攻防世界web新手区wp

---

前言

刷了一段时间网络和web的视频了，终究还是要用在ctf比赛上，从今天开始刷题，还有一个sqli_labs的小靶场，也要每天刷一刷，vulhub的靶场搭好后再搞吧，那时候可能就比较费时间了。还想要学一些re和pwn…

第二题：robots.txt协议

协议介绍：
robots.txt（统一小写）是一种存放于网站根目录下的ASCII编码的文本文件，它通常告诉网络搜索引擎的漫游器（又称网络蜘蛛），此网站中的哪些内容是不能被搜索引擎的漫游器获取的，哪些是可以被（漫游器）获取的。 因为一些系统中的URL是大小写敏感的，所以robots.txt的文件名应统一为小写。robots.txt应放置于网站的根目录下。如果想单独定义搜索引擎的漫游器访问子目录时的行为，那么可以将自定的设置合并到根目录下的robots.txt，或者使用robots元数据。

Robots.txt协议并不是一个规范，而只是约定俗成的，所以并不能保证网站的隐私。注意Robots.txt是用字符串比较来确定是否获取URL，所以目录末尾有和没有斜杠“／”这两种表示是不同的URL，也不能用"Disallow: *.gif"这样的通配符。
摘抄自博文robots.txt文件解读

wp:
在URL中，访问robots.txt就看见了。

第三题：backup备份文件

如果网站存在备份文件，常见的备份文件后缀名有：“.git” 、“.svn”、“ .swp”“.~”、“.bak”、“.bash_history”、“.bkf” 尝试在URL后面，依次输入常见的文件备份扩展名。
wp:
URL中输入/index.php.bak得到flag

第四题：cookie

wp:
F12-储存-cookie，提示是cookie.php，在URL输入/cookie.php，提示让看response，然后burpsuite看一下response，在响应包头中有flag，关于burp的安装，写了一篇文章：burp+burp_keygen+汉化补丁+命令行使用，附带百度网盘链接。

第五题：一个不能按的按钮

wp：
需要了解一点html，如果没学过的话，移步b站视频，
删掉 disable=""，然后点击就可以了。

第六题：weak_auth

使用burpsuite爆破，先随便输入用户名和密码，js提示使用admin提交，然后改成用户名改成admin，随便写一个密码，抓包，把请求包发送到 Intruder中，然后导入常见字典，爆破$passwd，如果是汉化版的，页面内会很清晰，有手就行。
攻击过程中看reponse包，发现密码是123456。

第七题：simple_php

wp：
先了解一点php，然后很明显，GET方式提交的数据，可以在URL中提交**/a=0a&b=12345%00**。判断条件中，$a==0 and $a，见之前写的/笑哭CTFwp4-php弱类型比较。

第八题：get_post

第九题：xff_referer

wp：

第十题：webshell

一句话木马介绍：Web安全-一句话木马
需要了解php的执行过程。
wp:
他已经执行了php一句话，所以只需要用中国菜刀连接就可以了，菜刀网上有很多下载教程。

第十一题：command_execution

命令执行漏洞：
文章链接：
CTF关于ping命令注入问题

了解了命令执行漏洞之后，题目很简单

第十二题：simple_js

F12看response是一堆代码，分析起来挺麻烦的，我就搜了几个wp的代码分析，发现那一串代码卵用没有，就不用花时间去看了。
最后是把红线那一串，他是ascii码，用python转成字符，再转成chr。

x="\x35\x35\x2c\x35\x36\x2c\x35\x34\x2c\x37\x39\x2c\x31\x31\x35\x2c\x36\x39\x2c\x31\x31\x34\x2c\x31\x31\x36\x2c\x31\x30\x37\x2c\x34\x39\x2c\x35\x30"
print(x)
#>>> 55,56,54,79,115,69,114,116,107,49,50
a=[55,56,54,79,115,69,114,116,107,49,50]
y=''
for i in a:
	y+=chr(i)
print(y)
#>>>786OsErtk12
#按要求整理得到flag