核实网页登录结果是一门面向已掌握基本终端输入和路径识别的学习者的 Hydra 实践项目。在 Fieldnote 展会门户中，一条看似成功的登录发现，可能实际对应密码错误页面、不可用账户或服务错误。你的任务是构建能区分这些响应的表单测试，再取得真正属于指定展商的展位资料包。
课程包含 1 个引导实验和 1 个独立挑战。引导实验先建立正常登录的参照，再重现误导性发现，最后校准测试并完成正式审计。挑战会改变表单路径、字段名、响应文本和展商资料，同时沿用相同机制。引导实验和挑战分别建议预留约 55 分钟与 40 分钟；这些是作者估计，并非初学者实测计时。
你将学到什么
完成本课程后，你将能够：
- 区分 HTTP 响应、工具的执行状态和真正的身份认证；
- 使用 Hydra 表单模块、给定的凭据配对和限定的候选密码，描述简单 POST 登录；
- 使用真实成功、密码错误、不可用账户和受控 HTTP 503 样本校准响应条件；
- 保存可复用的表单参数并阅读原始 Hydra JSON 结果，而不把通用消息当作成功证明；
- 确认实际展商身份，并通过经过认证的 Cookie 会话下载完整业务文档；
- 修正常见的路径、字段和 Cookie 错误，同时保留原有服务与公开信息。
本课程适合谁
本课程适合刚开始学习网络安全，希望理解网页登录测试为什么会产生误报，以及如何负责任地核实发现的学习者。
前置要求： 你应能够输入终端命令、识别文件路径并切换浏览器标签页。不要求编程、安装服务或表单审计经验。引导实验会解释所需的 Hydra 选项、POST 字段、引号、变量和 Cookie。
学习环境： 每个实验都在 Workstation 中提供准备好的 Linux 终端，并在 Exhibitor Portal 中提供可用网站。所有账户和展会数据都是本地训练用的合成资源。教材提供英文和另外八种语言；运行中的网站、界面标签及命令输出仍保留英文。
常见问题
我需要安装 Hydra 或创建网站吗？
不需要。环境已准备好。你要做的是校准并应用测试，登录真实运行的本地门户，然后收集正确文档。
我需要交付什么？
一个可复用的表单参数、针对指定账户的原始 Hydra JSON 发现，以及经过认证下载的完整展位资料包。不需要撰写文字报告，也不需要开发身份认证应用。
Hydra 成功运行，就证明密码有效吗？
不能。课程会展示错误的响应条件如何把未认证页面误判为成功。你需要比较已知响应，并独立确认指定身份及其实际下载内容。
这个方法能处理所有现代登录系统吗？
本项目使用带有普通 Cookie 会话的简单 POST 表单，不教授动态令牌提取、验证码、MFA 或联合登录。结论只适用于给定的本地表单、账户和候选集合。
