大家好,这里是KOKO师傅~
WEB方向最简单的莫过于信息收集类型题目,我们以CTFshow的相关题目作为例题对这一类型的题目进行一个模块的针对练习!
1>where is flag ?
信息收集题目首先应该 查看源码 (火狐Ctrl+U),若是源码没有再用其他方法收集flag。简单的入门类信息收集题目flag都比较好找!
2>“物理拦截”
1)有些题目会出现物理拦截,比如:
但是这种“物理拦截”真的可以实现让我们无法查看源代码吗?那我们试一下:
看来并不能真正拦截我们的查看请求,仿佛“此地无银三百两”。
2)梅开二度“where is flag ?”
我们首先 查看源码 ,发现和上题有所不同的是查看源码后:
这次确确实实被“物理拦截”了,无法通过简单的Ctrl+U查看源码了。我们再 返回查看题目的提示:
提示让我们抓个包~ 那我们抓个包看看:
抓到的包,乍一看好像没什么重要信息!
我们发送到Repeater里看能不能经过处理得到flag:
我们成功看到,在 重发 之后,包的头文件里出现了Flag!!!
3>各种泄露
1)后台泄露:
我们看到题目的提示:
后台地址在robots文件里,因此我们通过URL访问 robots.txt 得到如下: