[极客大挑战 2019]Http wp

最新推荐文章于 2024-09-11 10:58:58 发布
最新推荐文章于 2024-09-11 10:58:58 发布
阅读量728 收藏 1
点赞数 1
分类专栏： CTF 文章标签： php
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/DYJ_628/article/details/109792872
版权
本文回顾了2019年极客大挑战中关于Http协议的深入探讨，结合PHP编程语言，讨论了HTTP请求与响应的工作原理，以及如何在PHP中实现HTTP客户端和服务器端的交互。通过实例解析，帮助读者掌握HTTP与PHP结合的实际应用。
摘要由CSDN通过智能技术生成

[极客大挑战 2019]Http wp


打开页面就是这样的。
在这里插入图片描述
我们先查看源代码，发现一个Secret.php。
在这里插入图片描述
我们试着访问一下，结果如下图。
在这里插入图片描述
显示 It doesn't come from 'https://www.Sycsecret.com'，也就是说他要求我们访问的地址是https://www.Sycsecret.com，那么我们用burpsuite先抓个包，要求从https://www.Sycsecret.com进入，那么我们要改header信息头，在下面加一行referer。
在这里插入图片描述
看看结果
最低0.47元/天 解锁文章
DD|NN
关注
专栏目录
BUUCTF系列 // [极客大挑战 2019] Http
qq_45805420的博客
09-25 1573
前言 本题知识点：常用 HTTP 请求头 WP 打开题目，在页面中没有发现明显的提示，查看网页源码，经搜索后发现一个似乎存在猫腻的网页 ‘Secret.php’ 访问该页面，得到第一个提示 题目要求我们从 ‘https://www.Sycsecret.com’ 进入该页面，故使用 burpsuite 抓包，在请求头中增加 Referer 字段即可 Referer HTTP Referer是 header 的一部分，当浏览器向 Web 服务器发送请求的时候，一般会带上 Referer，告诉服务器该网页是从
[极客大挑战 2019]FinalSQL wp
{OvEr}的博客
11-19 487
[极客大挑战 2019]FinalSQL wp 终极sql注入了，考点是盲注（写脚本的那种இ௰இ） 打开网页是这样的。 那个红色的卡片，我们随便点进去看看，直接点最后一个吧。 通过url判断注入点是id。 接着做FUZZ测试，发现同样过滤了union、or、and、||、&等我们常用的关键字，但是没有过滤异或符号^。 当我们输入id=1^1时，回显"Error" 当我们输入id=1^0时，回显正常 接下来我们进行盲注，下面是大神的脚本 step 1爆数据库 import requests u
[极客大挑战 2019]Http_WP
qq_34624735的博客
08-12 292
打开源代码 打开WriteUp 原来我眼瞎 先补一下HTTP中的请求头和响应头属性 X-Forwarded-For：简称XFF头，它代表客户端，也就是HTTP的请求端真实的IP,（通常一些网站的防注入功能会记录请求端真实IP地址并写入数据库or某文件[通过修改XXF头可以实现伪造IP]）. 进Secret.php后 用Burp抓包重放，请求头加Referer 响应： 那就改UA呗 响应： 那就加XXF头 响应： ...
[极客大挑战 2019]PHP
最新发布
2201_75556700的博客
09-11 699
7、因为username和password为私有属性，所以需要添加%00绕过，当修改属性的个数大于真是属性是，可以绕过__wakeup()1、页面提示有备份文件，使用kali中命令dirsearch扫描。3、访问www.zip之后会下载压缩包，里面有三个php文件。index.php是一个网页信息，但是里面有一小段php代码。2、我的字典不够，扫不出，看了别人的扫出来是www.zip。5、根据代码分析，构造exp。8、最终payload。
BUUCTF WEB[极客大挑战 2019]Http
Y1da的博客
04-16 305
BUUCTF WEB[极客大挑战 2019]Http 打开环境后F12查看源代码，发现一个跳转链接 <a style="border:none;cursor:default;" onclick="return false" href="Secret.php">氛围</a> 尝试访问Secret.php，提示 It doesn't come from 'https://Sycsecret.buuoj.cn' 抓包，修改http请求头 原请求包 GET /Secre
buuctf -[极客大挑战 2019]Http
zzqzzq11的博客
08-06 254
buuctf
BUUCTF 二 [极客大挑战 2019]Http
m0_74850066的博客
06-21 252
打开以后发现啥也没有，同样先查看一下源码，找了半天啥也没找到最后找到了一个php为什么它有用呐href超链接所指向的 URL。链接不限于基于 HTTP 的 URL——它们可以使用浏览器支持的任何 URL 协议去访问一下出现了一段话。
【WEB】[极客大挑战2019]EasySQL WP
Miscedence__的博客
04-15 438
0X0000000000000001 审题 其实由题目可以知道这是道SQL注入，然后看到登录，首先尝试万能密码： admin’ or ‘1’='1 如名字所说，这是一道很ez的SQL注入 通过这道题，我们来延伸一下其他东西 0X0000000000000002 关于万能密码 为什么在注入的时候输入万能密码就可以进入呢，对于所有万能密码，都是”万能“的吗？ 那么首先，让我们清楚 SQL注入-万能密码的注入原理 0_用户进行用户名和密码验证时，网站需要查询数据库，查询数据库就是执行SQL语句 //
[极客大挑战 2019]Upload 1 WP
ALL
03-05 271
[极客大挑战 2019]Upload 1 WP 知识点 文件上传漏洞 什么是文件上传漏洞，顾名思义，这个漏洞的产生是发生在文件上传的过程当中的，其实本质上它有些类似于存储型XSS漏洞，从结果上看都是通过漏洞向服务器数据库存储了一段恶意代码，而不同的是文件上传漏洞的利用是以“文件”为载体的。文件我们都知道有很多种类型，如：图片（.jpg,.png,.gif），文本（.txt），网页（.html）等，而文件有两个非常重要的属性：一是文件类型，二是文件名及后缀。文件上传漏洞就是在一些允许进行文件上传的网页（如百度
