攻防世界

Web

新手练习：

1.view_source

题目描述：X老师让小宁同学查看一个网页的源代码，但小宁同学发现鼠标右键好像不管用了。

题目在线场景：http://111.200.241.244:53966

“旗帜不在这里”

右键没反应，按F12，在元素一栏可看到flag。

cyberpeace{c147a985e3979bf45d5f31eae66eac2b}

2.robots

题目描述：X老师上课讲了Robots协议，小宁同学却上课打了瞌睡，赶紧来教教小宁Robots协议是什么吧。

题目场景：

题目在线场景： http://111.200.241.244:53925

打开网址后，没有可获取的线索，根据题目，在网址后面输入 /robots.txt, 再次访问，如下：

页面显示：不允许访问 f1ag_1s_h3re.php，这是一种提示，那就访问 f1ag_1s_h3re.php，在原网址后面添加 / f1ag_1s_h3re.php后再次访问，即可得到flag

cyberpeace{a289e7dfad4cd71464b6bf58fa9f2ff9}

简单介绍一下robots协议：

robots协议也叫robots.txt（统一小写）是一种存放于网站根目录下的ASCII编码的文本文件，robots.txt应放置于网站的根目录下。

robots.txt文件是一个文本文件，使用任何一个常见的文本编辑器，比如Windows系统安装了Notepad，就可以创建和编辑它 [1] 。robots.txt是一个协议，而不是一个命令。robots.txt是搜索引擎中访问网站的时候要查看的第一个文件。robots.txt文件告诉蜘蛛程序在服务器上什么文件是可以被查看的。

Robots协议用来告知搜索引擎哪些页面能被抓取，哪些页面不能被抓取；可以屏蔽一些网站中比较大的文件，如：图片，音乐，视频等，节省服务器带宽；可以屏蔽站点的一些死链接。方便搜索引擎抓取网站内容；设置网站地图连接，方便引导蜘蛛爬取页面。

3.backup

题目描述：X老师忘记删除备份文件，他派小宁同学去把备份文件找出来,一起来帮小宁同学吧！

题目在线场景： http://111.200.241.244:60326

"你知道index.php的备份文件名吗？"

百度 index.php备份文件名 : index.php.bak

在原网址后面输入 index.php.bak

打开下载的文件可得到flag

Cyberpeace{855A1C4B3401294CB6604CCC98BDE334}

常见的备份文件后缀名有：“.git” 、“.svn”、“ .swp”“.~”、“.bak”、“.bash_history”、“.bkf”

4.cookie

题目描述：X老师告诉小宁他在cookie里放了些东西，小宁疑惑地想：‘这是夹心饼干的意思吗？’

题目在线场景：http://111.200.241.244:57703

"你知道什么是cookie吗？"

Cookies最典型的应用是判定注册用户是否已经登录网站，用户可能会得到 提示，是否在下一次进入此网站时保留用户信息以便简化登录手续，另一个重要应用场合是“购物车”之类处理。用户可能会在一段时间内在同一家网站的不 同页面中选择不同的商品，这些信息都会写入Cookies，以便在最后付款时提取信息。

使用bp抓包，把包传到repeater中，发现了一个cookie.php文件

打开网页，F12找到网络，刷新网页，点击文件

网址后面添加 /cookie.php,再次访问，F12 在网络一栏刷新查看文件响应头，发现flag

cyberpeace{e7028ca9bcfa9ca6ef31441f26cb0a0c}

5.disabled_button

题目描述：X老师今天上课讲了前端知识，然后给了大家一个不能按的按钮，小宁惊奇地发现这个按钮按不下去，到底怎么才能按下去呢？

题目在线场景：http://111.200.241.244:52261

打开网页，发现按钮无法点击。 F12查看源码,发现input标签有个disable属性, disabled 属性规定应该禁用的 <input>元素。被禁用的 input 元素是无法使用和无法点击的。 删除源码中的disable属性，按钮即可点击，然后得到Flag。

或审计from表单代码，使用hackbar，用post方式传递auth=flag，同样可以获得flag

cyberpeace{ff6219417ec62ef86fcfd7ac995723e5}

(每次的flag都不一样）