ctf.bugku - 本地管理员

于 2024-10-08 00:27:36 发布
阅读量34 收藏
点赞数
分类专栏： ctf.bugku ctf.web 文章标签： x-forwarded-for
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/guanrongl/article/details/142749123
版权

题目来源：本地管理员 - Bugku CTF

访问页面

页面的最后返回一个字符串；  == 结尾 应该是base64 编码；

解码得到 test123

同时，提示信息还有  IP禁止访问，本地管理员登陆；

所以，请求头添加：

X-Forwarded-For: 127.0.0.1

尝试用户名 test，密码123 ，也没登陆上；

最后发现 用户名是admin，密码test123， 获得flag

什么鬼昵称
关注
专栏目录
Bugku--CTF-- 1、本地管理员 2、网站被黑
记录笔记
07-07 1306
Bugku--CTF--1、本地管理员 2、网站被黑
BUGKU-WEB 本地管理员
天泽岁月
02-16 534
BUGKU-WEB 本地管理员，绕开限制
bugku -- 网站被黑--本地管理员
qq_51802152的博客
12-13 461
bugku -- 网站被黑--本地管理员
Bugku---web---本地管理员
weixin_47450099的博客
04-30 177
Bugku---web---本地管理员 网络安全
ctf-bugku 本地管理员
weixin_43256484的博客
08-23 231
2.尝试登陆，用户名密码设置为test123后，返回“IP禁止访问，请联系本地管理员登陆，IP已被记录”，遂修改登录ip。BP抓包后发至Repeater，在请求头中增加X-Forwarded-For:127.0.0.1。这不就是本地登录ip嘛，毕竟让联系本地管理员登录。并进行弱口令尝试，用户名密码test123/admin test123，不行的话加字典进intruder进行爆破。1.F12看到注释dGVzdDEyMw== ，Base64解码后发现为test123。3.登录成功获得flag。
Bugku-web-本地管理员
qq_68457525的博客
06-26 338
ctf练习之修改文件头实现本地登录
BUGKU-CTF入门笔记
Emooooor的博客
12-02 730
CTF、BUGKU、入门、夺旗赛、网络安全、web安全
BugkuCTF---管理员系统
qq_43592364的博客
04-14 3020
题目链接：链接 打开题目链接，看到的是一个登陆界面，还是先随便试一下用户名和登陆密码吧 提示是：IP禁止访问，请联系本地管理员登陆，IP已被记录 那就看一下页面元素，发现了一堆Base64的密文，那就用Hackbar来解密一下试试 得到了一个test123的字符串，那就试一试会不会是用户名和密码 结果还是一样没有任何变化，提示依旧是联系本地管理员，那不如试一下伪造成本地登录 用burps...
Bugku CTF-web12本地管理员
weixin_44023403的博客
04-25 1695
Bugku CTF-web12本地管理员知识积累解题 知识积累 base64: 是网络上最常见的用于传输8Bit字节码的编码方式之一，Base64就是一种基于64个可打印字符来表示二进制数据的方法。 XFF伪造请求头: X-Forwarded-For（XFF）是用来识别通过HTTP代理或负载均衡方式连接到Web服务器的客户端最原始的IP地址的HTTP请求头字段。 简单来说，XXF是告诉服务器当前请求者的最终ip的http请求头字段，通常可以直接通过修改http头中的X-Forwarded-For字段来仿
BugkuCTF-WEB题本地管理员
am_03的博客
08-25 1839
基础知识： base64: 是网络上最常见的用于传输8Bit字节码的编码方式之一，Base64就是一类基于64个可打印字符来表示二进制数据的方法。 XFF伪造请求头: X-Forwarded-For（XFF）是用来识别通过HTTP代理或负载均衡方式连接到Web服务器的客户端最原本的IP地址的HTTP请求头字段。 简单来说，XXF是告诉服务器当前请求者的最后ip的http请求头字段，通常可以直接通过修改http头里的X-Forwarded-For字段来仿造请求的最后ip。 打开场景： 为一个登录界面 尝试输
BugkuCTF-WEB-管理员系统
Jaychouzzk
11-16 2305
      打开题目随便输入了一下，发现IP禁止访问了，所以打算F12看看有啥猫腻 - -   这么长的滚动条，肯定有猫腻拖下去瞅瞅有啥提示点，发现一处提示的地方，得到一串base64加密 解密得到test123,尝试一下user：admin，pass：text123，结果还是不行，仍然提示 “IP禁止访问，请联系本地管理员登陆，IP已被记录.”         ...
CTF|BugkuCTF-WEB解题思路
这里是一处长期不更新的博客
06-15 1992
截止至练习题【login4】，仅提供解题思路。 WEB2 按F12直接可得flag 计算器： 直接按F12，将maxlength修改，输入正确结果即可得到flag web基础$_GET URL输入：http://123.206.87.240:8002/get/?what=flag web基础$_POST 使用hackbar工具，按F12，打开Post data，传递what=flag。 矛盾 这里是使用is_numeric遇到%00截断的漏洞,这里构造 http://120.24.86.145:8002.
bugku ctf 管理员系统 (伪造x-forwarded-for绕过服务器IP)
qq_42777804的博客
05-18 4558
