bugku_web_管理员系统
进去以后是一个表单
随便输入账号密码后，得到返回结果：
这里提示本地登录，于是可以伪造http请求头。
还有一个提示信息比较（真的）坑，就是查看页面源码最后一行有一段base64编码：解开后发现密码是test123。之后猜用户名：admin、administrator这类的。
用burpsuite添加HTTP头部：X-Forwarded-For: 127.0.0.1，并发送请求：
得到flag，改下格式。
进去以后是一个表单
随便输入账号密码后，得到返回结果：
这里提示本地登录，于是可以伪造http请求头。
还有一个提示信息比较（真的）坑，就是查看页面源码最后一行有一段base64编码：解开后发现密码是test123。之后猜用户名：admin、administrator这类的。
用burpsuite添加HTTP头部：X-Forwarded-For: 127.0.0.1，并发送请求：
得到flag，改下格式。