本文介绍了在渗透测试中遇到的一个网站认证问题，通过F12检查和查看源代码发现了.id=admin会导致不允许登录。进一步分析发现需要对admin进行二次URL编码才能成功绕过限制。作者分享了解码编码工具，并给出了有效payload。最后，文章以一个解密后的flag作为结论，展示了网络安全中的编码解码策略。
解：打开靶机出现一句话，Can you anthenticate to this website?你能浏览这个网站么
正常思路就是F12看看有没有什么提示，发现没有，那就进一下index.php试一试还是没有变化，就算有变化可能也是被藏起来了，那就试试有没有源代码.phps文件，发现有源代码，接下来就是审计环节了。
如果id严格等于admin就会提示你不允许登录，也就是?id=admin
下面是对id的一次解码后再对其进行与admin的比较，那咱们也就是需要对admin进行一次加密，但值得注意的是url会自己解码一次，这里还有一次解码，也就是需要对admin进行二次编码，否则一次编码后还是会回到not allowed的界面.
payload:?id=%2561%2564%256d%2569%256e
最低0.47元/天 解锁文章
扫一扫
2887
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