随便输入 发现 ip禁止访问 与本地管理员联系登陆 我们查看源码 到最后发现 <!-- dGVzdDEyMw== --> 在线base64解密得到 test123 Username: admin Password:test123 发现居然还是不能提交 那么burp抓包 发给 repeater 发现了可以通...
深入剖析Oracle与MySQL在事务处理上的差异
10-06
在数据库管理系统中，事务处理是确保数据一致性和完整性的关键机制。Oracle和MySQL作为两大主流的数据库系统，在事务处理方面有着各自的特点和差异。本文将从事务的基本概念、隔离级别、锁机制以及事务控制语句等方面，详细探讨Oracle与MySQL在事务处理上的差异，并提供代码示例。 Oracle和MySQL在事务处理上有着各自的特点。Oracle提供了强大的并发控制和隔离级别管理，适合处理复杂的企业级事务。MySQL则以其简单性和灵活性，在Web应用和中小型项目中广泛使用。了解这些差异对于开发者选择合适的数据库系统以及优化事务处理至关重要。通过本文的分析和代码示例，读者应该能够更深入地理解Oracle与MySQL在事务处理上的差异，并在实际应用中做出更合适的选择。
电力系统稳态分析-考研必备
10-06
电力系统分析经典教材资料
人工智能在高中信息技术教学中的应用与实践.pdf
最新发布
10-06
毕业设计选题/开题答辩/项目源码/论文等资源 硕博论文、期刊资源、有需要可详细咨询 毕业设计选题/开题答辩/项目源码/论文等资源 硕博论文、期刊资源、有需要可详细咨询毕业设计选题/开题答辩/项目源码/论文等资源 硕博论文、期刊资源、有需要可详细咨询毕业设计选题/开题答辩/项目源码/论文等资源 硕博论文、期刊资源、有需要可详细咨询毕业设计选题/开题答辩/项目源码/论文等资源 硕博论文、期刊资源、有需要可详细咨询毕业设计选题/开题答辩/项目源码/论文等资源 硕博论文、期刊资源、有需要可详细咨询毕业设计选题/开题答辩/项目源码/论文等资源 硕博论文、期刊资源、有需要可详细咨询毕业设计选题/开题答辩/项目源码/论文等资源 硕博论文、期刊资源、有需要可详细咨询毕业设计选题/开题答辩/项目源码/论文等资源 硕博论文、期刊资源、有需要可详细咨询毕业设计选题/开题答辩/项目源码/论文等资源 硕博论文、期刊资源、有需要可详细咨询毕业设计选题/开题答辩/项目源码/论文等资源 硕博论文、期刊资源、有需要可详细咨询毕业设计选题/开题答辩/项目源码/论文等资源 硕博论文、期刊资源、有需要可详细咨询
基于Springboot和Vue的获奖的知名作家信息管理系统源码 获奖的知名作家信息管理系统代码
10-06
获奖的知名作家信息管理系统-获奖的知名作家信息管理系统-获奖的知名作家信息管理系统-获奖的知名作家信息管理系统-获奖的知名作家信息管理系统-获奖的知名作家信息管理系统-获奖的知名作家信息管理系统-获奖的知名作家信息管理系统-获奖的知名作家信息管理系统-获奖的知名作家信息管理系统-获奖的知名作家信息管理系统-获奖的知名作家信息管理系统 1、资源说明：获奖的知名作家信息管理系统源码，本资源内项目代码都经过测试运行成功，功能ok的情况下才上传的。 2、适用人群：计算机相关专业(如计算计、信息安全、大数据、人工智能、通信、物联网、自动化、电子信息等)在校学生、专业老师或者企业员工等学习者，作为参考资料，进行参考学习使用。 3、资源用途：本资源具有较高的学习借鉴价值，可以作为“参考资料”，注意不是“定制需求”，代码只能作为学习参考，不能完全复制照搬。需要有一定的基础，能够看懂代码，能够自行调试代码，能够自行添加功能修改代码。 4. 最新计算机软件毕业设计选题大全(文章底部有博主联系方式): https://blog.csdn.net/2301_79206800/article/detail
医学图像分割数据集：超声乳腺良性图像分割数据集（包含训练集和测试集、标签）
10-06
医学图像分割数据集：超声乳腺良性图像分割数据集（包含训练集和测试集、标签） 【2类别的分割，背景、良性乳腺，具体的查看classes文件】 数据集介绍：分为训练集、测试集 训练集：images图片目录+masks模板目录，300张左右图片和对应的mask图片 测试集：images图片目录+masks模板目录，130张左右图片和对应的mask图片 除此之外，包含一个图像分割的可视化脚本，随机提取一张图片，将其原始图片、GT图像、GT在原图蒙板的图像展示，并保存在当前目录下 医学图像分割网络介绍：https://blog.csdn.net/qq_44886601/category_12102735.html
bugku ctf sqli-0x1题解
03-23
bugku ctf是一个CTF（Capture The Flag）比赛平台，提供各种类型的安全挑战题目供参赛者解答。sqli-0x1是其中一个SQL注入题目，下面是该题目的解题思路： 1. 题目描述：sqli-0x1是一个简单的SQL注入题目，要求获取数据库中的某个表的内容。 2. 分析注入点：首先，我们需要找到注入点。可以通过在输入框中输入一些特殊字符（如'、"、;等）来尝试触发SQL注入。如果页面返回异常或者显示不正常，那么很可能存在注入点。 3. 判断注入类型：确定注入点后，我们需要判断注入类型。可以通过在输入框中输入一些测试语句（如' or 1=1--）来判断是否存在注入漏洞。如果页面返回正常，那么很可能存在注入漏洞。 4. 获取数据库信息：一旦确认存在注入漏洞，我们可以通过构造合适的SQL语句来获取数据库信息。可以使用UNION SELECT语句来获取表的列数和列名，然后使用SELECT语句获取表的内容。 5. 构造SQL语句：根据题目要求，我们需要获取某个表的内容。可以使用如下语句来获取表的内容： SELECT column_name FROM information_schema.columns WHERE table_name='表名'; SELECT * FROM 表名; 6. 获取结果：根据构造的SQL语句，将其作为输入发送给服务器，获取返回的结果。根据返回的结果，我们可以得到表的列数、列名和表的内容。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值