CTF-投票系统程序设计缺陷分析

最新推荐文章于 2023-07-21 11:04:44 发布
最新推荐文章于 2023-07-21 11:04:44 发布
阅读量808 收藏
点赞数
分类专栏： 墨者学院
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/asd158923328/article/details/100050326
版权

根据题意
在这里插入图片描述
进入环境，提示“请争取窗口“ggg”票数夺取第一名”，burp suite抓包，发送到intruder，构造X-Forwarded-For:172.16. §0§.§1§，构造payloads type从1到255 step为1，开始跑，刷新页面，当ggg第一名时即可获得key

Jimmy22
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
墨者学院-投票系统程序设计缺陷分析
JimWu的博客
09-05 1435
投票系统程序设计缺陷分析 难易程度:★★★ 题目类型:网络安全 使用工具:FireFox浏览器、burpsuite 1.打开靶场，进入投票，发现限制ip，每个ip只能投票一次。 2.打开burpsuite，准备暴力破解，再投票一次，截包。 3.截到包，右键send to intruder 4.在下方添加一行X-Forwarded-For:172.16.§0§.§1§ 5.点击payload...
墨者学院 - 投票系统程序设计缺陷分析 - 实践
K_0101的博客
07-23 732
投票系统程序设计缺陷分析 背景介绍 年终了，公司组织了各单位"文明窗口"评选网上投票通知。 安全工程师"墨者"负责对投票系统进行安全测试，看是否存在安全漏洞会影响投票的公平性。 目标 帮助ggg用户获得票数第一名 解题思路 从上面两张图可以看出，每个人只能投一次，为什么呢？ 关于这点，在题目下方的实训目的当中已经很明显的告诉我们了，如图↓ 所以可以肯定的是，股票系统是通过IP地址来确定，是不是同一个人投票的，也就是说，只要批量使用不同的IP地址来进行投票，就可以实现无限制刷票。 话不多说，直接实操！ 解
2021-5-25 网络渗透学习：投票系统程序设计缺陷分析
S1901的博客
05-25 490
投票系统程序设计缺陷分析 背景介绍 年终了，公司组织了各单位"文明窗口"评选网上投票通知。 安全工程师"墨者"负责对投票系统进行安全测试，看是否存在安全漏洞会影响投票的公平性。 实训目标 1、了解浏览器插件的使用； 2、了解开发程序员对IP地址获取方式； 3、了解网络协议软件的使用，如burpsuite等； 解题方向 根据页面提示，进行投票页面测试。 题目要求： 多次投票时，会提示错误： 所以根据实训目标，我们分析到同一IP地址，一天只能投票一次。所以这题解题思路有两个，一是使用代理，更换ip；二是采
投票系统程序设计缺陷分析
zhong_yan的博客
10-22 1167
实训目标 1、了解浏览器插件的使用； 2、了解开发程序员对IP地址获取方式； 3、了解网络协议软件的使用，如burpsuite等； 解题方向 根据页面提示，进行投票页面测试。 首先打开靶场看见如下画面 ...
（墨者学院）投票系统程序设计缺陷分析（入门级）
weixin_52162058的博客
03-31 599
（墨者学院）投票系统程序设计缺陷分析（入门级） 使用工具：Burp Suite 这个靶场 他让我们查看这个投票是否存在漏洞 进去之后： 发现只能一次只能一个 每个IP每天只限投一次票！赶快叫上亲朋好友来帮忙投票吧！ 这里就有思路了 如果我仿造ip地址呢 x- forwarded-for:（这个是可以伪造IP地址的函数）这样我们就有思路了 我们先抓包看看 发现和前面类似 我们可以添加 x- forwarded-for:172.16.1.1 这个去伪造IP地址 我们需要修改ip地址
CTF-misc工具2-CTF-Tools-masterV1.3.7
08-17
CTF-Tools-master是一个专注于密码编码识别与解码的工具,能自动推断密码的编码类型,并进行解码。 适用人群: 该工具主要适用于参加CTF竞赛的选手,以及对密码编码算法感兴趣的信息安全从业人员。 使用场景: 在CTF竞赛...
ctf-all-in-one
最新发布
01-30
ctf-all-in-one
CTF-Tools-v1.3.7.zip
01-29
CTF常用工具集
ctf-2017-release:BSidesSF CTF 2017版本
05-28
