〖教程〗K8飞刀-网络安全CTF解题Web篇10例

前段时间有人和我说什么时候有空出些CTF用的工具，实际上CTF考查的内容，实战中用到的很多工具都可以使用，关键在于你懂不懂用。也看到有人搜索如何使用K8飞刀，在此以CTF题为例，教大家使用K8飞刀…

前段时间有人和我说什么时候有空出些CTF用的工具，实际上CTF考查的内容，实战中用到的很多工具都可以使用，关键在于你懂不懂用。也看到有人搜索如何使用K8飞刀，在此以CTF题为例，教大家如何使用K8飞刀的HackerIE功能（相当于Hackbar插件的高级版），以及编码解码功能的使用（模块涉及多种编码以及加密解密算法），除了实战会用到以外，CTF也可以用到，不过CTF中常见的应该是BASE64、HTML编码、SQL注入编码之类的，实战中密码除了MD5、SHA1以外最常见的莫过于BASE64了，XSS里HTML编码等也会经常用到，至于什么栅栏密码之类的实战几乎很少遇到，所以有些CTF出题和实战还是两回事，虽然说栅栏算法也非常简单，但从实战角度来说，考查用处不大，实战几乎不见的有必要考吗？如同书呆子考试靠死记硬背靠运气拿高分，拿了高分实际工作解决不了新问题，这种就是没用。

考查知识点

1.查看HTML代码
2.GET提交
3.POST提交
4.伪造IP
5.Base64解密
6.HTML实体解密
7.PUT/MOVE漏洞
8.URL编码
9.目录扫描
10.Cookie欺骗

题目1 HTML查看

网址： http://123.206.87.240:8002/web2/

分析：
直接访问会看到一堆表情，浏览器右键查看HTML代码即可，（但实战遇到屏蔽右键查看就无效）

解题：

K8飞刀–HackerIE–Get方式–网址web2–结果选"文本"–提交，即可看到注释中的Flag

PS：K8飞刀可以无视”网站屏蔽查看HTML代码“功能，现实这样的网页很多，很多CTF不考查，所以CTF和实战是有区别的。

题目2 HTML实体

网址： http://123.206.87.240:8002/web3/

分析：
直接访问会无限弹框，提示FLAG就在这里，所以这里我们选择"文本"模式查看，浏览器模式会无限弹框。

解题：

K8飞刀–HackerIE–Get方式–网址web3–结果选"文本"–提交，看到一串可疑的HTML实体字符串，
编码解码–粘贴加密的Flag–右键选中Flag–编码转换–XSS跨站–HTML实体(Dec),解密获取Falg

PS：有些CTF也会把HTML实体编码放在图片里面(记事本打开图片就能看到)

题目3 GET提交

网址：http://123.206.87.240:8002/get/

w h a t = what=