新手-web008-command execution

最新推荐文章于 2024-04-21 18:04:24 发布
最新推荐文章于 2024-04-21 18:04:24 发布
阅读量154 收藏
点赞数
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/boom_99/article/details/108902227
版权

title：command execution

data: 2020-09-22 22:07:44

author：hqqqqq

copyright：ture

题目描述：

小宁写了个ping功能,但没有写waf,X老师告诉她这是非常危险的，你知道为什么吗。

解题思路：

根据题目和描述，猜测是命令拼接，ping了一下，发现命令行都直接显示出来了，所以直接在后面用’&&'加命令，找关于flag的东西

在这里插入图片描述

HAN91·
关注
攻防世界-- web新手练习区-- writeup汇总
yisosooo的博客
09-22 2448
一篇帖子包含所有题目。 第一题-- view_source 题目提示：鼠标右键好像不管用了。鼠标右键的主要功能之一是选取网易源代码选项，所以可以F12来查看源代码。即可得到flag。 第二题-- get_post 题目提示：HTTP通常使用两种请求方法。HTTP通常使用两种请求方法为GET和POST. 第一步：请用GET方式提交一个名为a,值为1的变量,构造URL：http://111....
xctf-web 新手练习区
尊暮萧的博客
05-31 318
view_source 这道题没什么说的，禁用右键了，F12开发者工具就可以直接调出来，直接出结果了。 robots 题目描述很明显，robots，那就在地址栏后面加上robots.txt 访问这个页面 f1ag_1s_h3re.php 就可以了 backup 通常后缀加上bak就是备份文件，试试？ 下载了，打开之后出flag cookie 那我们就查看cookies，发现look-here，value指向一个页面，二话不说访问页面 让我们看请求头，果然有flag disabled_bu
攻防世界command_execution详细题解
m0_74312676的博客
10-30 191
Web应用程序防火墙（Web Application。
每日1题
qq_53142368的博客
04-12 232
command_execution 小宁写了个ping功能,但没有写waf,X老师告诉她这是非常危险的，你知道为什么吗。 ping （Packet Internet Groper）是一种因特网包探索器，用于测试网络连接量的程序 。Ping是工作在 TCP/IP网络体系结构中应用层的一个服务命令， 主要是向特定的目的主机发送 ICMP（Internet Control Message Protocol 因特网报文控制协议）Echo 请求报文，测试目的站是否可达及了解其有关状态 ping127.0.0.1
攻防世界（练习小题）
weixin_45895555的博客
03-23 3846
1、 小宁写了一个登陆验证页面，随手就设了一个密码。 这个题比较简单，就是一个登录界面，他说随手就设置了一个密码，也没给账号，就直接选个账号输入发现有提示 以admin登录以123456为密码直接就得到了flag。 2、 小宁写了个ping功能,但没有写waf,X老师告诉她这是非常危险的，你知道为什么吗。 这个主要是关于ping的题目 这里是引用 在网络中ping是一个十分强大的TCP/IP...
CTF-WEB篇 攻防世界题目实战解析command_execution
2301_76565920的博客
04-21 1272
command_execution （命令执行） 难度：2。Linux命令的使用，利用ping命令执行漏洞。（类比与sql注入）
攻防世界web复习新手(11)
LGXJM20的博客
11-03 240
command_execution解题思路 描述：小宁写了个ping功能,但没有写waf,X老师告诉她这是非常危险的，你知道为什么吗 思路:根据题目和页面可以得知有ping功能且没有waf可以尝试直接命令注入 1.先尝试随便ping一个地址 有回显尝试拼接命令 找到了flag的位置cat查看就可以得到flag ...
2021-06-24CTF-攻防世界-WEB新手练习区（12题入门题）
u258710的博客
06-24 2607
CTF-攻防世界-WEB新手练习区（12题入门题）01-view_source02-robots03-backup04-cookie05-disabled_button06-weak_auth07-simple_php08-get_post09-xff_referer10-webshell11-command_execution12-simple_js 01-view_source 题目描述：X老师让小宁同学查看一个网页的源代码，但小宁同学发现鼠标右键好像不管用了。 题目提示查看网页源代码，但鼠标右键不管用
ctf web5 练习_CTF-攻防世界-WEB新手练习区 Writeup（12题入门题）
weixin_33603656的博客
01-15 3583
注：作者是CTF初学者，边学习边记录，如有错误或疏漏请批评指正，也请各位大佬多多包涵。攻防世界-WEB新手练习区 12题入门题 Writeup(注意：攻防世界WEB题每次生成场景后，有时flag会改变，因此flag不同不要在意，主要是学习解题思路和方法)0X01view_sourceX老师让小宁同学查看一个网页的源代码，但小宁同学发现鼠标右键好像不管用了。题目提示查看源码，鼠标右键不管用，用F12...
XCTF-web-新手区题目
Lorezon的博客
11-04 991
自我总结用 一：view_source 一般都是先看源码。 自己就出来了。 二：get_post 用hackbar 继续 完成。 三：robots 进去发现空白，什么都没有。根据题目robots，那就来查看robots协议： 再访问 f1ag_1s_h3re.php 完成。 四：backup 先来看常见的文件名后缀：常见的备份文件后缀名有.git、.svn、.swp、.~、.bak、.bash_...
