Bugku CTF web12（Web）

最新推荐文章于 2024-08-03 21:32:11 发布
最新推荐文章于 2024-08-03 21:32:11 发布
阅读量1.1k 收藏 4
点赞数
分类专栏： CTF
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/ChaoYue_miku/article/details/113991853
版权

0、打开网页，发现需要输入用户名和密码

用户名使用admin

密码可以爆破得到，也可以查看注释

将dGVzdDEyMw==进行base64解码得到密码：test123

 

1、输入用户名和密码

无法登录，提示只有本地管理员可以访问，由此考虑到使用xff方法修改IP为本地地址

2、使用BurpSuite抓包

3、添加：X-Forwarded-For: 127.0.0.1后发送

4、得到flag：flag{9876894a5ec96ef77b6d54ba5cd983bf}（动态flag）

 

 

 

ChaoYue_miku
关注
专栏目录
Bugku web题解析
weixin_46660023的博客
10-17 765
文章目录前言1.web22.计算器3.web基础$_GET4.web基础$_POST 前言 做了几道bugku里的CTF web题，写一下简单的wp。 1.web2 这是一道最简单的web题，直接按下F12，查看网页源码，即可发现flag 2.计算器 打开链接，发现一道数学题，尝试输入结果，发现只能输入第一位 按下F12看一下 发现maxlength=1，输入框的最大位数被设置为1，改一下再重新输入运算结果，成功 3.web基础$_GET 打开直接显示一段代码，发现是GET传参 根.
BugKuCTF WEB
让我再浪一会 的博客
11-24 886
文章目录BugKuCTF WEB一、web2二、计算器三、web基础$_GET四、web基础$_POST五、矛盾六、web3七、域名解析八、你必须让他停下九、变量1十、web5十一、头等舱十二、网站被黑十三、管理员系统十四、web4十五、flag在index里十六、输入密码查看flag BugKuCTF WEB 平台地址 一、web2 进入网页，查看源代码，在其中找到flag 二、计算器 进入网页，根据题目可得知需要输入运算结果，但限制了输入的数字的个数，查看网页的JS代码，将 maxlength =
BugKu_web12
羽的博客
04-16 113
看到这这个的时候，一开始还以为是sql注入 结果，管理员系统，Username一般为admin，然后就是密码了 打开开发者模式： 看到注释：应该是密码，不过要base64解码 既然是说本地管理员系统，那么就是要将IP地址改成127.0.0.1 这里很多人用到是BP抓包，而我推荐火狐插件IP Address。 这样就可以轻松改变我们的IP地址，服务器就会 X-Forword-For是127.0.0.1. ...
【CTF WEB基础】本地管理员 Bugku CTF
最新发布
yu_fly_fish的博客
08-03 532
一起变强！
BugkuCTF web12_本地管理员 writeup
Mitchell_Donovan的博客
12-21 1080
原题链接 key:base64解码+XFF伪造请求头 ①查看源代码发现了线索，拿去base64解码得到字符串‘test123' ②猜测用户名admin，密码test123，尝试登陆，发现登陆失败 ③题干反复强调”本地",可以想到用伪造XFF请求头来访问 知识补充：伪造XFF头（IP欺骗） ④burpsuite抓包，送到repeater，然后在请求头部 Headers 添加 X-Forwarded-For:127.0.0.1，go一下即可得到flag ...
bugkuCTF——web1--web12（wp）
h_adam的博客
01-19 400
Web1 F12查看得flag Web2 只能输一位，F12修改源代码，验证得到flag Web3 URL+？what=flag Web4 用hackbar构造what=flag得flag。 Web5 题目描述矛盾，构造URL+？num=1x Web6 F12查看network，payload底端有Unicode编码 Unicode转ASCII Web7 Burp抓包，随便发送一个东西，删除发送得到flag Web8 URL+?hello=file(‘flag.php’) 得到flag。 W
Bugkuctf_web12题解wp
weixin_52653109的博客
04-11 183
进入环境，一个登入系统。试了试万能密码，没登进去。 F12看一下源码有没有hint。发现一个base64编码。 在线解码。出来的应该是登入密码了。 但是试了试 “admin”+“test123”还是登不进去。 回看一下， 它说了“IP禁止访问，联系本地管理员” 那应该就是要用本地的ip才能登入了 所以，抓包，添加“X-forwarded-For:127.0.0.1” 改ip。 结果出来了 ...
BugkuCTF练习题解——Web一
qq_41739275的博客
08-24 6586
文章目录1.Web22.计算器3.Web基础$_GET4.Web基础$_POST5.矛盾6.Web37.域名解析8.你必须让他停下9.本地包含10.变量111.Web512.头等舱13.网站被黑14.管理员系统15.Web416.flag在index中17.输入密码查看flag18.点击100万次19.备份是个好习惯 1.Web2 打开链接之后是滑稽笑脸，好家伙，吓我一跳，还以为是大bug，然后也没有提示啥的 感觉有点无从下手？？？别急，打开页面源代码（检查元素也可）瞅瞅 注释部分就是flag了。 2.
bugkuctf web 部分wp（自己看得懂）
LJW_wenjingli7的博客
12-15 2514
1.本地管理员 进入网址，查源码，异常的一串n，拉进度条看 == 是base64，解出test123 ，像密码。 这种未知的系统一般要爆破，随便填账号密码，连接代理，打开bp 右键发到repeater,去掉cookie请求，用XXF伪造请求IP，(能考虑到管理员可能是admin，直接省略改名）改user=admin，发送即可 **XXF: X-Forwarded-For:(HTTP的请求端真实的IP) 如题中的：X-Forwarded-For:127.0.0.1 XFF注入..
CTF|BugkuCTF-WEB解题思路
这里是一处长期不更新的博客
06-15 1973
