ctfshow-web入门-黑盒测试（web380-386）

鸣谢
感谢ctfshow平台对本栏目的大力支持（皮一下很开心）
2021年1月23日，大吉大利杯盛大开幕，欢迎小伙伴们前来参赛

web380

打开页面之后，分析了网页源码，翻了半天css，什么都没找到

后来经过太空人师傅提示page.php，打开看看

提示打开$id.php失败，构造page.php?id=flag，查看源码发现flag

/page.php?id=flag

web381

看了一晚上源码，愣是没发现这个目录，我醉了

访问/alsckdfy/即可获得flag

web382

继续打开后台
第一种解法：
万能密码登录 例： admin 'or ‘1’=‘1’#
登录即可拿到flag

第二种解法：
爆破常用用户名密码

第三种解法：
sqlmap一把梭，就是花的时间有点长，但是我最后查到的密码是admin88，也不知道是什么情况，密码应该是admin888

用万能密码或者爆破的账户密码登录即可得到flag

web383

同382

web384

依旧是爆破，要不是群主告诉我密码，估计又得爆一晚上(悄悄把密码加进字典里)

web385

首先
import 群主
得到提示install，访问

接着访问install/?install

再用默认账户名密码登录即可获得flag

web386

根据群主的提示，先清除lock.dat

/clear.php?file=./install/lock.dat

继续访问/install/?install

使用默认账户名密码登录即可获得flag

如有错误，敬请斧正