![](https://img-blog.csdnimg.cn/20201014180756918.png?x-oss-process=image/resize,m_fixed,h_64,w_64)
靶场
靶场
点燃银河尽头的篝火(●'◡'●)
正在努力的网工萌新一枚,请大家多多指教~
展开
-
【靶场】Pikachu—XSS Cross-Site Scripting(前五关)
先输入试试,发现文本框有长度限制查看网页源代码,发现长度限制为20将长度改大,比如改成100:然后在输入框中输入payload:查看提示发现要先用admin账号密码登录登进去之后发现和上一关一样且文本框没有长度限制输入payload:输入payload:提交之后出现弹窗,点击。点之后就变成下图这样(留言内容不显示),但是多了个,说明确实多了一条留言先输入试试。出现"what do you see?"查看网页源代码中对应代码发现我们输入的并未执行,可以用onclick绕过在文本原创 2024-09-02 18:44:28 · 315 阅读 · 0 评论 -
【靶场】CTFshow—vip限免题目1~10
步骤:第一题中两种方法都无效我们可以:提示:没思路的时候抓个包看看,可能会有意外收获步骤: 使用burp进行抓包或 F12 在网络中打开(查看响应标头)步骤:提示:phps源码泄露有时候能帮上忙步骤:在网址后面加上/index.phps,出来一个文件,打开找到flag。提示:解压源码到当前目录,测试正常,收工步骤:提示:版本控制很重要,但不要部署到生产环境更重要。步骤:直接加上/.git/为后缀,找到flag。提示:版本控制很重要,但不要部署到生产环境更重要。步骤同上,加后缀/.svn提示:发现网原创 2024-08-27 20:05:36 · 810 阅读 · 0 评论 -
【靶场】CTFshow—vip限免题目11~20
提示:域名其实也可以隐藏信息,比如ctfshow.com 就隐藏了一条信息5月30日 修复,目标地址为flag.ctfshow.com步骤:搜索域名解析记录,打开一个在线解析网站,输入flag.ctfshow.com,在txt一栏找到flag(我这里用的是在线nslookup域名解析查询工具 - UU在线工具)提示:有时候网站上的公开信息,就是管理员常用密码步骤:提示:技术文档里面不要出现敏感信息,部署到生产环境后及时修改默认密码步骤:提示:有时候源码里面就能不经意间泄露重要(editor)的信原创 2024-08-30 10:48:18 · 1149 阅读 · 0 评论 -
【靶场】xss-labs 靶场通关(1-9)
查看网站源码,可以发现get传参name的值test插入了html里头直接在url后加上JS语句即可第二关 lever2查看网页源码发现和第一关差不多,先在url后加上JS语句试试发现报错再次查看源码,发现JS语句被包在中没有执行应该闭合第三关 level3先输入123456,然后查看网站源码所以还是闭合问题,输入第二题的JS语言试试发现报错用单引号闭合试试,还是报错,检查源代码发现符号被过滤我们可以利用onclick绕过号的过滤来达到执行js的目的在文本框输原创 2024-08-31 18:37:14 · 1088 阅读 · 0 评论 -
【靶场】sqli-labs 靶场通关(1-16)
🏘️个人主页: 点燃银河尽头的篝火(●’◡’●)如果文章有帮到你的话记得点赞👍+收藏💗支持一下哦【靶场】sqli-labs 靶场通关(1-16)sqli-labs第一关sqli-labs第一关输入?id=1 正常输入?id=1' 报错输入?id=1'--+ 正常判断有注入点且闭合方式是 ’使用and ‘1’='1判断他为字符型注入?id=1' order by 3--+ 正常?id=1' order by 4--+ 报错判断回显位有三个。id=0原创 2024-09-02 17:31:59 · 86 阅读 · 0 评论