[极客大挑战 2019]Http

最新推荐文章于 2024-08-21 14:00:00 发布
最新推荐文章于 2024-08-21 14:00:00 发布
阅读量63 收藏
点赞数
分类专栏： Buu-Web 文章标签： WriteUp CTF web安全 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0sway/article/details/129144267
版权
文章描述了一次网络安全挑战，参与者需通过查看Http源码找到隐藏链接，然后修改Referer和User-Agent以满足特定条件。最终，还需添加X-Forwarded-For头来本地访问以获取FLAG。
摘要由CSDN通过智能技术生成

[极客大挑战 2019]Http

进入靶场，首页如下：
在这里插入图片描述
直接查看源码：
在这里插入图片描述

  • 在源码内看到一个链接，直接访问。
    在这里插入图片描述

  • 提示不是从https://Sycsecret.buuoj.cn访问的，那么我们改一下Referer就好了
    在这里插入图片描述

  • 修改完Referer之后提示：Please use "Syclover" browser

  • 接着修改User-Agent
    在这里插入图片描述

  • 修改完User-Agent之后又提示No!!! you can only read this locally!!!

  • 大概意思就是只能从本地访问

  • 那么再加上一个头：X-Forwarded-For: 127.0.0.1
    在这里插入图片描述

GET FLAG ! ! !

