CTFshow-web入门爆破（21-28）

web21

用burp抓包

输入的账户名和密码被base64加密了，用burp自带解密发现账户名和密码之间用冒号隔开了，接下来构造payload

分别选中账户名和密码，我这里选择把冒号放到了账户名那里，放到密码也可以，只是一会儿加前缀和后缀的区别

payload1(账户名)：先导入题目提供的字典，然后加后缀冒号，再用base64加密

payload2(密码)：导入提供的字典，base64加密

payload1和payload2都需要取消勾选

构造完之后，发现需要爆破的条目数太大了，经过群里大佬提示，账户名就是admin，爆破完之后得到密码是shark63。

查看响应包，获取flag

web22

http://flag.ctfer.com/index.php

web23

<?php 
error_reporting(0); 
 
$a="asdfghjklqwertyuiopzxcvbnm1234567890";
for($i=0;$i<36;$i++){
   
    for($j=0;$j<