【网络安全 | CTF】攻防世界 simple_js 解题详析

原创 2024-10-18 10:50:30 7.1k 阅读 AI写同款

收录于

当前文章被以下社区和专栏收录：

秋说

码龄4年墨衍会员 · AI 创作全网分发 墨衍智能分发 本文由作者通过墨衍一键同步至各平台 1分发平台 7.1k累计阅读 7.2k平均单平台已同步平台优快云微信公众号微博知乎掘金百家号博客园抖音小红书 你的文章也可以这样分发 墨衍会员 ¥399起/年，写一次发全网我也要 →

3万+粉丝·1906篇原创

关注

CTF新手入门实战教程专栏收录该内容

¥19.90 ¥99.00

80篇文章

订阅专栏

超级会员免费看

AI摘要

本文详细分析了攻防世界CTF挑战simple_js的解题过程。通过代码审计，发现JavaScript中的全局变量污染问题导致解密函数始终返回'FAUX PASSWORD HAHA'。关键在于理解String.fromCharCode()方法，利用Unicode码值转换获取正确答案。

文章目录

题目描述：小宁发现了一个网页，但却一直输不对密码。(Flag格式为 Cyberpeace{xxxxxxxxx} )

在这里插入图片描述
页面源代码：

在这里插入图片描述

代码分析

function dechiffre(pass_enc){
   
   
    // 定义密钥，格式为 ASCII 码值的十进制数，以逗号分隔
    var pass

了解本专栏

订阅专栏解锁全文

超级会员免费看

标签

#web安全 #CTF #javascript #代码审计

零基础CTF入门指南：从解题思维到实战路径 网络安全竞赛（CTF）是模拟真实攻防场景的技术竞技场，其核心在于理解漏洞原理与攻击链。通过系统化的解题训练，参与者能将计算机网络、操作系统、编程语言等基础知识转化为实战能力，有效锻炼工程思维与问题解决能力。CTF的价值不仅体现在技术提升上，更是网络安全领域求职的硬通货，能直接证明学习者的钻研精神和实践水平。本文聚焦于Web安全、逆向工程等核心方向，为初学者搭建从环境配置、工具使用到实战解题的清晰路径，帮助其建立解题者思维，并融入SQL注入、逆向分析等关键技术点的解析，引导学习者从零开始获得即时正反馈，规划长阅读详情

相关推荐

CTF网络安全竞赛：从零到精通的实战学习路径与核心技能解析

网络安全竞赛（CTF）是信息安全领域重要的实战演练平台，它通过模拟真实攻防场景，将加密算法、网络协议、汇编指令等理论知识转化为具象化的技术挑战。其核心原理在于以赛代练，参赛者需综合运用逆向工程、漏洞利用、密码分析等技能解决各类赛题，从而提升对安全漏洞的发现、分析与防御能力。这种模式不仅为安全人才提供了高效的技能评估与筛选机制，也成为企业招聘中衡量实战能力的重要标尺。在应用场景上，CTF广泛覆盖Web安全、二进制漏洞利用、密码学分析、逆向工程及杂项等多个方向，是网络安全学习与社区交流的关键载体。本文聚焦于CT

weixin_30859423的博客 384

Web安全入门实战：攻防世界新手区12题详解与CTF基础技能解析

Web安全是网络安全领域的核心分支，其原理在于识别和利用Web应用中的设计缺陷或实现漏洞。从技术价值看，掌握Web安全基础不仅能提升系统防护能力，也是CTF竞赛和渗透测试的必备技能。在应用场景上，常见漏洞如信息泄露、弱认证、命令注入等广泛存在于各类网站和系统中。本文聚焦于CTF入门训练，通过攻防世界平台的新手区十二道Web题目，系统讲解信息搜集、前端基础、漏洞利用等实操技能，并融入Burp Suite工具使用和PHP弱类型比较等热词，帮助初学者构建扎实的Web安全知识体系。

weixin_34387468的博客 411

CTF入门到实战：构建网络安全竞赛系统性学习路径

网络安全竞赛（CTF）是提升实战攻防能力的重要途径，其核心在于模拟真实环境中的漏洞发现与利用过程。从Web安全、逆向工程到密码学与二进制漏洞，CTF覆盖了信息安全的多项关键技术领域。理解常见漏洞原理，如SQL注入、栈溢出等，并掌握自动化工具链的使用，能够有效提升漏洞分析与利用效率。通过系统性的环境搭建、分类型解题方法训练以及实战工作流构建，学习者可以建立起从基础到进阶的完整知识体系，并将这些技能应用于实际的CTF竞赛或安全评估场景中，其中Kali Linux和Python脚本编写是贯穿始终的关键工具与实践手

