四、Multi Level Login 1
（1）题目：
STAGE 1: This stage is just to show how a classic multi login works. Your goal is to do a regular login as Jane login works. Your goal is to do a regular login as Jane with password tarzan. You have following TANs:
Tan #1 = 15648
Tan #2 = 92156
Tan #3 = 4879
Tan #4 = 9458
Tan #5 = 4879
步骤一：这个阶段用于展示经典的多级登陆的工作原理。你的目标是做一次简单的登录。目标是以用户名：Jane，密码：tarzan进行登录，你有一下TAN：
Tan #1 = 15648
Tan #2 = 92156
Tan #3 = 4879
Tan #4 = 9458
Tan #5 = 4879
（2）课程目标
课程计划标题：多级登陆1
课程主题：多级登陆提供了一个健壮的认证。这是通过增加一个第二层来实现的。用户通过使用账户和密码登录之后，还被要求提供TAN（交易认证号码）。这一机制常在网上银行中用到。银行专为你准备了一系列的交易认证号码（TAN）。每一个TAN只能被使用一次。另一个方法是通过短信提供TAN。这样做所具有的优势是攻击者无法获取用户的TAN。
总体目标：
在本课程中，你尝试绕过强身份验证。你必须登录至另一账户。用户的账号、密码以及正在使用的TAN已提供。你必须确保服务器接受TAN，即使它已经被使用。
（3）操作步骤
1.输入账号：Jane 密码：tarzan TAN进行登录，Stage1就是简单的登录行为，便于实验者理解多级认证的工作过程。
2.STAGE 2: Now you are a hacker who already has stolen some information from Jane by a phishing mail. You have the password which is tarzan and the Tan #1 which is 15648 The problem is that the first tan is already used… try to break into the system anyway.
步骤2：现在你作为一名黑客，并且已经通过网络钓鱼邮件获取了Jane的一些信息。你获得的TAN1为15648，密码为tarzan，问题是TAN1已经在使用中。尝试着以任何方式进入系统。
1.刷新页面，输入账号及密码，点击submit。
2.此时界面如图所示
此时，要求输入TAN2的值，但现在我们只拿到了TAN1的值，利用Burpsuite抓包分析。
进行如图所示的修改，将包中的hidden_tan=2的值修改为hidden_tan=1,点击forward。
3.此时已成功登录进系统。
五、Multi Level Login 2 多级登录2
（1）题目：
You are an attacker called Joe. You have a valid account by webgoat financial. Your goal is to log in as Jane. Your username is Joe and your password is banana. This are your TANS:
Tan #1 = 15161
Tan #2 = 4894
Tan #3 = 18794
Tan #4 = 1564
Tan #5 = 45751
你现在是一名黑客，名称为Joe。你有个webgoat金融的可用账户。你的目标是登录进Jane的账号。你的用户名是Joe，密码是banana，TAN值如下所示：
Tan #1 = 15161
Tan #2 = 4894
Tan #3 = 18794
Tan #4 = 1564
Tan #5 = 45751
（2）课程目标：
课程标题：多级登录2
课程主题：多级登陆提供了一个健壮的认证。这是通过增加一个第二层来实现的。用户通过使用账户和密码登录之后，还被要求提供TAN（交易认证号码）。这一机制常在网上银行中用到。银行专为你准备了一系列的交易认证号码（TAN）。每一个TAN只能被使用一次。另一个方法是通过短信提供TAN。这样做所具有的优势是攻击者无法获取用户的TAN。
课程目标：
在这一课程中，你需要尝试着进入另一个账户。你有一个自己的webgoat金融账户，但是你想要登录进另一个人的webgoat账户，并且你只知道他的账户名。
（3）操作步骤
1.输入账号、密码、TAN
2.利用Burpsuite抓包分析。
将其中的用户名Joe修改为Jane，点击forward。
3.此时，已成功登录至Jane的账户，课程已全部完成。
————————————————————————————————————————
在进行操作时，多次登录时，每次对应的TAN均不同，但发现系统提示输入TAN#0的值，题目中并没有给出TAN#0的值，在Burpsuite中修改TAN的序号也无法奏效，因此账号不能继续登录。可能是bug，也可能有别的解决方法（目前还没想到），占坑…
