#jarvisoj整理#目录

题目网站：https://www.jarvisoj.com/challenges

web

1. admin

• 利用robots.txt,找到一个有关admin的信息，得到假的flag，结合题目admin，抓包修改admin=1，得到正确的flag
• （补充知识）：
  发现不出来任何问题的网页上，考虑文件包含，想是不是在其他文件中会有信息存在，最常输入的就是：index.php、flag.php、_ctf.php、robots.txt，当然也可以直接扫描
• 要想到文件包含的东西，结合题目，想到转包修改

3.LOCALHOST

• X-F-F头伪造，做过类似的，但不知道为啥，刚才是一直没出结果，后来又全部重新来了一遍才出来的结果。
• （知识补充）关于服务端获取客户IP的几种方式：https://www.jianshu.com/p/bf57259d6895

4.local

• 抓包里面有hint
• （知识补充）一些login破译密码题：https://www.freebuf.com/column/150063.html

5.api调用

• XXE漏洞
• https://security.tencent.com/index.php/blog/msg/69
• http://www.freebuf.com/articles/web/126788.html