Writeup 4 0xGame 2021 - robot

题目信息

题目名称：robot
所属赛事：0xGame 2021
题目类型：Web / 信息泄露
靶机地址 ：http://49.232.142.230:18745
Flag 格式 ：0xGame{}

解题过程

第一步：信息收集与思路定位

拿到题目后，观察题目名称"robot"。在 Web 安全中，带有"robot"字眼的题目通常是一个极其经典的考点提示------robots.txt 协议文件。

robots.txt 是网站根目录下的一个纯文本文件，用于告知搜索引擎爬虫（Robot）哪些目录或文件是不允许被抓取的。然而，它并不是一种安全防护手段，攻击者可以通过访问该文件，直接获取网站管理员想要隐藏的敏感目录或文件路径。

打开靶机地址：

http 复制代码

http://49.232.142.230:18745/

页面显示：

复制代码

hello,I am a robot.

I'll tell U all about flag...

第二步：访问 robots.txt

直接访问该网站的 robots.txt 文件：

http 复制代码

http://49.232.142.230:18745/robots.txt

在页面回显中，我们发现了网站隐藏的目录/文件规则，其中包含了一条如下的提示：

复制代码

4ll.html

这暴露了后台或者想隐藏的页面 4ll.html。

第三步：访问隐藏页面并查看源码

根据 robots.txt 泄露的路径，我们直接通过浏览器访问：

http 复制代码

http://49.232.142.230:18745/4ll.html

页面显示：

复制代码

Oh I have tell U all

由于页面通常不会直接将 Flag 显示在视觉区域，我们需要获取页面的前端源代码。

在浏览器中按 Ctrl+U（或右键点击页面空白处，选择"查看网页源代码"）。

页面源码：

复制代码

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>all</title>
</head>
<body>
<!--
       _______
     _/       \_
    / |       | \
   /  |__   __|  \
  |__/((o| |o))\__|
  |      | |      |
  |\     |_|     /|
  | \           / |
   \| /  ___  \ |/
    \ | / _ \ | /
     \_________/
      _|_____|_
 ____|_________|____
/                   \  --0xGame{Rob0t_le4ks_seCr3t}
-->
<p>
    Oh I have tell U all
</p>
</body>
</html>

在 HTML 源代码中寻找，比如 HTML 注释（）、隐藏的 <input> 标签或是底部的 <script> 代码段。最终在源码中找到了目标 Flag：

html 复制代码

0xGame{Rob0t_le4ks_seCr3t}

知识点总结

robots.txt 信息泄露 ：在实战或 CTF 比赛中，robots.txt 往往是突破口之一。它经常被用来隐藏管理员后台文件、备份文件或未授权的测试页面。
前端源码审查 ：很多题目会将 Flag 隐藏在前端代码的注释、隐藏标签（display: none 或 hidden）以及未被压缩的 JavaScript 逻辑中。
安全防御启示 ：robots.txt 仅仅是协议约定，防君子不防小人，不能作为安全控制手段。对敏感文件的防护必须依赖严格的身份验证与访问控制，绝不可依赖隐藏路径（Security through obscurity）来保证安全。

最终 Flag

text 复制代码

0xGame{Rob0t_le4ks_seCr3t}

Rambo

2026年10月27日