ctf-2017 2017 BSidesSF CTF面临的挑战 内置的 ， ， ， ， 在本地应对挑战 您可以使用docker在本地运行所有挑战。 docker-compose build && docker-compose up -d 挑战将在http://localhost:PORT提供，基于...
ctf-tools-linux-master_ctf工具_ctf工具_CTFtools_CTF_Tools_
10-01
CTF常用小工具你值得拥有那个。。。。111
在线靶场-墨者-网络安全3星-投票系统程序设计缺陷分析
weixin_42079912的博客
07-19 545
已知题目是要求我们把ggg投到第一位 打开网站代理，运行burp suite。点击投票，获取数据包 点开数据包右键send to Intruder。往数据包中添加X-Forwarded-For:172.16.§0§.§1§ 更改变量，§0§.§1§。更改后点击start attack。 关闭代理，刷新投票页面即可获取key。 ...
网络安全|墨者学院在线靶场|投票系统程序设计缺陷分析
没有
02-20 5256
网络安全|墨者学院在线靶场|投票系统程序设计缺陷分析
墨者学院——投票系统程序设计缺陷分析
Lollipop_zhi的博客
01-13 2372
启动靶场，给ggg投票，第二次投票不成功，猜测有对IP地址的获取（看页面源代码也可以知道） 可以搜索一下php是怎么获取IP地址的。众所周知，可以通过XFF来伪造IP地址。简单地说，XFF是告诉服务器当前请求者最终ip的http请求头字段，通常可以直接通过修改http头中的X-Forwarded-For字段来仿造请求的最终ip。XFF的一些理解 抓包，进行下图操作 如下图 如下图，数字范围自己定，只要能得第一，不需要太多 开始攻击 看一下返回的数据包，errorcode..
mozhe靶场——网络安全——投票系统程序设计缺陷分析
qq_52680340的博客
06-02 871
背景介绍年终了，公司组织了各单位"文明窗口"评选网上投票通知。 安全工程师"墨者"负责对投票系统进行安全测试，看是否存在安全漏洞会影响投票的公平性。实训目标1、了解浏览器插件的使用；2、了解开发程序员对IP地址获取方式；3、了解网络协议软件的使用，如burpsuite等；解题方向根据页面提示，进行投票页面测试。打开靶场要求为ggg号选手投票让他获得第一名，但是只有一次机会！！！所以怎么给他投更多的票呢？？？？由提示可以看出，它应该是限制IP，也就是一个IP只能投一次。这就要知道PHP获取IP的一些方式，其中
墨者—投票系统程序设计缺陷分析
rumil的博客
07-21 169
从标准格式可以看出，X-Forwarded-For头信息可以有多个，中间用逗号分隔，第一项为真实的客户端ip，剩下的就是曾经经过的代理或负载均衡的ip地址，经过几个就会出现几个。选择集束炸弹模式，添加X-Forwarded-For字段，清除标识符，选择X-Forwarder-For字段当中的IP地址的后两个地址段添加标识符。我们随便点开一个进行查看数据，返回的数据包不难发现，没有返回-1，返回0，成功投票。通过返回的数据包发现，当不能投票时返回-1。根据以上的分析和题意，我们可得知。告诉我们机会已经用完。
墨客-投票系统程序设计缺陷分析-大飞
m0_63917373的博客
07-25 677
墨客-投票系统程序设计缺陷分析 X-Forwarded-For（XFF）的使用案例
web投票中的问题
dongliheng的专栏
05-27 1094
最近在搞伪造投票，但有问题GET /bb/View.asp?ID=199 HTTP/1.1Accept: */*Referer: http://www.gzxxw.com/bb/index.asp?Page=2Accept-Language: zh-cnUA-CPU: x86Accept-Encoding: gzip, deflateUser-Agent: Mozilla/4.0 (compati
墨者学院：投票系统程序设计缺陷分析投票系统程序设计缺陷分析
m0_59436465的博客
06-08 275
1.如果发现没有得到结果可以看一下自己命令有没有打错2.一定要注意格式问题不然可能会发生错误3. 可以通过下面的方式排错。
PHP反序列化漏洞分析：0CTF-2016-piapiapia挑战解析
在0CTF-2016-piapiapia的案例中，存在一个用户登录系统，其中源码包含了对用户输入的长度检查。如果用户名或密码长度小于3个字符或超过16个字符，系统会返回错误。但这个长度检查并不足够安全，因为攻击者可能利用...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值