【愚公系列】2023年06月 Bugku-Web（网站被黑）

---

前言

1.Burp Suite

Burp Suite是一款Java编写的用于web应用程序渗透测试的集成工具，可以帮助测试人员诊断和安全评估Web应用程序的漏洞。

密码爆破是指通过尝试各种可能的密码组合，尝试破解密码来获得未授权的访问权限。下面是进行密码爆破的一般步骤：

1. 在Burp Suite的proxy中拦截请求，并选择需要破解的请求。

2. 将请求发送到Intruder，选择Payloads选项卡，在Payload设置中选择“Simple list”模式。

3. 在Payload设置中设置用户名和密码字典，然后单击“Start Attack”按钮开始破解。

4. 等待破解完成，查看Intruder的结果信息。

需要注意的是，在进行密码爆破测试时，必须得到法律授权或者事先得到管理权限，遵守道德规范。在未经授权的情况下进行密码爆破是非法的。

2.dirsearch

Dirsearch是一款开源的网站目录扫描工具，可以很快速地探测目标网站中存在的目录路径。它可以通过使用字典文件进行模糊匹配，从而发现网站中隐藏的目录和文件，是进行网站渗透测试的重要工具之一。

以下是进行网站目录扫描的一般步骤：

1. 使用Kali Linux或其他支持Dirsearch的操作系统。

2. 下载和安装Dirsearch工具，可以从其官方Github仓库获取。

3. 运行Dirsearch，输入目标网站的URL和要使用的字典文件，可以使用默认字典或自己编写一个字典文件。

4. 点击“Start scan”按钮，等待扫描完成。

5. 扫描完成后，查看结果并分析目录路径，以便于进行后续的渗透测试。

在进行网站目录扫描时，需要注意的是不要进行恶意攻击和试图非法访问目标网站。同时，也需要选择字典文件并进行适当的参数设置，以便得到有效的扫描结果。

一、网站被黑

1.题目

2.答题

进入网页

目录爆破

发现shell.php进入页面

发现需要密码，随便输入密码，进行burpsuit的拦截

发送到攻击模块进行爆破

发现这里有个长度不一样的，这个就是密码，输入密码，进入页面

得到flag：flag{c33764d2801c224df50d4b5303837dc0}