截止至练习题【login4】，仅提供解题思路。 WEB2 按F12直接可得flag 计算器： 直接按F12，将maxlength修改，输入正确结果即可得到flag web基础$_GET URL输入：http://123.206.87.240:8002/get/?what=flag web基础$_POST 使用hackbar工具，按F12，打开Post data，传递what=flag。 矛盾 这里是使用is_numeric遇到%00截断的漏洞,这里构造 http://120.24.86.145:8002.
bugku 12~16 write up(web)
giun的博客
03-09 232
一、第12题（头等舱） 先尝试火狐浏览器的开发者工具，发现响应头为136字节，可是参数确说有139字节，隐藏了3个字节 那么我们使用burp suit 抓包，然后使用repeater功能，go一下发现flag（flag即为隐藏的字节） 二、第13题（网站被黑） 首先，根据域名和网页提示，我们需要找到网站后台。我们使用御剑工具直接扫除后台 成功扫出网站后台 进入网站后台，尝试了一些admin,...
S3cCTF-gyy-Writeup
Err0r_CM的博客
01-08 2203
S3cCTF-gyy-Writeup 出题人：gyy 写在前面： 本次招新赛我主要负责WEB方面的出题，当然兼顾一些MISC，本着简单易懂的原则，刚开始出了很多简单WEB题，但是这届新生的实力明显比我们当时强= =，后期又赶了一些提升题，当然和真正的CTF比赛还是有非常大的距离，例如在群里放出的周六的题目可以看出。所以，这些只是入门CTF的基础，去年的这时，我们参加的招新比赛比今年更加困难（所以今年我有同感地出了不少简单题），我希望大家不要止步于此，当初我也有一腔热血，觉得CTF不过如此（甚至还想双休）。但
1.只有本地管理员才能访问本页面2.notes Happy Why am lfeeling so happy today? Well ljust got to spend threedays with
记录笔记
04-12 2562
只有本地管理员才能访问本页面 F12 看看源码 没啥东西 御剑看看后台 也没看出来有啥 看了下 需要管理员权限 在headers里面设置 添加一行 X-Forwarded-For127.0.0.1 flag{sgwxsSesSD232se14sdSVSsx} notes Happy Why am lfeeling so happy today? Well ljust got to spend threedays with some of my very best friends having fun t
一次失败的CTF尝试记录（SSRF利用）
痴人说梦梦中人
10-13 1043
访问url，获取index.php代码如下： <?php if(!(isset($_POST['url']))){ show_source(__FILE__); } // include_once "ping.php"; if (isset($_POST['url'])) { $link = $_POST['url']; if(check($link)){ $curlobj = curl_init(); curl_setopt($curlobj
Jarvis-OJ-Web writeup
a370793934的专栏
11-28 1115
PORT51 访问了页面发现让你 Please use port 51 to visit this site. 明显是绑定的端口，不可能用51端口去访问啊，很困惑结果是自己去访问的时候需要用到51端口啊…原来如此，使用curl中的–local-port命令 --local-port <端口号>[-num]设置连接使用的首选端口号或本地端口范围。请注意，端口号是一种稀缺资源，繁忙...
CTFHub技能树 Web-SSRF 内网访问
Senimo
07-01 441
CTFHub技能树 Web-SSRF 内网访问 hint：尝试访问位于127.0.0.1的flag.php吧 启动环境，访问页面为空白，查看URL： http://challenge-25917a94dca3ca9a.sandbox.ctfhub.com:10800/?url=_ 其中存在 GET 方式的传参：url=_，将127.0.0.1/flag.php地址填入尝试访问： http://challenge-25917a94dca3ca9a.sandbox.ctfhub.com:10800/?url=
ctfhub--web--SSRF(1.内网访问2.伪协议读取文件 3.端口扫描 4.POST请求 5.文件上传 8.URL Bypass 9.数字IP Bypass） )
feiniaotjx的博客
10-10 560
ctfhub--web--SSRF1.内网访问2.伪协议读取文件3.端口扫描4.POST请求 1.内网访问 传参给url，访问一个地址文件 2.伪协议读取文件 读取网站文件 3.端口扫描 通过返回的内容判断端口是否存在 import requests try: for i in range(8000,9001): url='http://challenge-43493ad3b38edf3f.sandbox.ctfhub.com:10800/?url=127.0.0.1:'+
CTF每日一题 | Web 后台
qq_42646885的博客
07-11 1151
打开网页如下：简单的字母提示和一个按钮。 点击按钮，页面出现提示：Only Member with Admin rights is allow to enter。意思是只能以管理员身份进入网站后台。 用brupsuit抓包，看看数据包的发送情况： 返回的数据包中设置了cookie的值，Member的值经过了base64加密。在burpsuite的decoder模块解码——>...
BugkuCTF 字符?正则?
08-11
BugkuCTF 是一个CTF（Capture The Flag）比赛平台，提供了一系列的网络安全挑战题目供参赛者解决。在这个平台上，参赛者需要利用自己的技术和知识，寻找并利用目标系统中的漏洞，获取相应的flag来得分。 关于字符和正则表达式，在CTF比赛中常常会遇到需要处理字符或者利用正则表达式来解题的情况。例如，有些题目会提供一段加密后的字符串，参赛者需要根据加密算法进行解密，获取隐藏在其中的flag。而在其他题目中，可能会给出一段文本，并要求参赛者使用正则表达式来匹配特定的模式或者提取特定的信息。 因此，在BugkuCTF中，对字符处理和正则表达式的理解和熟练应用是非常重要的技能之一。参赛者需要具备对字符编码、字符串操作、基本正则表达式语法等方面的知识，并能够灵活运用这些技巧来解决各种与字符和正则相关的题目。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

ChaoYue_miku

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值