m0sway
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
[BUUCTF][极客大挑战 2019]Http
朋克归零膏的博客
10-13 699
在CTF中修改http头的操作常有BUUCFT另一题,常用到的值User-AgentReferer。
阿里云IoT极客创新挑战赛.pdf
08-29
高级设计专家 望海 在2018云栖大会·上海峰会中做了题为《阿里云 IoT 极客创新挑战赛》的分享,就极客挑战赛创意来源、赛事的技术平台、赛事进程等方面的内容做了深入的分析。
【极客大挑战 2019 】Http
Lixunzhe0112的博客
01-17 583
X-Forwarded-For（XFF）是用来识别通过HTTP代理或负载均衡方式连接到Web服务器的客户端最原始的IP地址的HTTP请求头字段。所以直接在请求头下面加入X-Forwarde-For：127.0.0.1再发送就能获取flag。然后又提示我们需要使用Syclover的浏览器，那就是User-Agent。X-Forwarded-For这个参数可以进行代理。这里做了个referer的拦截，我们直接用bp。然后就没思路了，去查找了一下HTTP的请求头。再修改相应的内容重新发送。
极客大挑战 2019Http
4pri1
02-05 144
[极客大挑战 2019]Http 在页面源代码中找到线索 进入后，这是要改referer的，可以用hackbar，也可以用bp，我选择了后者 设置好代理，开启拦截，刷新,sent to repeater,关闭拦截 加一个referer referer:https://www.Sycsecret.com 【注意报文行末加回车！！！】否则就是这样 看接下来提示，换浏览器 把报文的这个改成Syclover browser ..
BUUCTF WEB 极客大挑战 2019 Http
Ethan552525的博客
08-04 810
题目： 解题： 1：查看网页源代码 浏览页面，没有发现有用信息，查看源代码发现：Secret.php 2：尝试访问/Secret.php HTTP Referer Http Referer是header的一部分，当浏览器向web服务器发送请求的时候，一般会带上Referer，告诉服务器我是从哪个页面链接过来的，服务器借此可以获得一些信息用于处理。比如从我主页上链接到一个朋友那里，他的服务器就能够从HTTP Referer中统计出每天有多少用户点击我...
[极客大挑战 2019]FinalSQL
末初的CSDN博客
09-26 452
字段中(内容比较长，等待时间需要久一点，因为BUU发包太快会直接ban掉，就加个。测起来有点感觉过滤很奇怪。
BUUCTF -＞ Web [极客大挑战 2019]Http（详解）
m0_72986388的博客
09-25 1474
之后界面会显示“No!" 是一个URL，指向一个名为 "Sycsecret.buuoj.cn" 的网站或资源。这样就会得到flag之后将flag输入到靶场中这道题就完成了。User-Agent：标识发起请求的用户代理（常为浏览器）。（因为做笔记，所以重新做的，所以显示早就解出这道题了。Referer（请求头字段）表示指示请求的来源页面。所以我们要把此段的浏览器改为Syclover浏览器。"理解为一个链接地址。这样我们就得到了解决本题的有用信息。
[极客大挑战 2019]Http1 题解
The_YSZL的博客
04-29 399
进而对源浏览器的相关参数进行修改,即将User-Agent修改为"Syclover" browser。得到进一步提示，进而修改访问访问源地址，添加X-Forwarder-For参数，其值可以为127.0.0.1，代表从本地访问。添加Referer，写入刚刚页面要求的访问请求源:https://Sycsecret.buuoj.cn.得到如下网页，提示已经很明显了，通过BP来修改请求头中的内容，就可以得到对应的响应。在源代码中发现有Sercret.php的存在，访问。最后即可得出flag。
[极客大挑战 2019]Http1 解题思路
weixin_61970418的博客
12-16 709
又跳出提示，Please use"Syclover" browser，意思是需要使用Syclover这个浏览器，需要修改的字段为User-Agent。添加参数X-Forwarded-For:127.0.0.1，127.0.0.1就是本地访问的默认地址，发送后,flag就出来了。访问后出现如下界面，提示未从https://Sycsecret.buuoj.cn网站访问，直接burp抓包。修改UA头为Syclover后，再次提交，提示必须从本地访问。打开靶场后，有如下三个页面，浏览后没有任何功能点和输入点。
[极客大挑战 2019]Http1解题思路
Megumiwind的博客
08-08 4161
1.打开Burp suite输入靶机的网址进行抓包，并把抓到的包发送到repeater（重发器）当中 在重发器中先点击发送查看一下结果的网页源代码。 在源码当中发现在一个html语句，并且是a标签的跳转语句，而跳转的地点是secret.php <a style="border:none;cursor:default;" onclick="return false" href="Secret.php">氛围</a> 2.既然是秘密页面，我们当然要进去看一下到底是.
ISCC2019个人挑战赛题目练习
05-05
【ISCC2019个人挑战赛题目练习】是一次针对网络安全技术的竞赛，旨在提升参赛者在信息安全领域的技能和实战经验。此类挑战通常涵盖多种技术领域，包括但不限于密码学、漏洞分析、网络嗅探、逆向工程、Web安全以及...
天池Apache Flink极客挑战赛-垃圾图片分类算法源码+项目说明.zip
01-28
【资源说明】 1、该资源包括项目的全部源码，下载可以直接使用！ 2、本项目适合作为计算机、数学、电子信息等专业的课程设计、期末大作业和毕设项目，...天池Apache Flink极客挑战赛-垃圾图片分类算法源码+项目说明.zip
GFG-：极客，极客30天挑战
02-17
极客30天挑战2021年1月 30天练​​习问题的Python解决方案： 与同学一起翻阅怪胎。（Array）; 第N个自然数； 不能表示为Sum的最小正整数； 从抽屉里拿出“ k”双袜子的最小采摘次数； 螺旋矩阵奇克兰的硬币； 有效...
ApacheFlink极客挑战赛垃圾图片分类赛道冠军方案分享.pdf
01-09
在"Apache Flink极客挑战赛垃圾图片分类赛道冠军方案分享"中，参赛者利用Flink的高效处理能力来解决图像分类问题，特别是在智慧城市和互联网应用中，这种技术具有广泛的应用潜力。 1.1 Flink与Intel Analytics Zoo...
网络安全（黑客）自学
白帽子凯哥聊黑客
08-20 755
网络安全可以基于攻击和防御视角来分类，我们经常听到的 “红队”、“渗透测试” 等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。无论网络、Web、移动、桌面、云等哪个领域，都有攻与防两面性，例如 Web安全技术，既有 Web 渗透，也有 Web 防御技术（WAF）。作为一个合格的网络安全工程师，应该做到攻守兼备，毕竟知己知彼，才能百战百胜。
从密码学角度看网络安全：加密技术的最新进展
A526847的博客
08-20 678
在数字化时代，网络安全已成为不可忽视的重大问题。随着计算机技术和网络应用的飞速发展，黑客和网络攻击手段日益复杂，对个人、企业乃至国家的信息安全构成了严重威胁。密码学作为网络安全领域的核心支柱，其发展对于保护信息安全具有至关重要的作用。本文将探讨加密技术的最新进展，以及这些进展如何助力网络安全。
网络安全（黑客）——自学2024
2401_84466325的博客
08-21 1579
网络安全是一种综合性的概念，涵盖了保护计算机系统、网络基础设施和数据免受未经授权的访问、攻击、损害或盗窃的一系列措施和技术。经常听到的 “红队”、“渗透测试” 等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。作为一个合格的网络安全工程师，应该做到攻守兼备，毕竟知己知彼，才能百战百胜。
网络安全入门教程（非常详细）从零基础入门到精通_网路安全 教程
最新发布
2401_85023708的博客
08-21 1393
1.入行网络安全这是一条坚持的道路，三分钟的热情可以放弃往下看了。2.多练多想，不要离开了教程什么都不会了，最好看完教程自己独立完成技术方面的开发。3.有时多百度，我们往往都遇不到好心的大神，谁会无聊天天给你做解答。4.遇到实在搞不懂的，可以先放放，以后再来解决。先科普划分一下级别（全部按小白基础，会写个表格word就行的这种）**1级：脚本小子；难度：无，**达到“黑客新闻”的部分水准（一分钱买iphone、黑掉母校官网挂女神照片什么的）网络安全工程师；
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值