Burp-Labs靶场通关WP-(g0dxing)-第三章(预三章完结)

原创

Xudde
Xudde

Xudde-Sec

2026年6月13日 15:30
广西

在小说阅读器读本章

去阅读

burp-labs靶场第三章WP

综合篇

Level 1

海洋博物馆

通关过程：

首页

关于我们的模块中含有团队人员信息，邮箱信息，可以记一下

找不到登录页面，爆破一下，登录页面就是login.php

字典里的用户和密码都尝试过了，最后看了下源码发现这个密码得生成密码字典，其中bugkuctf的密码生成网站试过就是没有成功，最后用无影成功生成出来了

生成密码字典使用无影->辅助工具->密码生成->社工模式

填写张海洋的信息，完成后点击生成字典，打开字典目录

选择Dict-Social-zhanghaiyang\_large.txt，全部复制，粘贴入burpsuite的intruder模块进行爆破，因为是馆长用户名用admin

最终爆破出账号密码

Level 2

外贸B2B平台

通关过程：

首页，吸取上一关的教训，来试试，失败了哈！这章太水了

登录试试，返回中文unicode编码，有两种情况，没有用户枚举漏洞

1.账号和密码不能为空！

2.账号或密码错误！

其他页面没什么东西，点击关于我们查看信息

使用无影构造字典，结果无收获，100W个请求包

最终也是看了源码。。。啥阴难度，跑路了跑路了

哈哈哈，没通关，最后一关没招

补充一下字典项目地址：https://github.com/TheKingOfDuck/fuzzDicts