CTF学习笔记——[极客大挑战 2019]BuyFlag
Obs_cure的博客
02-16 3637
一、[极客大挑战 2019]BuyFlag 1.题目 2.解题步骤 MENU界面下有buyflag的界面，按F12看看 查了一下is_numeric()这个函数，他的作用是判断输入是否是数字的。如果是纯数字返回true，如果不是返回false。这道题注释的代码逻辑是要输入一个非纯数字的字符串且等于404，密码才能正确。 然后顺手百度了一下这个函数的漏洞，在这里贴出来： 这个函数和mysql结合起来就容易出问题，那是因为is_numeric判断的时候，当碰到16进制数的时候，也会判断成数字 is_num
[极客大挑战 2019]Http（X-Forwarded-For＋UA＋Referer）
2401_84499442的博客
07-09 301
是一个 HTTP 头部字段，通常用于表示 HTTP 请求经过的代理服务器链路中的客户端 IP 地址。这个字段在代理服务器转发请求给后端服务器时非常有用，尤其是在反向代理和负载均衡环境下。这个页面显示的内容，这里就涉及到第一个知识点，Referer-表示服务器用户从哪个页面跳转过来的。简单的来说，就是请求包发送过程中所经过代理服务器的IP信息，那这里我们就需要更改从本机访问。写这一题的目的是为了了解BP时发送的请求包的内容。那这里就添加X-Forwarded-For。首先，显示页面没有任何有用的信息。
buuctf web [极客大挑战 2019]Http
m0_61903191的博客
09-18 349
X-Forwarded-For：//如果提示只能由本地访问，这里内容必须改为127.0.0.1如果给了其他ip,那就改为其他IP地址.但是页面中有提示：It doesn't come from 'https://Sycsecret.buuoj.cn'所以，我们添加Referer:https://Sycsecret.buuoj.cn。User-Agent: //一般这个地方也需要改，看题目给的啥提示来改.Referer：//这地方也需要改，看看题目给的提示，看给哪个url。检查了一下源码，有一个跳转页面。
Header:请求头参数详解
panying1的博客
12-08 2785
Header 解释 示例 Accept 指定客户端能够接收的内容类型 Accept: text/plain, text/html,application/json Accept-Charset 浏览器可以接受的字符编码集。 Accept-Charset: iso-8859-5 Accept-Encoding 指定浏览器可以支持的web服务器返回内
BUUCTF-[极客大挑战 2019]Http1
m0_74167420的博客
03-14 501
比如我在www.sojson.com 里有一个www.baidu.com 链接，那么点击这个www.baidu.com ，它的header 信息里就有：Referer=https://www.sojson.com。中文名为用户代理，简称 UA，它是一个特殊字符串头，使得服务器能够识别客户使用的操作系统及版本、CPU 类型、浏览器及浏览器版本、浏览器渲染引擎、浏览器语言、浏览器插件等。Referer 常用在防盗链和防恶意请求中。提示我们要使用的浏览器为：Syclover。
web-[极客大挑战 2019]Http
wojiushilsy的博客
04-30 400
题目要点题目内容解题 题目要点 User-Agent Referer：Referer ：请求头包含了当前请求页面的来源页面的地址，即表示当前页面是通过此来源页面里的链接进入的。 X-Forwarded-For：可以被用来获取最初发起请求的客户端的IP地址 题目内容 解题 F12查看源码，发现一个页面。 查看页面。 添加Referer请求头：Referer:https://www.Syc...
【极客大挑战 2019 】Http
Lixunzhe0112的博客
01-17 632
X-Forwarded-For（XFF）是用来识别通过HTTP代理或负载均衡方式连接到Web服务器的客户端最原始的IP地址的HTTP请求头字段。所以直接在请求头下面加入X-Forwarde-For：127.0.0.1再发送就能获取flag。然后又提示我们需要使用Syclover的浏览器，那就是User-Agent。X-Forwarded-For这个参数可以进行代理。这里做了个referer的拦截，我们直接用bp。然后就没思路了，去查找了一下HTTP的请求头。再修改相应的内容重新发送。
CTF-Web-[极客大挑战 2019]Http
归子莫的博客
05-03 6649
CTF-Web-[极客大挑战 2019]Http 博客说明 文章所涉及的资料来自互联网整理和个人总结，意在于个人学习和经验汇总，如有什么地方侵权，请联系本人删除，谢谢！本文仅用于学习与交流，不得用于非法用途！ CTP平台 网址 https://buuoj.cn/challenges 题目 Web类，[极客大挑战 2019]Http 打开题目的实例 思路 看到http类的题目，打开burp，...
[极客大挑战 2019]Http
qq_42404383的博客
09-15 522
文章目录[极客大挑战 2019]Http题目：分析：解题：总结： [极客大挑战 2019]Http 题目： 分析： 根据题目HTTP字眼 ==> HTTP头注入？？？ 不应该，先按照题目提示来，改下请求头？ 本地？？？ ==> 怎判判断本地？？？ ==> x-forwardfor??? X-Forwarded-For 是一个 HTTP 扩展头部。HTTP/1.1（RFC 2616）协议并没有对它的定义，它最开始是由 Squid 这个缓存代理软件引入，用来表示 HT
[极客大挑战 2019]Http 1
08-12
- *1* [buuctf [极客大挑战 2019]Http1](https://blog.csdn.net/weixin_61060664/article/details/127837044)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值