WhaleCTF之web-本地登录

最新推荐文章于 2024-07-20 20:59:52 发布

weixin_30256505

最新推荐文章于 2024-07-20 20:59:52 发布

阅读量1.2k

点赞数

文章标签： postman

原文链接：http://www.cnblogs.com/lanyincao/p/11582041.html

版权

WhaleCTF之web-本地登录

前往题目

呵呵，基然对ip限制，没事，掏出burp抓包

改包

添加XFF头部 X-Forwarded-For: 127.0.0.1

发一下

不是admin，没有用户登陆，只能改isadmin的值改为1

成功得到flag~

转载于:https://www.cnblogs.com/lanyincao/p/11582041.html

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

weixin_30256505

关注关注

0
点赞
踩
2

收藏

觉得还不错? 一键收藏
0
评论
复制链接

分享到 QQ

分享到新浪微博

扫一扫

BugkuCTF-WEB题本地管理员

am_03的博客

08-25

1808

基础知识： base64: 是网络上最常见的用于传输8Bit字节码的编码方式之一，Base64就是一类基于64个可打印字符来表示二进制数据的方法。 XFF伪造请求头: X-Forwarded-For（XFF）是用来识别通过HTTP代理或负载均衡方式连接到Web服务器的客户端最原本的IP地址的HTTP请求头字段。简单来说，XXF是告诉服务器当前请求者的最后ip的http请求头字段，通常可以直接通过修改http头里的X-Forwarded-For字段来仿造请求的最后ip。打开场景：为一个登录界面尝试输

whaleCTF-30days-隐写【第二期】-彩虹糖-writeup

CTF小白的爬坑之路

07-24

1030

题目：彩虹糖公司的机器出了问题，不断的在他们的宣传海报里插入彩虹糖，最后公司发现，插入的竟然是公司机密，请帮助他们找到所有机密。答案格式whaleCTF{xxx} 打开压缩包发现6张图片，放大图片能看到很多彩色小点，也就是题目中说的彩虹糖，仔细观察其他图片也都有小点。使用binwalk、stegsolve、winhex、strings等都没有发现有用的信息，只发现如下内容： ...

参与评论您还未登录，请先登录后发表或查看评论

蓝鲸ctf writeup 本地登录

朝歌

05-13

6222

题目地址：http://39.107.92.230/web/web3/index.php点开链接，可以发现如下图所示。打开burpsuite抓包。然后伪造ip地址提交过去。加上：X-Forwarded-For: 127.0.0.1又发现，显示不是管理员，从下图中我们可以看见，cookie：Set-Cookie: isadmin=0我们尝试着把0改成1。我们得到flag。...

CTF-web题· 指定参数访问

最新发布

2302_80276789的博客

07-20

279

那么我们因该如何进行本地访问呢，左边部分是http协议的字段，那么那个是本地访问的字段呢。但是我们不知道要使用哪一个，我们可以将他们全部粘贴上，要求我们使用所给的浏览器访问，因此将user-agent（访问的浏览器）改变。可以看到本题目的请求，将它发送到repeater模块，点击发送，这是题目打开之后的样子，本体还是要使用burp suite，改变生效，下一步使用谷歌，将左边的referer改为谷歌。因此这个方法行不通，本地访问有许多字段可以实现比如，发送得到这题的flag。

ctf web基础中简单题的思路

qq_61988806的博客

09-12

2807

ctf web中最基本题目的类型和做法思路

BugkuCTF---管理员系统

qq_43592364的博客

04-14

3006

题目链接：链接打开题目链接，看到的是一个登陆界面，还是先随便试一下用户名和登陆密码吧提示是：IP禁止访问，请联系本地管理员登陆，IP已被记录那就看一下页面元素，发现了一堆Base64的密文，那就用Hackbar来解密一下试试得到了一个test123的字符串，那就试一试会不会是用户名和密码结果还是一样没有任何变化，提示依旧是联系本地管理员，那不如试一下伪造成本地登录用burps...

[虎符CTF 2021]Internal System

cjdgg的博客

11-02

3088

[虎符CTF 2021]Internal System 虎符的这题看到很多大佬都在说这道题很好，所以找来做一做这题一开始根据提示/source有东西，可以直接找到源代码 const express = require('express') const router = express.Router() const axios = require('axios') const isIp = require('is-ip') const IP = require('ip') const UrlPars

whaleCTF-30days-隐写【第二期】-SECCON大战-writeup

CTF小白的爬坑之路

07-23

2211

题目：这次的大电影演员整容十分强大哦！可以我们还有一位隐藏嘉宾，不知道你能不能找到。打开压缩包，获取视频后打开观看，发现是一个SEECON做的类似星球大战的开头片。观看一段时间不难发现在黑色背景中隐藏的二维码，可是这个二维码只有在黄色字体扫过的时候才能够看到。这道题的解法是将这些图像（每一帧）重合恢复二维码。按照帧来分解视频，我们使用ffmpeg工具，ffmpeg可以运行音...

whaleCTF-30days-逆向【第一期】-安卓加密-writeup

CTF小白的爬坑之路

07-23

909

CTF小白，刚入坑，记录一下做题的方法，写的比较详细，大牛请轻喷。题目：这是个用来保存秘密的app，但是好像暴露了密码算法，你能找到密码吗？答案格式whaleCTF{xxxx} 下载文件后，首先在模拟器中打开运行一下，需要输入通关密码，随便输入一段提示“错误” 接下来使用jeb打开文件，进行反编译，查看MainActivity函数。在代码中发现关键调用了check...

