CTFHUB-WEB之基础认证_ctis-basic-captcha-优快云博客

本文链接：https://blog.youkuaiyun.com/qq_37370714/article/details/121433234

本文介绍了一种CTF挑战中的基础认证破解方法。通过抓包分析及使用Burp Suite工具和Python脚本批量测试Base64编码的密码，最终确定正确的登录凭证。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

CTFHUB-WEB之基础认证

开始
- 方法一
- 方法二

开始

打开题目发现需要登陆，没有任何头绪，先抓个包看看。
发现了个小提示并且现在知道用户名为admin 就差密码了

在这里插入图片描述
下载下来附件打开发现一堆字符串，猜想可能是其中有一个真密码
然后在验证界面随便输入发现验证一行有东西 basic（应该表示基础验证），这后面应该是输入的密码

在这里插入图片描述
目测应该用了什么编码
再多输入几个看看（我输入的ada:123）

这种格式很有可能是Base64

这时候面对这么多密码可能，可以用burpsute或者其他脚本

方法一

抓包时可以在action 里面找到 send to intruder就能自动补充host等信息
在这里插入图片描述
然后在Basic后面加payload

再添加负载内容

记得关闭，要不然会将特殊符号编码

然后加一点规则
在这里插入图片描述
在一堆结果中找到与其他长度不一样的。

方法二

通过python完成编码
然后步骤同上

import base64
list = ['123456','password','line','12345678','qwerty','123456789','12345','1234','111111','1234567','dragon','123123','baseball','abc123','football','monkey','letmein','696969','shadow','master','666666','qwertyuiop','123321','mustang','1234567890','michael','654321','pussy','superman','1qaz2wsx','7777777','fuckyou','121212','000000','qazwsx','123qwe','killer','trustno1','jordan','jennifer','zxcvbnm','asdfgh','hunter','buster','soccer','harley','batman','andrew','tigger','sunshine','iloveyou','fuckme','2000','charlie','robert','thomas','hockey','ranger','daniel','starwars','klaster','112233','george','asshole','computer','michelle','jessica','pepper','1111','zxcvbn','555555','11111111','131313','freedom','777777','pass','fuck','maggie','159753','aaaaaa','ginger','princess','joshua','cheese','amanda','summer','love','ashley','6969','nicole','chelsea','biteme','matthew','access','yankees','987654321','dallas','austin','thunder','taylor']

username = "admin"
for x in list :
    string =  str.encode(username + ":" + x,'utf8')
    passwd = base64.b64encode(string)
    print(passwd)

在这里插入图片描述