【CTF】web新手练习12题

1.【已完成】web新手入门（12/12）
攻防世界-WEB新手练习区
工具 burp chrome的proxy插件 两个合起来用; 中国蚁剑 webshell

1.view-source

    右键查看不了源码
        方法1：地址栏输入view-source:
        方法2：python requests.get(url).text

2.get_post

    burpsuit+chrome:proxy switchyomega
    burpsuit-repeater-change method

3.robots

    robots协议：给搜索引擎看的txt文件，告诉它哪些可以爬，哪些不可以爬
    /robots.txt 找到flag
    还可以用御剑扫

4.backup

    用御剑扫，看到.bak了
    打开下载的内容 拿到flag

5.cookie

    控制台document.cookie，拿到指示进cookie.php，根据指示看response，拿到flag

6.disabled_btn

    f12元素直接删掉

7.simple_js

    查看源码，发现糊弄人的，看到一个字符串=，拿到py里直接跑出来一个数组，把这些转成chr就看到flag了

8.xff_referer

    xff 记录用户真实ip，可伪造
    http referer，是header的一部分，用于告诉服务器该网页是从哪个页面链接过来的
    burp抓包，然后sent to repeater，伪造XFF和Referer

9.weak_auth

    先尝试admin root等
    burp暴力破解
        1）.burp打开intercept on，乱输网站提示用户名，随便输点东西然后回车，burp收到了，然后burp邮件sent to intruder
        2）.intruder-pauloads导入github找的密码字典（这里用的常用中文10000个） star attack，成功的长度（437）和不成功的不一样
            注意：不需要匹配的记得clear，只add需要匹配的如pwd

10.webshell

    直接用中国蚁剑

11.command_excution

    waf：应用层防火墙
    尝试;& | || &&  id等看有没有waf，如果返回结果说明没有
    可以使用;find / -name "flag*"搜索有没有想要的文件，cat查看文件，拿到flag

12.simple_php

    php弱类型：==会把字符串转成相同类型再比对，===强匹配
    ?a=ddd&b=5555a ，a会自动转成数值0，b加个a主要是为了绕过判断是否为数值的代码