题目是世安杯线上赛的一个题目
查看源代码，发现最下面有一行提示
密码是五位数字，所以想着爆破，但在burpsuite抓包后发现，每次登录，验证码都会改变，而且验证码不可以为空。这时就要去设置macros，具体设置方法
切换到 Burpsuite 的 Project options 选项卡，点击Macros下的add按钮
点击add按钮之后，这时候弹出两个窗口，一个是Macro 记录器，一个是Macro编辑器，Macro记录器是记录发送那些HTTP请求，Macro编辑器是编辑一些参数，比如具体截取响应报文中的哪一个参数等等
首先操作Macro记录器，点击选择我们要发送HTTP请求，然后点击右下角的OK按钮即可（比如下图这样）
然后开始操作Macro编辑器， 选择右侧Configure item, 在弹出的界面中找到’Custom parameter locations in response’区域，然后点击右侧的 Add按钮
在弹出的窗口中，首先给要截取得参数值命名，我这里命名为randcode ，然后用鼠标选择我们要截取的内容，这里就把randcode的三位数字的值选取了即可，如果出现如下界面就表示OK了
然后点击右下角的OK，然后在所有回到的界面中继续点击右下角的OK
至此，我们就配置完毕了Macro。
接着开始让Burpsuite 自动调用Macros，并替换经过代理的请求中的randcode的值
我们切换回Project options 的选项卡，找到Session Handling Rules
点击Add 按钮，在弹出的界面中找到Rules Action区域，点击下方的Add按钮，在弹出的下拉列表中选择Run as Macros，在弹出的界面中进行如下配置
点击ok，返回上一页面，切换到Scope标签，进行如下配置
点击ok，然后回到上一个界面继续点击ok，到此，配置完毕，接下来就爆破了
爆破结果
注意：爆破时要设置一个线程，多线程可能会爆破不出来。一个大佬告诉我的
转自Daniel-0