WhaleCTF Web部分writeup

MozhuCY的博客

02-04

3724

Web部分writeup（真的是部分wp 二进制小白兼web盲来记录下今天做的几道题。。。 0x00 签到题直接f12查看源码即可 0x01 http呀这里提供两种思路做web肯定少不了burpsuit啦，网页中给了提示，Do you know what happend just now?！ ( •̀∀•́ )突然想起南邮CTF平台上的两道题，考虑是不是flag在

WhaleCTF 密码学_Writeup

Pad0y的博客

04-21

2951

Death_Chain 查一下是夏多密码，对照翻译即可，参考链接如下 https://www.33iq.com/group/topic/242254/ PS:所有的变换都要以原图中的为准，而不是基于上一次变换先有什么 ...

【CTFWeb 基础】总结笔记以及实例题（1）

weixin_45871855的博客

03-19

4637

自己总结的基础笔记，仅供查考 1.查看源代码例：http://lab1.xseclab.com/base1_4a4d993ed7bd7d467b27af52d2aaa800/index.php （F12或Ctrl+U） 2.查看HTTP请求头或响应头使用抓包工具（burp）查看HTTP请求，在 Repeater 中查看响应头例：http://lab1.xseclab.com/base7_eb...

20220129--CTF刷题--- WEB方向--简单题--含常见的 HTTP请求头知识点总结

qq_51550750的博客

01-29

5081

20220129–CTF刷题— WEB方向–简单题–常见的 HTTP请求头–含总结刷题网站：攻防世界 https://adworld.xctf.org.cn/ 关于更多的刷题平台汇总：这是我自己的汇总（也包含自己可以在本地搭建的网站） https://blog.csdn.net/qq_51550750/article/details/122748075 于是开启代理，开始burp抓包：添加上X-Forwarded-For的头：得到相应：根据提示再加上referer的头：最终得到flag

CTF web题总结--爆破用户名密码

热门推荐

bob的博客

08-31

1万+

1、burp爆破用户名密码 2、id，userid，useId多试几次 3、爆破后台目录，index.php,users.php,login.php,flag.php 4、脚本：# -*- coding:utf-8 -*- import httplib import re import urllibclass Attacker: def __init__(self, mode, url)

BUUCTF——Web1

2201_75331136的博客

07-17

765

打开靶机，出现以下页面查看源代码发现Secret.php，访问后出现以下页面接着我们使用bp进行抓包在请求头中添加字段发送请求，出现以下页面根据提示更改User-Agent为发送请求，出现以下页面提示要是来自本地的访问请求，联想到127.0.0.1，需要X-Forwarded-For（XFF）是用来识别通过HTTP代理或负载均衡方式连接到Web服务器的客户端最原始的IP地址的HTTP请求头字段。出现flagflag为。

CTF练习-Web1简单登录

weixin_43992606的博客

06-25

1467

CTF初入门小白，记录做题过程。

SpringBootWeb登录认证

weixin_62646853的博客

06-05

1508

什么是会话？在我们日常生活当中，会话指的就是谈话、交谈。在web开发当中，会话指的就是浏览器与服务器之间的一次连接，我们就称为一次会话。在用户打开浏览器第一次访问服务器的时候，这个会话就建立了，直到有任何一方断开连接，此时会话就结束了。在一次会话当中，是可以包含多次请求和响应的。比如：打开了浏览器来访问web服务器上的资源（浏览器不能关闭、服务器不能断开）第1次：访问的是登录的接口，完成登录操作第2次：访问的是部门管理接口，查询所有部门数据第3次：访问的是员工管理接口，查询员工数据。

CTF每日一题 | Web 后台

qq_42646885的博客

07-11

1151

打开网页如下：简单的字母提示和一个按钮。点击按钮，页面出现提示：Only Member with Admin rights is allow to enter。意思是只能以管理员身份进入网站后台。用brupsuit抓包，看看数据包的发送情况：返回的数据包中设置了cookie的值，Member的值经过了base64加密。在burpsuite的decoder模块解码——>...

ctf web本地管理员

god_001的博客

03-05

1531

启动场景，发现是一个登陆网页：查看网页源代码，发现最下一行疑似使用了base64加密解密后果然，得到一串字符：test123 测试管理员账户为admin，密码为test123，得到再联系题目，可知需要使用本地IP登录，使用bp抓包，send to repeater，头部添加 X-Forwarded-For:127.0.0.1 发送请求得到结果： X-Forwarded-For X-Forwarded-For 是一个 HTTP 扩展头部，用来表示HTTP请求端的真.

CTF-WEB

weixin_30835649的博客

05-20

756

练习基础初探基本方法（本次用到）开发者工具：一般浏览器都自带开发者工具（快捷键为F12），点击后，可以查看当前网页的源代码，智能一点的浏览器，将鼠标移到指定的代码上，就会在网页的相应位置显示出代码呈现出的界面。 BurpSuite：Burp Suite 是用于攻击web 应用程序的集成平台。它包含了许多工具，并为这些工具设计了许多接口，以促进加快攻击应用程序的过程。所有的工具都共享一个能处理...