网络空间安全赛题解析-通过伪造获权限获取敏感信息

目录

        1：题目背景

2：题目描述

3：答案提交

4: 提交key

5: 关卡环境

6：参考步骤

---

1：题目背景

Web 用户的身份验证，及页面操作权限验证是B/S系统的基础功能，一个功能复杂的业务应用系统，通过角色授权来控制用户访问。Web系统的用户登录及页面操作权限验证在处理逻辑上比较复杂，通过Session和Cookie存储，以及Session和Cookie的过期处理来控制用户身份。

2：题目描述

一个web系统中管理员账户：admin中有一串key，页面只提供了试用账号密码：test  test ，我们需要登录进admin账户获取key来通过本关。

3：答案提交

1、提交得到的key。

2、请提交操作过程报告，报告中要包含操作的关键过程描述并附截图，以WORD方式提交。

4: 提交key

key：I am admin

5: 关卡环境

VPC1(虚拟PC）	工具场景：Windows XP操作系统/BT5
VPC2(虚拟PC）	Window server xp
软件描述	使用工具场景集成的工具软件，参赛者也可以上传工具软件软件到工具场景。
关卡环境描述	1、学生机与实验室网络直连 2、VPC与实验室网络直连 3、学生机与VPC物理链路连通

6：参考步骤

1. 打开浏览器，访问http://192.168.102.62。

2.使用账号密码：test test登录。

3.使用Firefox的firebug插件查看cookies。发现只有user段，值为test。

4.将test修改为admin，再次访问页面，得到key：I am admin

 

Cookie：判断用户信息的凭据

存储在本地

Test用户登录产生的cookie信息：

 Admin用户登录产生的cookie信息：

用到的工具：