主要考察密码爆破
Django靶场Django: the Web framework for perfectionists with deadlines.
要求：
sql注入考题，利用漏洞django-cve_2019_14234，向系统里写一个以自己班级名字命名的文件。
1.进入靶场出现界面
使用函数authentucate（认证客户端）认证存在用户
由下图可知，存在用户admin
2.用户登录
登录界面网址Log in | Django site admin
进入登录界面 ，已知信息 用户admin 未知信息 密码
扫描二维码关注公众号，回复：
16702440 查看本文章
使用Burpsuite专业版进行爆破
2.1Burpsuite爆破
开启本机代理功能127.0.0.1:8080
使用火狐浏览器的插件Foxyproxy开启代理功能
返回靶场的登录界面进行开启代理进行抓包
Burpsuite获取到的信息
右击鼠标Send to Intruder，之后进入position界面
右侧clear清除变量，保留变量password，爆破方式sniper
进入 payload界面 ，我选择使用字典爆破，我下载了6000常用密码字典，如需使用，请去官网上进行下载
点击load..加载桌面上已下载的字典
右上角开始进行爆破
根据长度观察，密码为a123123123
进入网站Log in | Django site admin
3.注入用户信息
添加用户user
添加上用户信息
添加成功