攻防世界部分web新手题做题步骤

一 PHP2

1.打开场景给的链接

2.在域名后加index.phps查看提示

3.阅读代码，发现url解码后的值==admin,传入id的值==admin,代码中有urldecode函数浏览器会对url进行一次解码，所以我们要进行二次url解码

4.打开burp的decoder对admin进行二次url解码5.在网址后如图输入得到flag并在PHP2中提交即为成功。（注意是php）

二 backup

1.打开链接后让你找备用文件，php的备用文件后缀有“~”和bak，域名后加index.php.bak后回车，会下载一个文件，打开后就找到flag，提交即为成功

三 weak auth

1.打开链接随便输入账号密码登录，会显示用户名为admin。输入用户名admin,密码随便输，然后用burp抓包

2.打开burp点击右键发送到intruder

4.点击右侧clear，然后选中密码点击添加如图

5.点击payloads中load加入词典

6.点击options的strat attack进行爆破

7。找到长度不一样的即为密码

8.点击render得到flag，返回到登录界面输入密码得到flag。

四 simple php

1.打开链接，阅读代码，让输入的a等于0但不0，b大于1234但不数字，那么输入a为任意字符，b为大于1234的数加任意字符。(php转换规则：字符串与数字比较，会把字符串转换为数字，若字符串以数字开头，则转换为开头的数字，若没有则为0)

五 baby_web

1.打开链接，提示我们找初始页面，所以在此位置改为index.php，发现自动跳回原来的网站，打开burp抓包分析

2.送到repeater,发现一样什么也没有，有可能把我们需要的包藏起来了，返回proxy点击forward继续抓。

3.送到repeater，发现flag藏起来了

4点开hex,发现flag，提交即可