“百度杯”CTF比赛 九月场 XSS平台

最新推荐文章于 2024-06-21 23:18:02 发布
最新推荐文章于 2024-06-21 23:18:02 发布
阅读量1.6k 收藏 1
点赞数
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qingchenldl/article/details/84576308
版权

“百度杯”CTF比赛 九月场 XSS平台

登录页面，开始时尝试注入，没有明显效果，无法判断是否存在注入。

一时没了思路，看了大佬的 WP，发现大佬们是通过构造错误参数使得web报错，从而收集信息，算是又学习到了一招。

于是，在burpsuite里面构造错误参数，报错得到信息

11129189-2438f0746cee3546.png
image

报错信息中有一个rtiny

在github上找到相应 的项目

于是下载源码，接下来，审计：

在rinty\lock.py中有明显 的SQL注入漏洞，这里没有任何过滤。

11129189-3966ee6e7920b948.png
image

但是下面用到一个方法，set_secure_cookie，在index.py

最低0.47元/天 解锁文章
「已注销」
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
i春秋 “百度杯”CTF比赛 九月场 XSS平台
include_heqile的博客
09-10 4780
https://www.ichunqiu.com/battalion?t=1 这道题是一道代码审计题，对于我这个萌新来说，不看大佬们的writeup是根本无从下手的，得到的提示就是github上的开源项目Rtiny：https://github.com/r0ker/Rtiny-xss/tree/master 大佬们是通过构造非法参数来让网页返回错误信息的，如下： 然后就可以搜索到这个项目...
网络信息安全攻防学习平台-脚本关 writeup
热门推荐
4ct10n
09-17 2万+
1.key又又找不到了直接burpsuit截断 出flag key is : yougotit_script_now2 .快速口算这道题比较有意思 在两秒钟之内回答他的算术题 思路：直接编写python脚本访问网站，获取html计算算式，得出答案，post传参，注意要建立长连接。 代码如下：#-*-coding:utf-8-*- import requests, re url = '
XSS漏洞—XSS平台搭建与打cookie
最新发布
goldfish8848的博客
06-21 1609
6. **避免内联事件**：避免在HTML中使用内联JavaScript事件处理器，如 `onLoad="onload('{{data}}')"` 或 `onClick="go('{{action}}')"`，因为这些容易受到XSS攻击。7. **避免拼接HTML**：前端采用拼接HTML的方法比较危险，如果可能，使用 `createElement`、`setAttribute` 等方法实现，或者采用成熟的渲染框架，如Vue或React。攻击者可能会尝试使用不同的字符编码或分隔符来绕过简单的输入验证。
ctf入门（转载）
wxy201008的博客
08-28 2134
CTF入门指南(0基础) ctf入门指南 如何入门？如何组队？ capture the flag 夺旗比赛 类型： Web 密码学 pwn 程序的逻辑分析，漏洞利用windows、linux、小型机等 misc 杂项，隐写，数据还原，脑洞、社会工程、与信息安全相关的大数据 reverse 逆向windows、linux类 ppc 编程类的 国内外著名比赛 国外： 国内：xctf联赛 0ctf上海国...
kali linux 2.0 web 渗透测试 电子书
weixin_33888907的博客
06-01 438
打起精神，重新开启订阅号的原创文章写作工作，但是需要点时间，请耐心等待。 求资料的同学，没有及时回复的，请再次留言，我会尽快处理。今天分享两本电子书，虽然是英文的，但是难度不高。 第一本是基于Kali 2.0 的web渗透测试 链接: pan.baidu.com/s/1slLgAAD 密码: 8gvn 第二本是基于Hadoop的大数据取证技术 链接: pan.baidu.com/s/1qY37DM...
百度杯CTF比赛二月第三场比赛(Reverse专题赛)的CrackMe-1题目
03-30
百度杯CTF比赛二月第三场比赛(Reverse专题赛)的CrackMe-1题目。
轻量级CTF比赛平台源码+项目说明.zip
01-27
【资源说明】 1、该资源包括项目的全部源码，下载可以直接使用！ 2、本项目适合作为计算机、数学、电子信息等专业的课程设计、期末大作业和毕设项目，作为参考资料学习借鉴。...轻量级CTF比赛平台源码+项目说明.zip