攻防世界web刷题记录2
最新发布
m0_73239569的博客
04-21 900
通过ping命令，用户可以判断两台计算机之间的网络连接是否正常，如果计算机之间的网络连接正常，它们应该能够在规定的时间内收到和回复对方的数据包；反序列化又叫对象注入，序列化在内部没有漏洞，漏洞产生是应该程序在处理对象、魔术函数以及序列化 相关的问题导致的 当传给 unserialize()的参数可控时，那么用户就可以注入 payload,进行反序列化的时 候就可能触发对象中的一些魔术方法。FILE(S) 是要列出的文件或目录的名称，也可以是通配符表达式，用于匹配符合特定模式的所有文件和目录。
攻防世界 web command_execution
Kni9hT's Blog
03-01 3809
题目描述：小宁写了个ping功能,但没有写waf,X老师告诉她这是非常危险的，你知道为什么吗。 题目网站就是这样的，啥都没有…决定从waf下手。 WAF简介： Web应用防护系统（也称为：网站应用级入侵防御系统。英文：Web Application Firewall，简称：WAF）。利用国际上公认的一种说法：Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应...
CTF做题笔记1
Forever_Han13的博客
11-30 4288
标题攻防世界Web新手区题解 第一题：View_source 题目：X老师让小宁同学查看一个网页的源代码，但小宁同学发现鼠标右键好像不管用了。 解答：按F12进入到调试模式，查看网页 得到flag ##第二题：Robots 题目：X老师上课讲了Robots协议，小宁同学却上课打了瞌睡，赶紧来教教小宁Robots协议是什么吧。 解答： ...
攻防世界-Web-练习区12题解
TY_JUST的博客
04-28 5601
攻防世界-Web-新手区 一、view_source 题目描述： X老师让小宁同学查看一个网页的源代码，但小宁同学发现鼠标右键好像不管用了。 解决思路： 打开F12,查看网页源代码 拿到flag cyberpeace{486c0bb86e85a7a04bf3675de3d9357c} 二、get_post 题目描述： X老师告诉小宁同学HTTP通常使用两种请求方法，你知道是哪两种吗？ 解决过程： 打开后发现：请用GET方式提交一个名为a,值为1的变量 在路径后添加 ?a=1，发现又有新的问题：
攻防世界command_execution
知足且坚定，温柔且上进
01-23 2470
小宁写了个ping功能,但没有写waf,X老师告诉她这是非常危险的，你知道为什么吗。 这一题是关于windows与Linux的命令执行。好吧，上过一学期的Linux课程对命令的掌握还是不太熟悉，这一题只能py别人的WP了… 打开链接，需要我们去输入ping的地址。能想到的只有是本地地址了。127.0.0.1 有效果，说明地址是对的 此时就试试用Linux的ls命令列出当前的目录，127.0.0...
CTF攻防世界--web题的wp
weixin_43803070的博客
05-18 8404
Linux的系统光盘，当然想到了在Linux下进行挂载了。 打开虚拟机： root@kali:~# strings '/root/桌面/linux' | grep flag //strings - 显示文件中的可打印字符 strings 一般用来查看非文本文件的内容. root@kali:~# sudo mount '/root/桌面/linux' /mnt //将文件挂载到/...
WEB CTF入门题解析
攻防人生3722的博客
07-30 7902
WEB CTF入门学习 入门题1 view_source X老师让小宁同学查看一个网页的源代码，但小宁同学发现鼠标右键好像不管用了。 答案：cyberpeace{ffbb0c3dcdb78ed0674f699dc967ce67} 解析：打开网址http://220.249.52.133:31520/，F12调试模式，查看源码，即可发现flag: cyberpeace{ffbb0c3dcdb78ed0674f699dc967ce67} 入门题2 get_post 题目描述：X老师告诉小宁同学HTTP
CTF-----攻防世界练习题(二）
qq_45671431的博客
04-13 2432
CTF学习打卡篇四 webshell与一句话木马 **webshell（大马） webshell就是以asp、php、jsp或者cgi等网页文件形式存在的一种命令执行环境，也可以将其称做为一种网页后门。黑客在入侵了一个网站后，通常会将asp或php后门文件与网站服务器WEB目录下正常的网页文件混在一起，然后就可以使用浏览器来访问asp或者php后门，得到一个命令执行环境，以达到控制网站服务器的...
CTF关于ping命令注入问题（1）
热门推荐
欢迎来到神林的博客
03-07 1万+
题目样式 对于看到ping或者ping命令却没有弄waf时就要想到命令注入。 具体注入方法 看到ping命令就可以利用截断来执行新的命令。 首先测试所有的截断符号： ‘$’ ‘;’ ‘|’ ‘-’ ‘(’ ‘)’ ‘反引号’ ‘||’ ‘&&’ ‘&’ ‘}’ ‘{’ '%0a’可以当作空格来用； 利用截断符号配合普通命令简单问题基本就出来； 例如：ip=127.0.0.1...
fire-and-forget command execution
05-18
Fire-and-forget command execution is a programming technique where a command is executed asynchronously without waiting for it to complete. In other words, once the command is sent, the program ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值