打开题目F12，发现<!-- dGVzdDEyMw== -->

很有可能是密码或者之类的这种后面有==的考虑编码base64，前面已经做过很多了

解码后为

test123

其他暂时没看到抓个包看看

你想想题目，题目说本地管理员，那么本地这个词是关键

就是说这样子登陆是不行的，已经被禁止了

那怎么本地呢我也不知道

看了评论说加x-forwarded-for：127.0.0.1   

地址我懂这个x-forwarded-for我是没怎么写过

本地管理员，字眼还提示登陆可能是admin为账号

试试

抓一下提交的包随便都可以

发到repeater

修改一下：

加一个X-Forwarded-For:127.0.0.1

user=admin&pass=test123

首先是post请求

接着是XFF 与重载值要有一个空格的

然后输入相应的值即可send

不然可能会有Invalid credentials! Please try again! 

起初我是以为是抓包失效了的缘故其实不是

flag{932e7fce86d61ad72c4c667781831598}

这里介绍一下：

x-forwarded-for：

X-Forwarded-For（XFF）是用来识别通过HTTP代理或负载均衡方式连接到Web服务器的客户端最原始的IP地址的HTTP请求头字段。

HTTP Referer是header的一部分，当浏览器向web服务器发送请求的时候，一般会带上Referer，告诉服务器该网页是从哪个页面链接过来的，服务器因此可以获得一些信息用于处理。简单地说，xff是告诉服务器当前请求者的最终ip的http请求头字段通常可以直接通过修改http头中的X-Forwarded-For字段来仿造请求的最终ip

bp

首先搞一个字典top1000.,txt晚上搜一下

打开网站用bp抓包

把字典导入

长度全是908有问题，说明出错了，要么是字典问题，要么是我们的问题

说明都会返回错误代码，干扰选择正确

这个时候添加过滤：

登陆网站

：

输入密码

flag{630f0b46887128366f77f5c62ce7bb9a}

这道题主要的还是加一个过滤，找出返回值中有错误代码的结果，然后一个排序找到正确的结果就好了，理解代码以及bur里面的Grep match 的作用到底是来干嘛的