初学CTFweb-Day1

已于 2023-10-24 23:46:45 修改
阅读量131 收藏
点赞数
分类专栏： 考核 文章标签： web安全
于 2023-10-17 00:00:39 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/AK1YAMAM1O/article/details/133873957
版权

这篇博客写于10/16，算是自己暂时决定了往网安的方向努力，在正式开始学习前自己也打了新生赛（newstarCTF2023）第二周有两道题思路对但没解出来，第三周的题彻底不会了，决定开始认真从头学习，看基础知识和题解把之前没写的题解出来。9c6f60e6e80c42469e24de038f3aad1d.png

 （↑停留在12道题，之后的应该是动不了，只能承认现在的自己确实很菜）

决定选择web方向算是自己比较感兴趣吧，虽然现在只写出来3道题，，，

今天初步接触了php语言的基础，感觉还是有和C语言共通的地方，还是要同步稳住C的基础哇。附学习的博客的链接PHP语言基础知识（超详细）

当然也开始看week1的web和misc的题解了，视频好像是前辈录的，有实操实例比看文字直观很多（绝对不是我看不懂pdf的wp）【CTF】NewStarCTF 2023 week1 WEB全题解

今天还是满课，明天再来细说了，晚安。

 

AK1YAMAM1O
关注
专栏目录
[网络安全自学篇] 四十八.Cracer第八期——(1)安全术语、Web渗透流程、Windows基础、注册表及黑客常用DOS命令
杨秀璋的专栏
02-21 2万+
这是作者的网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特分享出来与博友们学习，希望您们喜欢，一起进步。前文分享了微软证书漏洞（CVE-2020-0601），并详细讲解了Windows验证机制、可执行文件签名复现及HTTPS劫持。本文将分享另一个主题——Cracer教程，第一篇文章将详细讲解安全术语、Web渗透流程和Windows基础、注册表及黑客常用DOS命令。基础性文章，希望对您有所帮助。
初学CTFweb-Day6
AK1YAMAM1O的博客
10-23 130
直接就有JS代码，十万分结算就会打开api.php，估计真会给flag，所以第一种解法就是嗯玩到十万分，我开始是这样想的，但真的浪费时间，于是改了需要的分数改为1000，可以参考这篇博客修改js码，原理跟改谷歌小恐龙分数差不多。今天回来补week2的题， 昨天去了培训会，直接讲题，，，真0基础的我听不懂一点，还是好好沉淀吧，，而且很多比如写脚本的能力感觉不是一下子能练出来的（之后查询表名，发现here_is_flag，查询字段名，id回显flag，再查询flag的值，得到flag。话不多说，直接开始。
初学CTFweb-Day4
AK1YAMAM1O的博客
10-19 77
再看下一项，如果直接传参会失败，php无法接收这个值，因为自动把一些不合法的字符转换了（如v.a.l)中的.就会被转换成下划线，而这种转换只会发生一次，于是我们传入时让第一个非法字符转化为下划线就可以了，如：e.v.a.l；（得到flag，很难绷，最开始把contents的n打成了m，卡了我半个小时弄不出来、、、）还是要多了解基础性的知识，找到一片讲RCE还不错的博客。，慢慢了解吧，而且也用到了python写脚本，要做一些对python的基本了解。今天上午两节水课结束，剩下的时间把week1的题目写完吧。
初学CTFweb-Day5
AK1YAMAM1O的博客
10-20 122
本来的C语言和python基础还要再学，这几天有写个小项目的打算，先把作业写完再来考虑剩下的吧，学校网络安全的工作室11月招新，还是有兴趣的，希望自己能脚踏实地坚持学习吧。登录题，进入的是linux，这里问了下学长，要了解linux命令和Linux操作系统的一些知识，这里暂时先初步了解，不深入学了。week1的web题解写完了，后面周末补week2，再刷点题准备下hackergame好了，另外做个周总结。密码000000，进入了用户admin的页面，查询历史记录。来了来了，昨晚太困睡着了，吃完午饭继续学。
