CTF学习——攻防世界

查看网页源代码的方法

第一种:F12

第二种:鼠标右键→查看网页源代码

第三种:ctrl+shift+I

第四种:ctrl+U

第五种:在url前面加view-source:

第六种:将网页另存为.html文件,然后用文本编辑器打开

robots协议

robots协议是一个君子协议,不是硬性要求,我们可以去爬取,但是可能会承担法律责任。

看看网页中有没有藏一个robots文档输入,在url中输入"/robots.txt"

会看到页面,其中:

第一行user-agent的*是适用于任意的浏览器,后面的是不允许访问(爬虫)后面的两个文件夹和文件,在URL中输入"/文件名"即可

备份文件

index.php的备份文件名为index.php.bak

下载文件后选用记事本打开

disabled属性

在给button设置disabled属性的时候,如下

复制代码
<button disabled="disabled">确定</button>

此时按钮处于不可点击状态,真实有效的方法是将disabled属性移除

get方式

使用浏览器插件hackbar,

或此时就按F12打开开发者工具,选择安装好的插件harkbar

先点击load url提取url,再根据题意在url后输入/?a=1,点击execute发送

POST方式

post方式:先点击load url提取url,然后选择post data,再根据题意在post输入框内输入b=2,点击execute发送,获取到flag

弱口令爆破

PHP

复制代码
<?php
show_source(__FILE__);
include("config.php");
$a=@$_GET['a'];
$b=@$_GET['b'];
if($a==0 and $a){
    echo $flag1;
}
if(is_numeric($b)){
    exit();
}
if($b>1234){
    echo $flag2;
}
?> 

如果a==0且a有一个值,输出flag1;如果b只为数字或数字字符串,则会退出;如果b>1234,则输出flag2。

所以构造:?a=0a&b=12345a

命令执行

ping功能,但没有写waf,很危险

打开页面,如下,输入127.0.0.1,查看命令执行结果

联想到能否使用命令拼接的方式来执行其它命令:

复制代码
掌握有关命令执行的知识
windows 或 linux 下:
command1 &&  command2  先执行 command1,如果为真,再执行 command2
command1 |   command2  只执行 command2
command1 &   command2  先执行 command2 后执行 command1
command1 ||  command2  先执行 command1,如果为假,再执行 command2
命令执行漏洞(| || & && )称为 管道符

执行一个 ping 带一个其他命令试试,果然能看到当前目录下的文件

复制代码
127.0.0.1&&ls

执行成功得到index.php文件,说明成功执行了ls命令,于是我们可以查找所有的以.txt结尾的文件,用find命令,输入:

复制代码
127.0.0.1 &&find / -name "*.txt"

发现了一个flag.txt文件,利用cat命令查看它

复制代码
 127.0.0.1 &&cat /home/flag.txt
相关推荐
彤银浦1 小时前
Web学习笔记3
前端·笔记·学习·html5
之歆1 小时前
Python-魔术方法-创建、初始化与销毁-hash-bool-可视化-运算符重载-容器和大小-可调用对象-上下文管理-反射-描述器-二分-学习笔记
笔记·python·学习
优乐美香芋味好喝1 小时前
2025年7月11日学习笔记&一周归纳——模式识别与机器学习
笔记·学习·机器学习
声网3 小时前
对话 AI 陪伴新宠 Tolan 创始人:拒绝「恋爱脑」,「非人」陪伴更受欢迎?丨 Voice Agent 学习笔记
人工智能·笔记·学习
丁满与彭彭3 小时前
嵌入式学习笔记--MCU阶段--day03中断
笔记·单片机·学习
艾莉丝努力练剑4 小时前
【C语言】学习过程教训与经验杂谈:思想准备、知识回顾(五)
c语言·开发语言·数据结构·学习·算法
future14124 小时前
游戏开发日记7.12
数据结构·学习·c#·游戏开发
阿群今天学习了吗5 小时前
pytorch环境配置
人工智能·pytorch·python·学习·机器学习
武昌库里写JAVA6 小时前
使用 Java 开发大数据应用:Hadoop 与 Java API 的结合
java·开发语言·spring boot·学习·课程设计
zlbbme_8 小时前
Android Studio学习笔记:为应用添加文本和图片
笔记·学习