关于web的学习和理解-CSDN博客

本文链接：https://blog.csdn.net/2301_80955789/article/details/137246616

    解题思路
        CTFShow web签到题
        CTFShow web2
        CTFShow web3
        CTFShow web4
        CTFShow web5
        CTFShow web6
        CTFShow web7
    原理剖析
        php://input伪协议
        日志注入
        MD5加密漏洞-0e绕过
        过滤空格的绕过方式

具体web安全攻防技术：

①跨站脚本攻击XSS

②跨站请求伪造攻击CSRF

③前端Cookies的安全性(熟悉Cookie特性与安全性)

④点击劫持(利用用户身份，在用户不知情情况下，完成某些操作的一种攻击手段)

⑤传输过程的安全性问题(前后端交互过程是否被窃听、数据是否被篡改等等)

⑥用户密码安全性问题(在系统设计时候，如果保证用户密码的安全性)

⑦SQL注入攻击(在进行数据库查询时候，如何避免SQL注入攻击，保证网站用户的数据安全)

⑧信息泄露与社会工程学(了解信息泄露的渠道及信息一般会被如何利用)

基础知识类题目
（1）总结：

是最基本的入门题型，考察基本的查看网页源代码、HTTP请求、修改页面元素等，基本都是和其他更复杂的知识结合起来出现，
解题方法：就是恶补基础知识，可以把刷过的题目涉及到的新知识，都总结下来。

（2）具体题型包括：

1. 查看网页源码
————火狐浏览器查看源码的快捷键是Ctrl+U

flag一般都在注释里，有时候注释里也会有一条hint（提示）或者是对解题有用的信息。

题目链接：

Bugku web2: http://123.206.87.240:8002/web2/
Bugku web3: http://123.206.87.240:8002/web3/ ———— 解题思路

2.发送HTTP请求

可以用hacker，有时候可以写脚本。

    Bugku web基础$_GET: http://123.206.87.240:8002/get/
    Bugku web基础$_POST: http://123.206.87.240:8002/post/
    Bugku 点击一百万次: http://123.206.87.240:9001/test/ （该题好像已经失效了）

怎么用写脚本的方法POST传参？——>利用python脚本！————具体见此文章

3.不常见类型的请求发送一般这种题目，写一个脚本应该就能解决了。

一.例如：云曦靶场题之云曦超市大甩卖

1.打开后是这样的一个商品页面，默认的余额是1000，但是FLAG文件需要的金额是999999，这让我联想到之前在BUGKU上面做过的一道盖房子游戏的题目，数值篡改。
需要使用的工具依然是Burpsuite，抓取购买FLAG文件的数据包：（抓取方式与上题一致，打开代理，点击浏览器中FLAG表单的购买按钮即可抓到对应的数据包）