攻防世界web新手（补）

上次因为时间原因有部分的新手题的wp没有发布，这篇帖子是上一篇的补充上一篇的博客我放在这里博客地址因为我的疏忽题号标记错误标了8道实则里面是有前9道新手题，有需要的可以去看看。好了废话不多说开始解题之旅吧。

第十题command_execution

我们可以看到题目在题干的位置已经给出了很明显的提示是命令注入的漏洞，在这里我要补充一句，什么是ping以及waf。简单理解ping就是系统自带的一条命令，用来检测网络是否畅通的命令，而waf则是我们平常所说的防火墙，阻止一些恶意请求的。当然这只是笼统意义上的讲如果有兴趣的话可以看看这位大佬写的博客对waf有更详细的解释博客地址。再回到我们这一题。我们打开题目
得到如图，我们先进行简单的测试，
输入127.0.0.1发现下方显示出如图所示的东西，我们打开我们的cmd面板同样输入ping 127.0.0.1
发现返回结果相同，证明我们的猜测是正确的，执行了系统命令。再加上没有waf，所以我们可以用拼接命令。关于Windows下的基本命令我不在过多阐述，如果需要可以看看这位大佬的博客博客地址。这题只需要我们用到ls命令跟cat命令足够。我们开始命令拼接。命令拼接之前我介绍一下命令拼接的几种形式
1.A&B 简单的相连关系A命令的是否执行与B命令是否执行无关
2.A&&B A执行为成功的时候B命令才会执行。
3.A|B A的输出作为B的输入值。
4.A||B A执行失败的时候B才会执行。
了解以上知识后我们就发现除了的四种方式，其余的方式都能解决这一题，我就以第三种为例。进行命令的拼接，用ls命令查看全部文件如下图。

看到这么多文件却没有我们要找的flag，那我们就一个个打开看看。当我们打开home时发现了flag，之后我们再用cat命令打开这个文件就得到了flag

这题是最基本的命令注入漏洞。所涉及的知识也就是Windows下的命令以及其语法，不过这道题的分析过程是我们必须掌握的。

第十一题xff_referer

刚开始我打开题目的时候一脸懵，什么时xff，什么又是referer。伪造的用途又是什么，所以百度这个最好的工具人就派上了用场。经过我简单的了解，所谓xff就相当于于一个通行证证明请求来源的IP以及经过的代理服务器，类比于唐僧的通关文牒。而referer则是代表我是从哪个链接过来的例如你从谷歌点进我的博客，那么你的请求头便会带上。两者的格式分别是xff格式：X-Forwarded-For IP地址。referer的格式是：referer:地址。了解完基本知识进入题目。
发现IP地址必须是123.123.123.123所以我们要用到在暴破中使用的Burp进行抓包与改包。然后在数据包中加上X-Forwarded-For 123.123.123.123

放包得到如下的页面
·所以我们再在后面补上referer:https://www.google.com
再进行放包flag就出来了。
这题主要考察xff以及referer的理解与使用。如果知道并明白他们的用途这题便非常好解决了。
第十二题simple_js

根据上一个simple_php题目的类型来看这个应该是js代码的审计，我们打开题目

发现让输密码，没有一点提示，我们怎么知道密码。。。我们随便输一个，提交

假的密码，哈哈哈。题主还是有一点恶趣味的。既然是js代码的审计，我们就老样子查看页面源代码。

我们可以看到无论我们输入什么最后都会出现这句恶趣味的话，但我们看到第22行有一组神奇的字符串，我们很容易想到x是表示16进制的数所以我们对它进行小小的转化得到了一个数组。可是数组也不是flag因为题目上已经规定了flag的形式并且我们以往的做题经验来看数组也不一个flag，这时我们看到第7行的数字，因为按照代码的意思来讲第七行应该是输错密码的提示，我们记得是一串英文，但为什么变成数组了呢?我们这时想到ASCLL值是数字与字符转换的桥梁，所以这串数组大概率是flag的ASCLL值
所以我们将他进行转换便得到了flag。这题结束。
这一题考察的其实就是简单的js代码审计如果我们能看懂代码，这一题便迎刃而解了。

web新手区的题到这里就结束了，这简单的12题我断断续续的做了一个星期，也通过这12题的练习也对我的基础知识有了一个巩固，实践与学习相结合才是最好的学习方式，希望大家看过之后也能有所收获，我有错误的地方也请指正。