Hackthis!! Writeup——Main Level

Level 1:

最常见的查看源代码，然后可以轻易地找到注释中的username和Password

Level 2:

同样是查看源代码，然后就隐藏在代码行中

Level 3:

同样是查看源代码，这次是一个JS代码验证（然而关掉JS并绕不过。。服务器端应该也有验证）

Level4:

同样是查看源代码，这次给了一个网页直接访问这个url，得到密码

Level 5：

同样是查看源代码，然后可以发现以下JS代码：
这里是通过修改url来用GET方法通关

Level 6:

首先我们可以看到，要求用户选择为Ronald，而选项框中没有Ronald。
因此，我们可以有两条思路：
1，通过修改html来得到Ronald的选项，如下图。我是用的firefox的开发工具（F12开启）
2，通过对传输数据的包进行修改，如下图。
这里我用的是Fiddler，在上传前进行截断并修改可得到Ronald。

Level 7:

同样查看源代码。。。。哦不这次好像并不是
于是看了一下hint，得到以下信息：

The password is again stored in a txt file. This time however it is not as straight forward as viewing the source.
You wouldn’t even find the page by using a search engine as search bots have been excluded.

这个提示所给的信息指向一个关键网页：robots.txt（关于robots协议，请自行百度其功能）
于是，我们访问这个页面，得到以下信息：
至此我们找到了这个所谓的txt文件。访问这个网页得到以下账号密码：

48w3756
u3qh458

Level8：

首先依旧是查看源代码，得到以下提示：
访问这个页面，得到以下信息：

1011 0000 0000 1011
1111 1110 1110 1101

这里需要手动将2进制转换成16进制，并按照ASCII表对应出user和pass。

Level9：

首先依旧查看源代码，发现了这个东西：进入这个页面，然后继续查看源代码，得到以下信息：
将下面这个邮箱填入框中，然后。。。。不对
于是，我用Fiddler抓了下包，发现他发送了两条信息然后根据提示：

The developer has now added a feature that allows him to get a password reminder. Can you exploit it to send you the login details instead?

得出以下结论：是需要把email2和email1都改成自己的邮箱。
更改后，通过。

Level 10:

依旧是首先查看源代码，得到以下信息：访问这个文件，便可以得到以下密文：

69bfe1e6e44821df7f8a0927bd7e61ef208fdb25deaa4353450bc3fb904abd52
f1abe1b083d12d181ae136cfc75b8d18a8ecb43ac4e9d1a36d6a9c75b6016b61

这里使用了MD5加密，解密网站如下

https://www.cmd5.com/

解密之后便可得到user和pass。