web1

buka burpsuite, gunakan intercept saat login, cek header websitenya, yang kitaperluin bagian ini:
http-post, username, password
buka hydra, bandingan dict1&2, lakukan dengan format ini, F untuk cek salahnya
hydra -l admin -P /root/dict/diff1&2.txt unnamed48.ccug.gunadarma.ac.id http-post-form "/web1/index.php:username=^USER^&password=^PASS^:F=Username & password Salah, coba pelajari diffnya"
hasilnya ini -> [80][http-post-form] host: unnamed48.ccug.gunadarma.ac.id   login: admin   password: 12345678910111213141516171819202122232425262728293031323334353637383940414243444546474849505152
Flag Is HackFest{Y0u_cAN_Anal1Z3_4rr4Y_d1ff}

web2
buka burpsuite, gunakan intercept server response, arahkan ke yg diminta & ubah user agentnya saja
Flag{ed1t_y0ur_H34dEr!!}

web4
buka burpsuite, gunakan intercept server response, arahkan ke yg diminta, itu ada tabel header, yg bagian kiri
base64 semua, cari yg Accept-encoding, disampingnya di decode dr rot13 baru base64
flag{ju5t_3nc0de_5om3thin6!!}

web5
lakukan register, mendapat id 4, nanti diminta ganti pass, buka burpsuite, gunakan intercept, ubah id admin, kemudian
login dengan user admin memakai pass yg diregister tadi
Flag{S1mple_Privilege_3Scalati0n_HaH??}