题目： ctf.show web21
考察 HTTP Basic 认证协议与爆破
进入靶场后随意输入账号密码 admin 与 password ，抓包发现 Authorization 字段中有 Base64 编码 YWRtaW46cGFzc3dvcmQ ，转换得 admin:password 。
此处基于 HTTP Basic 认证协议 ，会拼接账号、冒号与密码为一个字符串，再转换为 Base64 编码，插入请求头的 Authorization 字段。
但不管本题具体是什么协议，得到了账号密码拼接方式即可进行爆破。
打开 Burp Suite 的 Intruder 模块，在 Authorization 字段中添加 Payload 。
只有一个 Payload ，所以选择 Sniper attack 。在 Payloads 具体内容中， Payload type 选 Custom iterator （自定义迭代）； Payload configuration 中的 Position 1-3 分别设置账号、 : 和密码字典； Payload processing 加入 Base64 编码；取消 Payload encoding 的 URL 编码（因为此处 Payload 不在 URL 中）。
开始攻击，有 200 状态码出现，复制对应的 Payload 到请求头 Authorization 字段，响应中有 flag ，OK。