攻防世界——web新手题

             攻防世界————web新手题

1. robots
打开题目场景，发现与robots协议有关，上网搜索robots协议的内容：
Robots协议（也称为爬虫协议、机器人协议等）的全称是“网络爬虫排除标准”（Robots Exclusion Protocol），网站通过Robots协议告诉搜索引擎哪些页面可以抓取，哪些页面不能抓取。Robots协议的本质是网站和搜索引擎爬虫的沟通方式，用来指导搜索引擎更好地抓取网站内容，而不是作为搜索引擎之间互相限制和不正当竞争的工具。
robots.txt文件是一个文本文件，使用任何一个常见的文本编辑器，比如Windows系统自带的Notepad，就可以创建和编辑它[2]。robots.txt是一个协议，而不是一个命令。robots.txt是搜索引擎中访问网站的时候要查看的第一个文件。robots.txt文件告诉蜘蛛程序在服务器上什么文件是可以被查看的。
当一个搜索蜘蛛访问一个站点时，它会首先检查该站点根目录下是否存在robots.txt，如果存在，搜索机器人就会按照该文件中的内容来确定访问的范围；如果该文件不存在，所有的搜索蜘蛛将能够访问网站上所有没有被口令保护的页面。百度官方建议，仅当您的网站包含不希望被搜索引擎收录的内容时，才需要使用robots.txt文件。如果您希望搜索引擎收录网站上所有内容，请勿建立robots.txt文件。
于是构造url访问robots.txt文件： http://111.198.29.45:34424/robots.txt
得到提示：Disallow: f1ag_1s_h3re.php，再次构造url访问这个文件：http://111.198.29.45:34424/f1ag_1s_h3re.php

得到flag。
2. backup
打开题目场景，发现与index.php的备份文件有关，构建url访问文件：111.198.29.45:50665/index.php.bak，用记事本打开文件

得到flag。
3. cookie

“Shift+ctrl+I”切换工具箱，查看cookie，发现了cookie.php，构造url访问文件：http://111.198.29.45:54167/cookie.php

该页面显示：see the http response，再次“Shift+ctrl+I”切换工具箱，切换到“Network”,点击“Reload”，再点击“cookie.php”,在“Response
Headers”中得到flag。
![在这里插入图片描述](https://img-blog.csdnimg.cn/20200210143111573.png

4. disabled_button

查看该网页的源码，发现源码中有一个disabled,找到代码错误，将其改为able,再点击按钮，得到flag。

5. weak_auth

打开题目场景，是一个登录页面，在密码栏随便输入几个数字有下面的提示：
提示用户名输入admin，查看该网页源码，找到./check.php，进入该文件，页面提示“需要一个字典”，由此知需要进行爆破，

选择“Send to Intruder”，在“Positions”中选择变量“password”，最后选择字典开始爆破，最后得到flag。

2.29补
6. xff_referer
打开后告诉我们ip地址必须为：123.123.123.123，但是本机的ip地址都是唯一且不可改的，所以这里用到了一个火狐插件：X-Forwarded-For Header，用这个改我们需要的网址

然后又有一个要求

用HackBar修改网址，执行后得到flag

7. command_execution
查询ping的介绍：
Ping是Windows、Unix和Linux系统下的一个命令。ping也属于一个通信协议，是TCP/IP协议的一部分。利用“ping”命令可以检查网络是否连通，可以很好地帮助我们分析和判定网络故障。利用网络上机器IP地址的唯一性，给目标IP地址发送一个数据包，再要求对方返回一个同样大小的数据包来确定两台网络机器是否连接相通，时延是多少。
当ping命令没有开WAF，要想到命令注如‘$’、’;’、‘|’、‘-’、‘||’、‘&&’、‘&’等。
输入127.0.0.1，显示网络机器已连接

命令注入ls查看目录：ping -c 3 3 127.0.0.1 | ls /
一般先考虑home: ping -c 3 127.0.0.1 | ls /home

再查看flag.txt : ping -c 3 3 127.0.0.1 | cat /home/flag.txt
得到flag
8. simple_js

打开界面后要求输入密码，随便输入几个数字，弹出下一个窗口，按下确定后，页面空白，查看源码

之后的步骤用python处理

得到一串数字
输出后得到flag：Cyberpeace{786OsErtk12}

攻防世界——web新手题相关推荐

攻防世界web新手题答案_南开本部20春学期（2003）《计算机应用基础》在线作业-1答案...
[奥鹏]-[南开大学(本部)]20春学期(1709.1803.1809.1903.1909.2003)<计算机应用基础>在线作业试卷总分:100 得分:100 第1题,在Excel 20 ...
攻防世界web新手题（小白做题）
目录 view_sourse robots backup cookie disabled_button weak_auth simple_php get_post xff_referer webshe ...
攻防世界-web新手区wp
攻防世界-web新手区wp view source robots backup cookie disabled_button weak auth simple php get_post xff_ref ...
攻防世界web新手练习 -unseping
攻防世界web新手练习 -unseping 新版攻防世界的这个题目有点给力,从今天开始刷题刷题本题的知识点很多,总结出来以下几点 php代码审计 php反序列化命令执行的绕过方式空格绕过空环境 ...
攻防世界——web新手区（全解）
当前网络安全形式越来越严重,我国也越来越重视,现在国内乃至国际上各个网络攻防大赛层出不穷,但是练习平台却还是很稀缺,可以说目前网上能够练习的平台也就只有几家,大多数的院校它们有自己的练习平台但并不公开 ...
攻防世界web新手区（来自小白）*-*
鄙人是个纯纯的小白,这个博客也是给小白写的,不过大佬们也不会来查这些题的wp吧拍飞文章目录攻防世界WEB新手区(1--11) 第一题view_source 第二题robots 第三题backup ...
XCTF攻防世界Web新手入门题大全
XCTF攻防世界Web之WriteUp无图版 (Tips:有图版本,请移步我的资源,自行下载doc文档) 0x00 准备 [内容] 在xctf官网注册账号,即可食用. [目录] 目录 0x01 vie ...
攻防世界-Web(新手区)
前言暑假前,为了学习Web题,做了攻防世界的新手区的Web题,当时没有总结,现在总结一下. 正文 Web1:view_source 查看源代码,右键不可以用.所以按F12,直接查看源码即可. Web ...
攻防世界web新手区easyphp题解writeup
写在前面最近在学习CTF web相关知识,顺带学习php,在攻防世界平台上做做题.遇到了一道名为easyphp的题目,对我这个新手一点也不easy,于是决定把过程记录下来. 参考了官网上shuita ...

攻防世界——web新手题

攻防世界——web新手题相关推荐

最新文章

热门文章