领航杯 CTF 2021 决赛 真题 7z
12-07
领航杯 CTF 2021 决赛
轻量级CTF比赛平台.zip
10-01
"轻量级CTF比赛平台.zip"是一个包含比赛项目源码的压缩文件，从名称来看，这可能是一个专为网络安全竞赛设计的轻量级在线平台。CTF（Capture The Flag）是信息安全领域的常见比赛形式，参赛者通过解决各种安全挑战来...
毕业设计基于Tornado的CTF比赛平台.zip
09-30
【毕业设计基于Tornado的CTF比赛平台】 CTF（Capture The Flag）比赛是一种网络安全竞赛，参与者通过解谜、逆向工程、密码学等技能，攻破对方的防线，夺取虚拟“国旗”，即特定的数据或信息。在这个项目中，我们...
Web安全--XSS(跨站脚本攻击)
bobo_milk的博客
11-14 813
攻击者向web页面插入恶意可执行脚本代码，当用户浏览该页面时，嵌入到web页面的恶意代码就会被执行，从而达到攻击者盗取用户信息或侵犯用户安全隐私的目的。存储型：代码存放在服务器中，一般在个人信息或留言等地方，每当访问该页面就会触发代码（具有很高隐蔽性）DOM型：处理后的结果会成为页面的一部分，不提交数据到服务器，从客户端获得DOM中的数据在本地执行。存储型：发送一次带有xss代码的请求，以后在这个页面数据包都会有xss代码。反射型：发送一次带有xss代码的请求，只在当前数据包会有xss代码。
BugKu Web WriteUp
AlexYoung28的博客
08-24 2200
Web 8 这道题的代码和前面的文件包含写的思路一样， 我们都是运用  php://input 写，来实现我们从文件中读出的数据和我们传入的数据一样。 我写的如下：  只要保证  $ac  的值 和我们写入文件  $fn 的值 一样即可， 我这里都写的是 123 细心 这道题刚开始看到主页之后，又看了源代码和抓了包，发现都没有什么特别的地方，所以，只有拿御剑扫描一下后台。 ...
白帽子之web漏洞--xss攻击
鼓浪屿岛与海的博客
12-04 473
本文仅供学习，不支持一切以不法利益为目的的商业攻击 一.xss攻击原理 xss 是“跨站脚本攻击”，是一种注入攻击，当web应用对用户输入过滤的不严格时，攻击者写入恶意的脚本（CSS，HTML，JavaScript）到网页中时，如果访问了含有恶意代码的页面，恶意脚本就会被浏览器解析执行导致用户被攻击 二.常见xss危害 cookie窃取，session劫持，钓鱼攻击，蠕虫，ddos等。 ...
xss跳转代码_XSS跨站脚本攻击-靶场writeup&总结
weixin_39963819的博客
11-21 544
XSS简介XSS(跨站脚本攻击)是指攻击者在网页中嵌入客户端脚本，通常是Javascript编写的恶意代码，当用户使用浏览器浏览被嵌入恶意代码的网页时，恶意代码将在用户的浏览器上被解析执行。XSS Education环境搭建docker search xss # 搜索docker镜像，找到xss education对应的image docker run -d -p {p}:80 {sha} # {...
做了一个XSS的闯关游戏，攻略贴上来
yd0str
12-13 8747
游戏地址： http://xss-quiz.int21h.jp 第一关：比较简单，直接输入 http://xss-quiz.int21h.jp/?sid=2a75ff06e0147586b7ceb0fe68ee443b86a6e7b9 第二关：也相对简单，闭合标签 http://xss-quiz.int21h.jp/stage2.php?sid=f2d7d60125bdddb20
xss-labs 通关笔记
Ewige的博客
06-30 471
靶场地址：传送门 概述： XSS（跨站脚本）概述 Cross-Site Scripting 简称为“CSS”，为避免与前端叠成样式表的缩写"CSS"冲突，故又称XSS。一般XSS可以分为如下几种常见类型： 1.反射性XSS; 反射型XXS是一种非持久性的攻击，它指的是恶意攻击者往Web页面里插入恶意代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意攻击用户的目的。这里插入的恶意代码并没有保存在目标网站，需要引诱用户点击一个链接到目标网站的恶意链接来实施攻击。 原文链接：ht
不会还有白帽子没玩过这个xss靶场吧？不会吧不会吧？
一个安全研究员
12-02 461
xss challenges 2
福建闽盾杯 ctf比赛题目
08-26
福建闽盾杯CTF比赛题目是指“福建”和“闽盾杯”这两个关键词所组成的CTF比赛的题目。CTF（Capture The Flag，夺旗赛）是一种网络安全竞赛，旨在考验选手在网络攻防和信息安全方面的技能。 福建作为一个华南沿海...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值