【bugku 管理员系统】的更多相关文章

bugku 管理员系统

这一个是伪造ip X-FORWARDED-FOR:127.0.0.1 用到了XFF头 首先打开网站会发现一个登录界面 然后用开发者工具看一下 后台会发现一串用base64加密的密文 用base64解密之后是 test123 怀疑这个是管理员的密码 然后用账号admin密码test123登录 用bp抓包 然后伪造ip  X-FORWARDED-FOR:127.0.0.1 如下图片:点击一下go就可以了…

bugKu管理员系统

先F12看看,有啥发现的,发现一段注释... 感谢那个群友分享了怎么辨别base64编码,通常是A-Z,a-z,0-9,+,/,=.最后通常有0个到2个等号,我也成功用在线解码器,确实是base64编码,解出test123,所以密码出来,那用户名,先用admin,试试看, 有个本地,暗示着我们要把ip伪装成本地,这时候要在请求头上加入X-Forwarded-For=127.0.0.1 用bp修改你的请求(这步可以百度).…

Bugku-CTF之管理员系统+程序员本地网站

Day12 管理员系统 http://123.206.31.85:1003/ flag格式flag{}  …

bugku web 管理员系统

页面是一个登陆表单,需要账号密码,首先f12查看源代码,发现有一段可疑的注释,明显是base64,解码得到test123,似乎是一个类似于密码的东西,既然是管理员,就猜测用户名是admin,填上去试一下哇 看到这里我不会做了,题解中说可以伪造自己是本地管理员,即伪造来源ip,用burpsuite拦包,加一行x-forwarded-for:127:0:0:1,就得到flag了 值得注意的一点是,我一开始用的是client-ip,发现不行,似乎业界的标准是x-forwarded-for,切记切记…

destoon 给超级管理员系统权限（管理员管理，日志管理等）

destoon 后台某些系统权限除了网站创始人之外其他超管事没有权限的,现需要给其他超级管理员添加普通管理员的权限. 1.首先  admin/global.func.php  admin_check函数 ,去掉admin  这样超管才能访问 ?file=admin } else if($_admin == 1) {​     //if(in_array($file, array('admin', 'setting', 'module', 'area', 'database', 'template…

Crusher Django Tutorial(5) 使用内置管理员系统

http://crusher-milling.blogspot.com/2013/09/crusher-django-tutorial5-using-admin.html 顺便学习一下FQ Crusher Django…

IP欺骗(XFF头等)

很多时候需要伪造一些http头来绕过WAF 1.X-Forwarded-For: 简称XFF头,它代表客户端,也就是HTTP的请求端真实的IP,只有在通过了HTTP 代理或者负载均衡服务器时才会添加该项.它不是RFC中定义的标准请求头信息,在squid缓存代理服务器开发文档中可以找到该项的详细介绍.标准格式如下:X-Forwarded-For: client1, proxy1, proxy2. 这一HTTP头一般格式如下: X-Forwarded-For: client1, proxy1, pr…

bugku—Web_Writeup

Bugku_Web_Writeup Writeup略显粗糙~~ 部分Web题没有得到最后的flag~只是有了一个简单的思路~~ Web1: 如上,打开题目答题网址后就会弹出一张图片,看图片就可以发现是一段PHP源码,通过对源码的解析得出以下: <?php header("Content-type:text/html;charset=utr-8"); error_reporting(0); include 'flag.php'; $b = 'ssAEDsssss'; extract…

Bugku web(1—35)

1.web2 打开网页: 哈哈,其实按下F12你就会发现flag. 2.计算器 打开网页,只是让你输入计算结果,但是发现只能输入一个数字,这时按下F12,修改一下参数,使之可以输入多个数字,修改后输入结果就拿到flag了. 3.web基础$_GET 30 打开网页,审计一下大概是要让其得到一个what=flag,于是在URL后面加上?what=flag,就得到flag了. 4.web基础$_POST 30 打开网页,审计一下大概是要让你上传一个what=flag,用hackbar来post一下就…

acm系统开发笔记

时间:     2016/2/29 遇到的困难:  数据库配置的mysql和java(Date)不一致,出现下面错误 Date date = new Date(); SimpleDateFormat sdformat = new SimpleDateFormat("yyyy-MM-dd-HH-mm-ss");//24小时制 String LgTime = sdformat.format(date); SimpleDateFormat sp = new SimpleDateFormat(…