[LitCTF 2023]Ping

[LitCTF 2023]Ping wp

简单的先 ping 一下百度:

貌似被 waf 掉了。

查看源码:

发现了这么一个用于过滤的函数,这是一段插在 html 中的 js 代码。

函数的大致作用是严格匹配 ipv4 地址,比如 127.0.0.1 这种格式,所以域名都不可以。

禁了你的

对于这种写在前端的验证函数,不需要去研究如何绕过,直接禁掉 js 代码的调用就好了,浏览器应该都有这个功能。

我是用火狐上的一个插件来禁用 js 代码:

点一下开关,变为红色说明 js 已经被禁掉了:

此时再去输入命令,发现没有任何过滤。

flag 在根目录下:

用 ls 不断查找每一级目录下的文件,最后发现 flag 在根目录下。

直接查看根目录下的 flag :

复制代码
|cat /flag

拿到 flag:

相关推荐
mooyuan天天1 小时前
MySQL数据库UDF提权+Find提权渗透实战(Raven2靶机)
web安全·udf提权·phpmailer·raven2
Xudde.2 小时前
BabyPass靶机渗透
笔记·学习·安全·web安全
像风没有归宿a3 小时前
2024年全球网络安全威胁报告:AI攻击与勒索软件新变种
人工智能·安全·web安全
独行soc6 小时前
2025年渗透测试面试题总结-273(题目+回答)
网络·python·安全·web安全·网络安全·渗透测试·安全狮
独行soc6 小时前
2025年渗透测试面试题总结-274(题目+回答)
网络·python·安全·web安全·网络安全·渗透测试·安全狮
xing.yu.CTF9 小时前
ATT&CK实战系列--蓝队防御(五)
网络安全·渗透测试·应急响应·红蓝对抗·内网对抗
vortex510 小时前
渗透测试红队快速打点策略的思考
网络·安全·web安全
眠晚晚10 小时前
云上攻防-Docker-堡垒机安全详解
安全·web安全·网络安全·docker·容器
梦想是红队的咸鱼11 小时前
git泄露(一篇文章就够了)
git·web安全
xing.yu.CTF11 小时前
ATT&CK实战系列--蓝队防御(三)
网络·安全·web安全·横向移动·内网对抗