BUUCTF-web刷题篇(11)

20.admin

这道题很可能用admin或者伪造admin进行登录,用admin进行登录,随便填写密码进不去,发现页面有register、login,用admin注册提示已经被注册。

方法一:(burp爆破)

进入登陆界面,用户名输入admin,密码随便写,抓包对密码进行爆破:action向intruder发送

BUUCTF-web刷题篇(11)_第1张图片

BUUCTF-web刷题篇(11)_第2张图片

BUUCTF-web刷题篇(11)_第3张图片

爆破之后提示429和302,可以看一下429的response,提示的是太多请求的问题,更改options的选项

BUUCTF-web刷题篇(11)_第4张图片

控制数据量,正常返回结果就有一个,payload的长度是不同的。

可以确定admin的密码是123,登录即可得到flag。

你可能感兴趣的:(web刷题WP,安全,web安全,BUUCTF)