继续写题. 进入该网站,可以看到显然题目给出了一个假的flag.再看第二句话,说题目里存在shell.于是用御剑扫描一下后台. 如上图所示,扫出了一个叫shell的包.于是常识性地在URL加上shell.php/,回车,但是发现网页没有响应具体的提示,burpsuit也好像没有提示.新手赛的时候没有做出来.因为在毫无提示的前提下,个人感觉这一步最难.不过通常做不出来的时候可以读一下题目.这里可以看到题目的名字,caidao(好像是国内某位大牛研发出来的软件).尝试将题目放到caidao上扫描.…

写一写web新手赛的题. 这是签到题,开始时需要耐心等待页面中字母全部出现. 字母全部出现后,会跳转到另一个界面,如上图所示.F12没什么特别的地方,这题应该有点难度. 按往常一样,先抓包. 按英文提示,在User-Agent修改浏览器为GWHT后,发包. 得到上图.按照响应的英文指示,加上Referer: www.gwht.com(注意冒号后面加上英文空格),发包.这里解释一下,Referer是告诉服务器我是从哪个页面链接过来的,然后服务器对此可以获得一些信息用于处理. 得到上图.这里响应了一…

学校信安协会第一次培训结束后的作业,要求把攻防世界的web新手区题目做一遍并写题解. 第一题 view_source 查看源代码右键不能用,但是F12能用,于是找到源代码 输入到flag框即可 后来在网上看到可以在url前面插入view-source:来查看网页源代码 第二题 get_post 题目描述点明了该题要用到关于http的两种请求方式,那么就要学习一下http的几种请求方式. 查阅各种博客之后,发现get的请求方式直接在url框内输入就好,而post的请求方式需要用其他方式写入参数,有…

攻防世界web新手区 第一题view_source 第二题get_post 第三题robots 第四题Backup 第五题cookie 第六题disabled_button 第七题simple_js 第八题xff_referer 第九题weak_auth 第十题webshell 第十一题command_execution 第十二题simple_php 第一题view_source f12查看源码 第二题get_post 1按照提示先get一个a=1,在post一个b=2,就行 第三题robots…

web新手练习区一至四题 第一题view_source: 题目说右键不管用了,我们先获取在线场景来看一看,我们看到这样一个网页,并且右键确实点了没什么反应,而用到右键一般就是查看网页源码 用快捷键(F12或是Ctrl+shift+i)打开网页源码即可找到flag flag即为: cyberpeace{c602a5e3d03c281beac2a5b0b3610ae6} 第二题get_post: 需要用到工具:hackbar http通常使用两种请求方法是get和post也就是题目的名称所提示的一样…

0x01 view_source 0x02 get_post 这道题就是最基础的get和post请求的发送 flag:cyberpeace{b1e763710ff23f2acf16c2358d3132d3} 0x03 rebots Rebots.txt 是用来声明该网站中不想被爬虫访问的部分,这道题直接访问rebots.txt文件 接着访问 f1ag_1s_h3re.php 页面即可得到flag flag cyberpeace{306fadfe172cc2b119b280d295ff0a1f}…

1.view_source 既然让看源码,那就F12直接就能看到. 2.robots 先百度去简单了解一下robots协议 robots协议(robots.txt),robots.txt文件在网站根目录下.robots.txt是搜索引擎中访问网站的时候要查看的第一个文件.当spider(网络蜘蛛)访问一个站点时,它会首先检查该站点根目录下是否存在robots.txt,如果存在,搜索机器人就会按照该文件中的内容来确定访问的范围:如果该文件不存在,所有的搜索蜘蛛将能够访问网站上所有没有被口令保护的页…

xff_referer:http://111.198.29.45:43071 打开网址,显示出这个页面: X-Forwarded-For:简称XFF头,它代表客户端,也就是HTTP的请求端真实的IP,只有在通过了HTTP 代理或者负载均衡服务器时才会添加该项 HTTP Referer是header的一部分,当浏览器向web服务器发送请求的时候,一般会带上Referer,告诉服务器我是从哪个页面链接过来的 1.打开firefox和burp,使用burp对firefox进行代理拦截,在请求头添加X-…

  1. 题目描述:X老师想让小明同学查看一个网页的源代码,但小明却发现鼠标右键不管用了.  http://111.198.29.45:53629 通过阅读题目描述分析,我们需要查看源码,但是鼠标右键不能用了,可知一定是通过js禁用了鼠标事件,这个时候有三个方向: 键盘F12可以查看源码: 禁用浏览器的js 在目标地址前面输入 ‘view-source:’查看 操作步骤 键盘F12 敲一下键盘上的F12,出现开发者工具: 点击查看器,可以看到整个DOM结构. 下方有个被注释的一串字符串,找到fl…

直接f12出来 先用get后加/?a=1 然后火狐装hackbar(老版本)f12 post b=2 搞定 Hackbar:https://github.com/Mr-xn/hackbar2.1.3 更简单 直接/robots.txt 有一个php网页 再加在后面打开就行     蜘蛛扫描可以访问的网页 直接/index.php.bar 会下载一个.bar文件 然后改为.txt 查这个网页的cookie 给我们提示 一般有两种方法方法一: 删除代码:disabled=""然后点击网页上…