CTFshow---WEB入门---web6

已于 2023-12-11 17:47:43 修改
阅读量403 收藏 6
点赞数 8
文章标签： web安全
于 2023-12-11 17:40:24 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_43752749/article/details/134932416
版权

提示我们访问www.zip

解压www.zip

查看index.php

提示flag在fl000g.txt文件中，查看fl000g.txt

提交flag{flag_here}发现不正确

从url中访问fl000g.txt

获取flag。

根据百度，www.zip是由于网站管理员非法将网站整个源码文件打包拷贝后错误配置造成源码泄露，存在多种形式的泄露有：www.gz；www.tar.gz；www.rar等。可以用dirbuster进行目录爆破查看是否存在泄露。

Love is Zero
关注
  • 8
    点赞
  • 踩
  • 6
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
ctfshow-VIP题目-Web-详细解题思路
01-27
ctfshow-VIP题目-Web-详细解题思路
《CTFshow-Web入门》06. Web 51~60
学习学习学习......
04-23 729
system() 利用与正则绕过，{>/dev/null 2>&1} 绕过、post 请求之 eval() 利用与正则绕过。
CTFshow-web-web6
qq_68581192的博客
10-09 117
获取到数据库中的表flag和user，我们去获取flag表中的所有字段，输入1’or(1=1)union(select(1),(select(group_concat(column_name))from(information_schema.columns)where(table_schema=‘web2’)and(table_name=‘flag’)),3)#发现登录成功了，我们再使用联合注入获取当前使用的数据库，输入1’or(1=1)union(select(1),database(),3)#
ctfshow web6
博客地址 www.sec0nd.top
02-24 386
题目分析 题目是一个登陆页面，猜测可能是sql注入类的题目 尝试一下万能密码 username=admin'/**/or/**/1=1#&password=1 发现有过滤，要找出来是过滤了哪个字符，依次输入验证，发现是过滤了空格 那么就要绕过空格，有以下几种方法 /**/ () 回车(url编码中的%0a) `(tap键上面的按钮) tap 两个空格 详细见下面这篇文章https://blog.csdn.net/weixin_39945475/article/details/10990395
CTFshow之web6
世间繁华梦一出
05-07 2474
CTFshow——web6 一打开页面是用户名密码登录，我们首先第一个想到的就是sql注入了，来用万能钥匙试一哈！ 报错了 然后，我在密码框里同样注入万能钥匙试了一下，发现，密码框中输入空格也会多一个黑点，于是我猜测可能是把空格过滤了，为了验证 我的猜想，来抓包看一下服务器收到的页面请求包最后传递的用户名和密码的参数值是什么样子的 抓包果然发现，空格被过滤了 一般空格被过滤有如下替换方法 /**/ () 回车(url编码中的%0a) `(tap键上面的按钮) tap 两个空格 我们就选用/**/来替
ctfshow web入门——web6
m0_74093152的博客
01-28 435
ctfshowweb入门——web6
CTF show----web 解题笔记（web签到~web6）
dzqxwzoe的博客
02-02 1656
web签到题web2考查点：1.判断sql注入回显位置2.查当前数据库名称3.查看数据库表的数量4.查表的名字5.查flag表列的数量6.查flag表列的名字7.查flag表记录的数量8.查flag表记录值web3web4web5web6。
ctfshow-WEB-web6
热门推荐
wangyuxiang946的博客
08-21 1万+
ctf.show WEB模块第6关是一个SQL注入漏洞,注入点是单引号字符型注入,并且过滤了空格,我们可以使用括号()或者注释/**/绕过 先来一个万能账号,注意使用括号()替换空格,用户名输入以下payload,密码随便输 a'or(true)# 成功登录 既然是SQL注入漏洞,那么flag肯定就藏在当前使用的数据库中,我们使用联合注入获取当前使用的数据库,用户名输入以下payload,密码随便输 a'or(true)union(select(1),datab...
ctfshow-web41~60-WP
02-21
ctfshow-web41~60-WPctfshow-web41~60-WP
CTFshow-菜狗杯-WEB-变量循环取值-我的眼里只有$
03-04
CTFshow-菜狗杯-WEB-变量循环取值-我的眼里只有$
ctfshow web223-group盲注无数字
10-21
ctfshow web223-group盲注无数字
CTFShow-周末大挑战parse-url篇Writeup
05-19
CTFShow--周末大挑战parse_url篇Writeup
ctfshow-web6
aarong的博客
12-22 1487
如题又是登录框 先试试看看能不能登录 ' or 1=1# 发现出现了错误：sql inject error 用burp抓包发现，过滤了空格 空格被注释掉了，所以想办法把空格给替代掉 通过这篇文章得到注释的方法有两种，那就是注释符/* */和%a0 '/**/or/**/1=1# 发现可以登录： 接下来就是手工注入的流程了 order by 查询字段为3： username='/**/or/**/1=1/**/order/**/by/**/3#&password=123 回显的字段数
CTFshow WEB入门--web6
m0_73912575的博客
10-29 174
CTFshow WEB入门--web6
CTFSHOW系列-web6(信息收集-源码备份文件)
siu~
11-24 706
CTFSHOW系列解题思路
2024年网络安全山东省赛-SMB信息收集解析（中职组）_使用访问工具对服务器服务访问,将服务器中管理员桌面的文本文档里的内容作为 flag
2401_84252281的博客
04-26 561
任务环境说明：服务器场景：Server1。
Upstream最新发布2024年汽车网络安全报告-百度网盘下载
最新发布
qq_18209847的博客
05-20 251
Levy总结道：“在负责保护车队、电动汽车充电站和基础设施的网络安全利益相关者中，对汽车网络安全的重要性日益增加。特别是在GenAI日益普及的情况下，其降低了黑帽子行为者的进入门槛，使他们能够比以往更快、更有效地进行大规模攻击。这份报告的第六版着重介绍了汽车网络安全的拐点：从实验性的黑客攻击发展到规模庞大的攻击，并产生了怎样的影响。另外今年的报告还提供了关于网络攻击的财务影响的独到见解，它提供了一个可操作的框架，用于在现实场景中衡量网络攻击的货币影响。
ctfshow-web入门爆破
08-30
在ctfshow-web入门爆破中，可以使用正则爆破脚本来实现对目录的暴力破解。该脚本会将true拼接成数字，并以此来替换ASCII码中的数字、字母和特殊符号，以实现对目录的爆破。通过暴力破解目录/0-100/0-100/看返回...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值