xctfweb题（一）：1~5题

第一题：view_source

这道题太简单了，就是网页右键被禁止了，在浏览器右上角点击更多工具里面的开发者工具依然能查看源代码，我这使用的Microsoft Edge，其他浏览器也差不多。也可以使用另一种方法，那就是将网页保存到本地，使用记事本或者notepad++查看源代码，下面用图片演示：

首先ctrl+s保存网页，然后用工具打开，

打开就是源代码：

第二题：robots

这道题涉及Robots协议：

robots协议也叫robots.txt（统一小写）是一种存放于网站根目录下的ASCII编码的文本文件，它通常告诉网络搜索引擎的漫游器（又称网络蜘蛛），此网站中的哪些内容是不应被搜索引擎的漫游器获取的，哪些是可以被漫游器获取的。因为一些系统中的URL是大小写敏感的，所以robots.txt的文件名应统一为小写。robots.txt应放置于网站的根目录下。如果想单独定义搜索引擎的漫游器访问子目录时的行为，那么可以将自定的设置合并到根目录下的robots.txt，或者使用robots元数据（Metadata，又称元数据）。

也就说这道题要用到robots协议，而robots协议是存放在网站根目录下的，所以就把robots.txt放在网站根目录下，

 然后就得到了这个页面：

显示了三个目录，因为他说flag is here，那就进入第三个目录，

 第三题：backup

如果网站存在备份文件，常见的备份文件后缀名有：“.git” 、“.svn”、“.swp”“.~”、“.bak”、“.bash_history”、“.bkf” 尝试在URL后面，依次输入常见的文件备份扩展名。

而且题目问的是你知道index.php的备份文件名么，那就在index.php后面加上.git等文件名后缀，一个一个去试，最后就发现index.php.bak可行，能够得到一个bak文件，最后就用notepad++打开下载的文件，就得到了flag。

第四题：cookie 

 

这道题是关于网页cookie的题目，此外还与响应头有关。

 既然和cookie有关，那就查看网页的cookie，

F12打开开发者工具，在应用程序里面有cookie这一项，

点开look-here可以看到有个类似于网站目录的：cookie.php把他输入网址后面，就得到了这个

意思是查看http消息响应头，那就百度搜索如何查看http响应头，就搜到一个在线查看响应头的工具，将网址输入到里面，就能查看响应头的信息

这样就得到了flag。

第五题：disabled_button

 

 

题目内容就是一个不能按的按钮，果然是不能点击，既然是没有什么头绪，那我们就打开开发者工具查看一下他的网站源代码，我还真发现了猫腻，

可以看到图示标注的那句话里面的disabled class，意思大概就是添加了一个不能交互的元素，那我们就在元素里面把disabled给删除了，应该就能交互了。

删除之后按钮果然是能够点击了，然后点击按钮就得到了答案。