1、web题：管理员系统 打开题目看到这个界面 然后随便输入按回车会出现如下提示根据提示可以猜想是X-Forwarded-For（X-Forwarded-For(XFF)是用来识别通过HTTP代理或负载均衡方式连接到Web服务器的客户端最原始的IP地址的HTTP请求头字段。它代表客户端，也就是HTTP的请求端真实的IP） 伪造一个XFF头,伪装成本地登录
X-Forwarded_For: 127.0.0.1接下来可以查看源代码 最后有一行注释dGVzdDEyMw== 看到后面的两个等于号我们可以猜想这是一个Base64加密，解密后可以得到 test123 然后用BP抓包 ，然后发送到Repeater进行改包：Headers中增添一对键值对： X-Forwarded-For : 127.0.0.1 点击GO得到flag（test123实际是密码，账号是admin）
2、web题：web4 打开题目随便输入一个字符串，看到如下提示。然后查看源代码。 将下面编码进行unescape解密。 var p1 = ‘function checkSubmit(){var a=document.getElementById(“password”);if(“undefined”!=typeof a){if("67d709b2b’; var p2 = ‘aa648cf6e87a7114f1"==a.value)return!0;alert(“Error”);a.focus();return!1}}document.getElementById(“levelQuest”).οnsubmit=checkSubmit;’; eval(unescape(p1) + unescape(‘54aa2’ + p2)); 之后将多余的去掉 再将 p1 和 p2 带入即可 67d709b2b54aa2aa648cf6e87a7114f1 然后将这输入表单中提交得到flag 3、web题：输入密码查看flag 打开界面看到又是让输入密码，看到这里可以想到使用Burpsuite进行抓包然后进行暴力破解。我们先随便输入密码，然后在burp上能够看到我们填写的密码，然后将得到的发送到intruder。 最后
