进入到 Intruder 模式下的 Payloads ，添加爆破字典 然后点击右上角 Startattack ，开始进行密码爆破

 5、密码爆破完然后看每个密码的字段，在这里可以看到 a123123123 的长度与其他的密码长度不一样，所以 a123123123 为密码

 6、接着将代理关闭，回到我们的网站登录页面 直接输入用户密码进入主页面

 最后我们可以进行 添加用户以及添加组等操作

 添加组成功。

 添加用户成功。