小白初学CTFweb-day2
AK1YAMAM1O的博客
10-17 88
顺便复习了一下昨天php的文章，越看越感到基础知识远比写出一道题重要，弄懂一道题比写出一道题收获大很多。（flag取名叫fllll4g让我卡在这卡了很久，真的好蠢，现在想想都觉得尴尬、、、、、、、、、感觉好像其他专业的人问我为什么printf("%d",&a)为什么不会输出a的值一样，，，啊啊啊啊跟我在第一周web第一题一样，怎么都没拿到眼前的flag，，，，，（上传成功了，一句话木马里面写了个ceho验证有没有生效）（很难绷，，访问一句话木马的时候路径漏了/upload）今天浏览了http的相关知识。
初学CTFweb-Day7
AK1YAMAM1O的博客
10-24 86
第二周的写完了，再往后第三周的题翻了下题解，很多看不懂，还是别好高骛远，这段时间多去复习基础内容，明后两天做个总结，再去网站练习场多刷些题巩固吧。先上传jpg文件，再上传.htaccess，服务器就会将文件当php来解析，这时候再蚁剑连接就能在根目录找到flag啦！下一道题，upload again，这道题我会做，但还是之前upload一样的问题，复现应该很快。但是在我一个下午的尝试下，就算抄题解回显也和题解不同，，，没搞懂，先下一题了QaQ。昨天发烧了，，，意料之外的事情，现在精神好一些，继续看题。
初学CTFweb-Day8
AK1YAMAM1O的博客
10-27 76
上面是一些读的博客，周末打算都复习一下，然后装下虚拟机和kali，sqlmap，还是有很多要学的，慢慢来，希望自己脚踏实地的学好，暂时没有特别多能记录的，后面准备一下打hackergame了，还要抽空看看题解呢。这段时间刷了些题，题解就不写了，不是什么很难的，写个小总结吧。
小白初学CTFweb-Day3
AK1YAMAM1O的博客
10-19 75
到第二关，第二关要求post传入key3，且md5和哈希值相等，利用哈希函数数组类型传参时返回NULL值构造NULL==NULL通过。利用该漏洞实现判断相等得到flag，但下面还有个正则式限制不能输入英文字母和数字，那就传特殊符号好了。它是用来处理字符串的，传入非字符串可以传入数组，虽然算报错但判断结果是相等，可以让我们通过第三关。（不要问我为啥url不同了，到第五关的时候靶机崩了，，，重启了一个）今天满课、、、、累死我了，学的不是很多，看了sql注入的视频。（看了几p，算是大致的了解）读了。
ciscn2019华北赛区半决赛day1_web1题解
weixin_30776273的博客
08-07 482
感谢buuoj的大佬们搭建的复现环境。作为一位CTF的初学者，我会把每个题目的writeup都写的尽量详细，希望能帮到后面的初学者。 http://web42.buuoj.cn 文章会不定时继续完善，完善内容可能包括分析的错误、语病和文章结构等。 复现过程 进入解题页面发现需要登录，这里只需要注册一个账号然后登录即可。 登录以后是一个网盘的页面，最开始只有上传功能，并且只能上传pn...
网络渗透day6-面试01
qq_45955869的博客
08-31 417
网络渗透测试面试。
CTF+XYCTF+120道题目+独家
04-28
【标题】"CTF+XYCTF+120道题目+独家" 指的是一种网络安全领域的竞赛形式，CTF（Capture The Flag）通常在信息安全社区中进行，旨在通过解决一系列安全挑战来提高参赛者的技能。XYCTF可能是特定的CTF比赛系列或组织，...
[网络安全自学篇] 六十.Cracer第八期——(2)五万字总结Linux基础知识和常用渗透命令
热门推荐
杨秀璋的专栏
03-19 1万+
作为Web渗透的初学者，Linux基础知识和常用命令是我们的必备技能，本文详细讲解了Linux相关知识点及Web渗透免了高龄。如果想玩好Kali或渗透，你需要学好Linux及相关命令，以及端口扫描、漏洞利用、瑞士军刀等工具。安全领域通常分为网络安全（Web渗透）和系统安全（PWN逆向）两个方向。非常基础的一篇文章，希望能够帮助到您！
[网络安全自学篇] 八十二.WHUCTF之隐写和逆向类解题思路WP（文字解密、图片解密、佛语解码、冰蝎流量分析、逆向分析）
杨秀璋的专栏
06-04 1万+
