-web方向 攻防世界

第一题  view_source 

题目描述：X老师让小宁同学查看一个网页的源代码，但小宁同学发现鼠标右键好像不管用了

“F12”在查看器中查看源代码然后找到flag。

第二题   robots协议

题目描述：X老师上课讲了Robots协议，小宁同学却上课打了瞌睡，赶紧来教教小宁Robots协议是什么吧。

Robots协议，也称为爬虫协议、机器人协议等，其全称为“网络爬虫排除标准（Robots Exclusion Protocol）”。网站通过Robots协议告诉搜索引擎哪些页面可以抓取，哪些页面不能抓取。也既是Robots的用法有两种，一种是告诉搜索引擎哪些页面你不能抓（默认其他的就可以抓）；一种是告诉搜索引擎你只能抓取哪些页面（默认其他的不可以抓）。

查看该网站的robots.txt文件   如下图

接着 手动打开这个不可被爬取的的文件

第三题. backup

题目描述：X老师忘记删除备份文件，他派小宁同学去把备份文件找出来,一起来帮小宁同学吧！

备份文件的后缀为.bak

查看改文件的备份文件/index.php.bak

 打开后即可看到 flag

第四题 cookie

题目描述：X老师告诉小宁他在cookie里放了些东西，小宁疑惑地想：‘这是夹心饼干的意思吗？’

 Cookie是保存在客户端的纯文本文件。比如txt文件。所谓的客户端就是我们自己的本地电脑。当我们使用自己的电脑通过浏览器进行访问网页的时候，服务器就会生成一个证书并返回给我的浏览器并写入我们的本地电脑。这个证书就是cookie。一般来说cookie都是服务器端写入客户端的纯文本文件。

在此打开cookie  发现有个cookie.php文件  打开

第五题.disabled_button

题目描述：X老师今天上课讲了前端知识，然后给了大家一个不能按的按钮，小宁惊奇地发现这个按钮按不下去，到底怎么才能按下去呢？

disabled 属性规定应该禁用 input 元素。
被禁用的 input 元素既不可用，也不可点击。
 

删掉" disable="" "后便可点击按钮，点击后效果如下

第六题.weak_auth

题目描述：小宁写了一个登陆验证页面，随手就设了一个密码。

考察密码的爆破

方法一： 因为是随手设置的 可以尝试一些简单的密码

方法二：利用burp暴力破解

先随便输一下

用burp抓包

利用字典 暴力破解

根据字节长度和返回的数据  找出密码

 第七题.simple_php

题目描述：小宁听说php是最好的语言,于是她简单学习之后写了几行php代码。

分别给a b 赋值 得到 flag

 

 第八题.get_post

题目描述：X老师告诉小宁同学HTTP通常使用两种请求方法，你知道是哪两种吗？

使用 get 和 post 传参

第九题.xff_referer

题目描述：X老师告诉小宁其实xff和referer是可以伪造的。

X-Forwarded-For（XFF）是用来识别通过HTTP代理或负载均衡方式连接到Web服务器的客户端最原始的IP地址的HTTP请求头字段。 Squid 缓存代理服务器的开发人员最早引入了这一HTTP头字段，并由IETF在HTTP头字段标准化草案中正式提出。

HTTP Referer是header的一部分，当浏览器向web服务器发送请求的时候，一般会带上Referer，告诉服务器该网页是从哪个页面链接过来的，服务器因此可以获得一些信息用于处理。

根据题目提示 可以伪造 xff referer   利用burp

用burp伪造ip  执行后如箭头提示  接着伪造referer

伪造referer

得到flag

第十题.webshell

题目描述：小宁百度了php一句话,觉着很有意思,并且把它放在index.php里

解题思路：进去页面后可以看到是一个 一句话木马  考查对后门的利用  利用蚁剑

用蚁剑连接

进去后可以看到 flag

第十一题.command_execution

题目描述：小宁写了个ping功能,但没有写waf,X老师告诉她这是非常危险的，你知道为什么吗。

Web应用防护系统（也称为：网站应用级入侵防御系统。英文：Web Application Firewall，简称： WAF）。利用国际上公认的一种说法：Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。-------百度百科

该题提示没有waf 可以尝试注入漏洞     注入成功

用 find 找一下 名字为 flag的文件

找到 home目录下有一个 flag.txt    尝试读取 命令：cat

第十二题.simple_js（参考答案做的）

题目描述：小宁发现了一个网页，但却一直输不对密码。(Flag格式为 Cyberpeace{xxxxxxxxx} )

首先阅读源代码

观察两个for循环 发现无论如何 都会输出错误密码   

所以真正的密码应该在下面的箭头里

先将字符串用python处理一下，得到数组[55,56,54,79,115,69,114,116,107,49,50]，exp如下。

s="\x35\x35\x2c\x35\x36\x2c\x35\x34\x2c\x37\x39\x2c\x31\x31\x35\x2c\x36\x39\x2c\x31\x31\x34\x2c\x31\x31\x36\x2c\x31\x30\x37\x2c\x34\x39\x2c\x35\x30"
print (s)

 将得到的数字分别进行ascii处理，可得到字符串786OsErtk12，exp

.规范flag格式，可得到Cyberpeace{786OsErtk12}