攻防世界web

攻防世界web

前言

准备ctf比赛,这里把攻防世界分值低于5分的基本刷了一遍(分值再高刷不动了…)

练习

  1. view_source
    攻防世界web_第1张图片
    没难度知识禁用了右键点击,ctrl+u查看源码拿到flag

  2. get_post

    这题没什么好说的,按着提示来就能拿flag
    攻防世界web_第2张图片
    但我发现下面的hackbar不能用后用burp来进行post传参不返回flag…迷了我很久…

    结果我下了左边那个hackbar后重来一遍,结果就返回flag了,很迷,我burp肯定没用错啊…

  3. robots

    这道题也没什么好说的啊,考一个robots协议的理解(就是在玩爬虫时我们从来没有理会的一个协议…),这里查看robots协议,看到flag的php访问拿到flag
    3

  4. backup

    这道题还是有点意思,考查一个备份文件,因为前面刚看了源码泄露方面的东西,结果这里一来就直接想到了vim的文件备份结果试~,没有…这时候一看人家也没提示说vim,正常的备份一般是加,.bak(比较常见的方法,当然手动备份也可以自己来取名,但程序员我感觉还是会偏向于统一)然后访问就可以下载到备份文件,查看文件拿到flag
    攻防世界web_第3张图片
    参考:备份文件:被低估的Web威胁

  5. cookie

    这道题也没什么说的,访问网页检查元素查看cookie,看到cookie.php,然后直接访问

    看到提示说查看response,响应头就藏着flag

    攻防世界web_第4张图片

  6. disabled button

    这道题也没什么意思,有个按钮,查看源码可以发现是个input输入框,那直接post发送数据过去就得到flag了
    攻防世界web_第5张图片

  7. simple js

    从题目就可以看出是一道javascript题

    访问页面,查看源码,可以看到js代码
    攻防世界web_第6张图片
    分析得到下面的16进制的字符就是flag内容…(js确实有待学习加强,这里看了好久…)

  8. xff referer

    这道题也是比较初级的

    我是用两个插件解决的

    第一个它要求ip是123.123.123.123,我用的是X-Forwarded-For Header,

    第二个要求是来自 www.google.com 这个用hackbar添加的Referer

    当然直接抓包添加

    X-Forwarded-For: 123.123.123.123
    Referer: www.google.com

    这两个参数也行
    攻防世界web_第7张图片

  9. weak auth

    这道题是个弱密码题,随便尝试登录,会告诉你用admin来登录

    然后查看源码会提示你需要一个字典,这就很容易想到暴力破解了吧

    这里用burp来尝试暴力破解
    攻防世界web_第8张图片
    可以看到密码是123456的时候返回长度与别的都不一样,尝试用admin,123456来登录,登录成功获得flag

  10. webshell

    这道题考查菜刀的使用,用过的话就没什么难度

    题目描述中提示了一句话木马是index.php,访问网页看到一句话是 ,得到’密码‘是shell,菜刀连接,文件管理就可以看到flag了
    攻防世界web_第9张图片

  11. command execution

    刷过dvwa应该都知道这个漏洞,这也和dvwa的low级别没什么差别

    这里先127.0.0.1 & find / -name “flag.*” 来查找flag文件的位置(找不到的话可以试下找flag文件)

    然后看下图可以发现找到了
    攻防世界web_第10张图片

    然后cat 文件得到flag

  12. simple php

    代码审计,这个代码还是比较简单易懂的
    攻防世界web_第11张图片
    这里看代码就能明白,这里考的是php的==和===

    eg : $a = ‘123’; $b = 123;

    ​ $a === $b为假; $a == $b为真;

  13. ics-06

    这道题拿到的时候也没有什么好的思路,主页面点击没什么反应,查看代码后发现点击报表中心会跳转到index.php。跳转后可以看到Get传了一个id值,我这里以为是sql注入,结果没注出来。后面发现,这里是要暴力破解,id等于2333的时候出结果2333
    攻防世界web_第12张图片

  14. Training-Get_Resourced

    这道题直接在描述里提示了看注释就是看页面源码,进入页面也有一行比较淡的字提示看源码,打开源码就能直接得到flag,没什么意思…
    攻防世界web_第13张图片

  15. Training-WWW-Robots

    还是考查robots协议啊,访问robots.txt那里不让访问就去访问那里,就得到flag
    15

  16. NaNNaNNaNNaN-Batman

    这道题对我还是挺难的,因为不怎么会(不会)js…

    题目是给了个附件,以为是代码审计,也确实是代码审计,不过里面是乱码,但不全是乱码,能看出

你可能感兴趣的:(CTF)