WEB入门——爆破21-28

WEB21

首先尝试网站后台常见登陆的弱口令，发现错误

 

则使用burp suite抓包试试看

通过分析，在未填入账号密码时，响应头如下所示：

 

 填入弱口令账号密码，发现响应头如下：

 

则对应可知账号密码被加密为base64文本，则可通过BURPSUITE的爆破模块进行对密码的爆破，字典选用题目附件中的后台常见密码

 

 爆破后的结果如图，可以在响应头中找到flag。

 WEB22——域名爆破

按照题意所说，寻找在线子域名查询工具，如https://phpinfo.me/domain/，可以查询以下子域名：

 

逐个访问，可以在VIP页面上发现flag：

 

#烦，BP代理出毛病了，懒得修，想修了再更

一律鸽了