ISCC 2018 (Please give me username and password)

做过iscc 2018之后有了很多的感触，也有更多的了解自己的不足之处，整理了一下web的wp，

为了保证各位小伙伴的阅读质量，我将会把wp以每一道题一个博文的形式写出来，希望能够帮助到你们

其中的步骤比较详细，主要是为了萌新更好的看懂每一步，希望各位能够体谅一下下！！

 

解题思路：题目地址：http://118.190.152.202:8017/打开发现只有这句话，查看源码也一样。打开BurpSuite，设置浏览器代理，刷新页面得到：

然后添加请求头：?username=&password=刷新页面就会得到：

在浏览器URL后加入index.php.txt，发现源代码：

分析代码发现，提交的username和$flag的值进行比较用的是strcasecmp函数它和strcmp的区别是他的比较不区分大小写，但是已经存在漏洞，传入数组依旧会得到0，轻松绕过。输入的password需要是字母或数字，并且长度最大是3位值要大于999，最后就可以得到flag。因此构造GET提交的参数username[]=&password=1e4成功得到flag：

 

您可以考虑给博主来个小小的打赏以资鼓励，您的肯定将是我最大的动力。

作者： 落花四月

出处： https://www.cnblogs.com/lxz-1263030049/

关于作者：潜心于网络安全学习。如有问题或建议，请多多赐教！

版权声明：本文版权归作者和博客园共有，欢迎转载，但未经作者同意必须保留此段声明，且在文章页面明显位置给出原文连接.

特此声明：所有评论和私信都会在第一时间回复。也欢迎园子的大大们指正错误，共同进步。或者直接私信我

声援博主：如果您觉得文章对您有帮助，可以点击文章右下角【推荐】一下。您的鼓励是作者坚持原创和持续写作的最大动力！