HGAME2020第一周WEB小白视角解题

Cosmos 的博客

看题目没啥有用的信息

打开网页之后发现了版本管理工具以及GitHub字样，盲猜跟github源码泄露类似
先实试了试/.git无果，又试了试/.git/config出来了github的地址

直接访问地址

点击init找到了存放flag的地方

flag是base64加密过的，解密即可
hgame{g1t_le@k_1s_danger0us_!!!}

接 头 霸 王

题目及第一个提示，他需要我们来自https://vidar.club/.
我的方法是burpsuite抓包加入referer:https://vidar.club/.
即可得到第二个提示

You need to visit it locally.
当即想到修改x-forwarded -for:127.0.0.1

出现第三个提示
You need to use Cosmos Brower to visit.
需要修改User-Agent头

修改后出现第四个提示
Your should use POST method 😃
我们需要把访问的请求改为post

最后一个提示：
The flag will be updated after 2077, please wait for it patiently.
我们需要加上请求头 If-Unmodified-Since: Tue, 22 Oct 2077 09:54:38 GMT 即可获得 flag。

hgame{W0w!Your_heads_@re_s0_many!}

Code World

好多人看见403以为网页有问题。。。。
抓包后发现事情并没有那么简单

在http history中发现了一个显示405页面的页面

为什么会出现405错误
应该是请求方式的问题，讲请求方式改为post

出现了一个提示
人鸡验证目前它只支持通过url提交参数来计算两个数的相加，参数为a

现在,需要让结果为10
用get提交一个a使得为两个数相加的结果而且等于10，不能直接用加号，因为加号会在url解析中被解析成为空格，所以应该用%2b（加号urlencode后的）

hgame{C0d3_1s_s0_S@_sO_C0ol!}

第一周追后一个题：

🐔尼泰玫

没打开我就想到了坤坤，篮球界的代言人

需要三万分就可以通过
用了火狐浏览器（英文太差谷歌看不太懂）
点击F12打开开发者模式，打开网络，故意死一次发现了分数的请求包

讲包重新编辑后重新发送

分数大于三万即可


hgame{j4vASc1pt_w1ll_tel1_y0u_someth1n9_u5efu1?!}
官方方法：
只要分数超过3w分就能获得flag
主要是从 js/game.js 中发现请求接⼝的代码
⽤了⽴即执⾏函数与private防⽌直接在console⾥调⽤（但是可以把代码抄出来直接⽤）
以下直接在游戏的console执行即可获得flag Payload:
//分数⼤于3w就⾏
var score=300001;
(function(){
let getU=me+“4ay5oZ”;
let rl=getU+“2FtZS53”;
let te=rou+“1pdA”;
let ey=k+“cmU=”;
$.post(atob(rl+rt+te),
atob(ey)+"="+
score+"|"+
md5(Date.parse(new Date())/1000),
function(data){alert(data);
})
})();