BUUCTF--BUU BURP COURSE 1

最新推荐文章于 2024-03-22 08:55:52 发布
最新推荐文章于 2024-03-22 08:55:52 发布
阅读量3.7k 收藏 6
点赞数 1
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_46263951/article/details/118615140
版权

 根据提示只能本地访问我们需要伪造一个本地地址

当使用X-Forwarded-For时发现并没有成功访问，e...我们尝试另一种方法

当使用X-Real-IP时我们可以成功进入

 

登录进去之后我们即可获得Flag

总结：

本题主要考察伪造本地地址的方法

X-Forwarded-For 和 X-Real-IP 的区别 

 

 

 

Uzero.
关注
  • 1
    点赞
  • 踩
  • 6
    收藏
    觉得还不错? 一键收藏
  • 6
    评论
1ncrd#Study-Record#BUUCTF[第二章 web进阶]XSS闯关1.md
08-10
一些关于xss的payload
BUUCTF Reverse CrackRTF-附件资源
03-05
BUUCTF Reverse CrackRTF-附件资源
BUU BURP COURSE 1
朋克归零膏的博客
09-27 924
BUU BURP COURSE 1
BUUCTF Basic BUU BURP COURSE 1解题WP
风儿轻轻吹
03-27 1873
1.启动靶机 访问靶机发现网页提示只能本机访问： 可能是检查请求头只的X-Real-IP字段。 2.使用BP测试 BP抓包，添加X-Real-IP：127.0.0.1测试，发现返回登录界面且包含登录信息： 3.根据上述信息，更改使用POST方法提交username=admin&password=wwoj2wio2jw93ey43eiuwdjnewkndjlwe 获取flag{69a567b4-7864-47f6-b854-186ad981de40} ...
BUUCTF/BUU BURP COURSE 1
最新发布
weixin_44041994的博客
03-22 287
使用burp suite拦截，在数据包中添加字段：X-Real-IP: 127.0.0.1 以及 Content-Length: 0。在数据包中添加X-Real-IP: 127.0.0.1后发送，成功获得flag。同样打开burp suite拦截后，点击登录。打开靶机提示，页面提示"只能本地访问。发送后进入一个登录界面。输入flag，闯关成功。
第四天——CTF常用基础知识点-大杂烩
NYG694的博客
07-12 184
XSS (Cross-Site Scripting) 攻击则利用网站对用户输入的信任，将恶意的脚本注入到页面中，使得其他用户在浏览该页面时执行这些恶意脚本。攻击者可以在用户的浏览器中执行任意的脚本代码，例如窃取用户的登录凭证、篡改页面内容或进行其他针对用户的攻击。因此，XXE攻击主要针对XML解析器和应用程序中的XML处理逻辑漏洞，而XSS攻击则专注于利用Web应用程序中对用户输入的不当处理。CSRF是借用户的权限完成攻击，攻击者并没有拿到用户的权限，而XSS是直接盗取到了用户的权限，然后实施破坏。
buuctf Basic
众生度尽，方证菩提
02-16 698
文笔生疏，措辞浅薄，望各位大佬不吝赐教，万分感谢。
BUUCTF Basic 解题记录--BUU BURP COURSE 1
weixin_43171033的博客
10-08 939
6、点击登录，在proxy截获的头信息中添加上本地登录的信息 X-Real-IP:127.0.0.1，再转发即可得到flag，成功。3、将proxy的信息转到repeater区域，尝试看看有什么结果，发现有一个默认用户名和密码的登录界面。2、应该使用X-Real-IP，将这里的IP设置成127.0.0.1不就是本地访问了吗，哈哈哈。4、将标红的一段 X-Real-IP:127.0.0.1 加到proxy中，再转发。看题目就能想到肯定跟burpsuite工具相关，直接打开准备分析数据。
BUU BURP COURSE 1【basic】
weixin_52942048的博客
10-07 348
(2) remote_addr、X-Real-IP、X-Forwarded-For，这3个头参数需要详细了解。(1) 看到这里估计就蒙了，这怎么玩？这提示就是伪造一个本地请求，就是头信息中传一个127.0.0.1；
BUUCTF basic BUU BURP COURSE 1 & LFI Labs
网安小趴菜
08-27 2189
BUUCTF basic BUU BURP COURSE 1和LFI Labs
BUU XSS COURSE 1
分享
07-27 1296
BUU XSS COURSE 1
POSN:POSN-BUU的源代码
04-01
POSN POSN-BUU的源代码
Majin Buu Top HD Anime New Tabs Theme-crx插件
03-15
每次打开一个新选项卡，您将获得Majin Buu提供的不同高清壁纸 这个新主题包括时钟等等。 魔鬼的布欧（the devil，Buu），日本动漫《七龙珠》中的义与恶的角色，是《七龙珠》综合实力最强的BOSS。 这个名字来自电影...
Project-Decoder-Ring
03-27
1.凯撒密码是一种替换密码，其中明文中的每个字母都在字母表中“移位”了一定数量。 2.波利比乌斯广场（Polybius Square）是通过将典型字母排列成网格而获得的密码。 3.在密码学中，替换密码是一种加密方法，根据...
逗比学CTF.day5
weixin_45963786的博客
01-20 1702
BUU BURP COURSE 1 比较基础的IP伪造题目，基础题get到新的知识点，通过伪造X-Real-IP字段实现本地访问 一、原题无源码 打开后，只提示需要本地访问。 二、伪造xff 一说到伪造IP地址，实现本地访问，第一想到的就是X-Forwarded-For字段 但是仍然提示“只能本地访问”，服务器检测的不是xff这个字段。然后只能去问度娘 X-Real-IP字段映入眼帘 三、伪造X-Real-IP字段 这次不在提示“只能本地访问”，说明IP绕过成功，下面继续看html编码 三、代码分
【BUUCTF】BUU SQL COURSE 1 1
qq_41369524的博客
12-10 1273
进到burp里面看：id=1，id=2。推断可能是根据SQL查询得到的不同界面结果。例如select * from 表名 where id=1;再试一次，发现原来是之前粘贴少了一个字母，成功拿到flag。试试3，试试2，发现2有回显，所以试探出该表有两列。看到了username和password。先审题，题目名字应该是关于SQL注入的。没有结果，考虑一下MD5解密，解不了。在界面随便点点，发现是POST。首先，判断其是字符型还是数字型。返回结果相同，所以是数字型。得到用户名是admin。
XSS的基础与BUU XSS COURSE 1靶场练习
L2329794714的博客
03-29 8703
二、漏洞利用与绕过方法 两个层：WAF、代码层 1、黑名单绕过 寻找没有被过滤的标签 2、双写、大小写转换 双写：在直接将一些关键字用空字符替换的时候可以用 大小写转换：过滤的时候没考虑大小写问题 2、利用标签事件 比如标签点击、聚焦、鼠标动作事件来触发代码执行 标签闭合：注入点在标签属性中，闭合标签使注入点在=变成一个独立的标签 3、HTML实体编码和js编码 html实体解析也不是在构建DOM树时解
BUUCTF basic BUU XSS COURSE 1 & BUU XXE COURSE 1
网安小趴菜
09-03 5627
BUUCTF basic BUU XSS COURSE 1 & BUU XXE COURSE 1
BUU SQL COURSE 1
07-27
- *2* [Buuctf | BUU SQL COURSE 1](https://blog.csdn.net/m_de_g/article/details/122174226)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 6
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值