- 来源：Root-Me
- 题型：Web-Server
- 题目：Weak password
- 分数：10 Points
看见题眼是弱密码，我第一反应就是用 hydra 工具进行爆破。
打开挑战页面后，弹出一个提示框要求输入账密，我顺手输入了 admin:admin。
竟然通过了。。。。
一万匹草泥马从我心头奔腾而过。。。真特喵不愧是弱密码。。。
重新检查了各个地方没找到其他提示，而且输入账密的请求并没有频率限制，可以肯定渗透套路就是直接爆破。
在爆破时需要注意账密不是明文提交的，用 Burp Suite 拦截请求时，可以发现提交的的账密被本地加密到了 Authorization 参数中，稍微分析后知道加密方式为 Authorization="Basic " + to_base64(username:password) 。
答案下载
flag 下载后的 flagzip 的文件需要手动更改后缀为
*.zip，然后解压即可（为了避免直接刷答案）
