实战篇1：密码找回

  实战地址：密码找回 

重点提示：重置；admin的密码

 首先看到这个界面，尝试输入密码（随意），验证码：1234

 出现error，说明常规手段不行。其实账号是ctfuser就知道。接下来再次输入密码，验证码：1234，进行burp抓包尝试。

 看到user1=Y3RmdXNlcg==

貌似是个Base64编码（看到后面有两个等号就感觉八九不离十），然后用Decoder解码

可以看到思路正确，接下来就只需要修改几个地方，然后放包即可

观察数据包结合已知条件我们知道一共要修改三个地方，在这里最需要注意的一点是明码对应明码，暗码对应暗码，修改代码必须遵守这个条件，负责计算机无法识别。

admin的Base64编码为YWRtaW4=

修改然后放包

成功拿到flag。

本题重点在于对burp抓包后修改数据，然后放包，骗过服务器得到flag

最开始看懂这个题目，讲真没啥头绪，知道要用burp抓包，但是在耗费了一下午的时间之后还是搞不定，最后之能求助别人，发现我犯了一个非常蠢得错误，burp抓包之后没有放包，一直在burp里面打转，就是repeater里面改一下放一下，整个人都麻了、、、

然后犯的错误就是没有明码对应明码，暗码对应暗码，一股脑都给改成了admin。

看来作为跟计算机完全不沾边的人，要想学会，任重而道远。。。