这是作者网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特分享出来与博友们学习，希望您喜欢，一起进步。前文分享了Easy_unserialize解题思路，详细分享文件上传漏洞、冰蝎蚁剑用法、反序列化phar等。这篇文章将详细讲解WHUCTF隐写和逆向题目，包括文字解密、图片解密、佛语解码、冰蝎流量分析、逆向分析。第一次参加CTF，还是学到了很多东西。人生路上，要珍惜好每一天与家人陪伴的日子。感谢武汉大学，感谢这些大佬和师傅们（尤其出题和解题的老师们）~
【网络安全 | 甲方建设】构建安全的密码重置功能
最新发布
等风来
11-12 65
任何需要登录的网站，都需为用户提供“找回密码”功能，以便在用户忘记密码时可以重新获得访问权限。但要做到安全可靠、避免漏洞并非易事。本文从“默认安全”的角度出发，探讨如何设计安全的找回密码功能，但在实际业务中，需兼顾用户体验。
2024年网络安全（黑客技术）三个月自学手册
csbDD的博客
11-06 2166
网络安全可以基于攻击和防御视角来分类，我们经常听到的 “红队”、“渗透测试” 等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。走安全行业的工程方向的，技术上面其实有很大的重叠性，抛开甲乙方、岗位名称、岗位职责等因素来看，作为学技术的，也根据以往我们给学员推荐就业和入职情况来看，只要好好掌握以下几种技术（网络协议与安全设备、Linux操作系统、Web服务部署/开发、主流渗透测试/安全工具、一门及以上的编程语言）中的2到3个，都可以较好的胜任工作需求。
【网络安全 | 漏洞挖掘】隐藏的 DOS 技术
等风来
11-11 208
我调查了这些参数的用途，发现它们被传递给了第三方服务，且该服务的文档说明这些参数是安全的。你可以试试这样做：前往https://ash-speed.hetzner.com/并找到一个测试文件（大小大约1到10 GB），如果服务器等待URL请求完成，你可以通过大量此类请求来淹没服务器，从而导致它最终崩溃。于是我发送了一个包含1000个UUID的列表，结果网站在60秒后超时，并出现了显著的延迟。在我的案例中，这导致了客户网站的DOS攻击，问题被发现并快速修复，甚至在我报告漏洞之前。
如何用3个月零基础入门网络安全？_网络安全零基础怎么学习
2401_84466224的博客
11-11 397
我们知道计算机最早是在西方发明出来的，很多名词或者代码都是英文的，甚至现有的一些教程最初也是英文原版翻译过来的，而且一个漏洞被发现到翻译成中文一般需要一个星期的时间，在这个时间差上漏洞可能都修补了。”答案是否定的，黑客用的电脑,不需要什么高的配置,只要稳定就行.因为黑客所使用的一些程序,低端CPU也可以很好的运行,而且不占什么内存.还有一个,黑客是在DOS命令下对进行的,所以电脑能使用到最佳状态!观看学习近十年所有0day挖掘的帖，然后搭建环境，去复现漏洞，去思考学习笔者的挖洞思维，培养自己的渗透思维。
shodan 【2】（泷羽sec）
m0_68984471的博客
11-08 911
shodan的使用方法
标题：网络安全：数字时代的守护盾
运维人生
11-08 608
网络安全是指保护网络系统中的硬件、软件及数据免受恶意攻击、破坏、泄露或非法使用的状态和能力。系统安全：确保服务器、路由器、交换机等网络基础设施的安全运行，防止被非法入侵或篡改。数据安全：保护存储在网络中的数据不被未经授权的访问、泄露、修改或删除。应用安全：确保网络应用程序（如网站、移动APP）没有安全漏洞，能够抵御恶意软件的攻击。身份与访问管理：通过认证、授权和审计机制，确保只有合法用户才能访问特定资源。网络安全意识：提高用户对网络威胁的认识，教育他们如何识别和防范钓鱼邮件、恶意链接等常见攻击手段。
CTFweb新手区攻防解题心得
"CTFweb新手区详解 - 攻防世界的初学者挑战与解题心得" 在网络安全领域，CTF（Capture The Flag）是一种常见的比赛形式，通常涉及逆向工程、密码学、网络攻防等多个方面。这篇内容主要针对的是CTF中的Web安全部分，...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值