weixin_30561425的博客 372

CTF网络安全竞赛：从零基础到实战精通的系统化学习路径

网络安全的核心在于理解系统与应用的潜在风险，其原理涉及对软件漏洞、协议缺陷和加密机制的深入分析。掌握这些技术对于构建安全防线、进行渗透测试和漏洞挖掘具有重要价值，广泛应用于企业安全评估、红蓝对抗和合规审计等场景。在实战演练中，CTF竞赛通过模拟真实攻防环境，成为检验与提升这些技能的高效平台。本文聚焦于Web渗透中的命令执行漏洞和SQL注入等关键技术点，系统梳理了从环境搭建、工具使用到各方向（Web、逆向、密码学、二进制）的进阶路线，为学习者提供了一条清晰的实战成长路径。

weixin_33770878的博客 603

记录攻防世界simple_js题目，注意审题

8.看结果，没有啥内容，这时候还没意思到问题的严重性，还觉得挺简单的，找到内容输出一下就出结果，殊不知这一下就卡了半个点，期间也下断了，但是没都没发觉哪里有问题。今天做题的时候，有一道js的题分享给大家，我分析的细致一点，主要学思路，别嫌我啰嗦，高手跳过。9.直到我百无聊蓝的输出了一次123456，才发现输入啥都是一样的结果。11.由于对pass比较敏感，自己已经做过测试了，就是ascii码。总结：不要放过任何细节，一定注意审题，喜欢玩耍的朋友去玩吧。14.哎~发现问题了，格式不对，大家一定注意审题！

leavemyleave 371

SimpleJs:SimpleJs是为了简化您的javascript代码而无需使用jquery

简单JS 简单的js是为了简化您的javascript代码而无需使用jquery 功能ss。发布并获取请求 ss . get ( 'data.html' , { params : [ { name : 'ss' , value : 'js' } ] , success : function ( result ) { alert ( result ) } } ) ; ss . get ( 'data.html' , { success : function ( html ) { //Callback function } } ) ; ss . get ( 'data.html' , { params : [ { name : 'ss' , value : 'js' } ] , success : function ( result ) {

【论文阅读】High-Resolution Image Synthesis with Latent Diffusion Models

为了降低训练扩散模型的算力，LDMs使用一个Autoencoder去学习能尽量表达原始image space的低维空间表达（latent embedding），大大减少需要的算力。在RGB空间：编码器encoder：，将x压缩成低维表示解码器decoder: D，将低维表示z还原成原始图像空间。1. 加入Autoencoder（上图中左侧红色部分），使得扩散过程在latent space下，提高图像生成的效率；

weixin_57974242的博客 1万+

CAD的.dwg文件导入 ArcGIS：高程分析、坡度分析、坡向分析

CAD的.dwg文件导入 ArcGIS，再进行高程分析、坡度分析、坡向分析。

My_Echo_yM的博客 7236

DAC8568 Controller

DAC8568 ControllerDAC8568 简介串行接口三级目录 DAC8568 简介 PIN Description Name Description LDAC‾\overline{LDAC}LDAC load DACs SYNC‾\overline{SYNC}SYNC 低电平有效，电平触发控制, 该输入为输入数据的帧同步信号. 当SYNC为低，使能DAC内输入移位寄存器，并在随后的所有时钟沿采样数据。在第32个时钟之后，DAC更新输出。若不到32个时钟SYNC被置高(即

u010170039的博客 5130

YOLOv8【第七章：损失函数篇·第1节】一文搞定，IoU系列损失函数！

🏆 本文收录于《YOLOv8实战：从入门到深度优化》专栏。该专栏系统复现并梳理全网各类 YOLOv8 改进与实战案例（当前已覆盖分类 / 检测 / 分割 / 追踪 / 关键点 / OBB 检测等方向），坚持持续更新 + 深度解析，质量分长期稳定在 97 分以上，可视为当前市面上覆盖较全、更新较快、实战导向极强的 YOLO 改进系列内容之一。

**My Coding Family** 1198

OPTEE：TA命令操作的实现（三）

上文我们创建好了通道，现在就是操作，怎么操作TA呢？REE侧的CA执行创建会话操作成功后，CA就可使用获取到的调用来让TA执行特定的命令。通过ioctl的系统调用发送到OP-TEE的驱动中，保存在共享内存中，并触发安全监控模式调用（smc）切换到Monitor模式（ARMv7）或EL3（ARMv8）中进行安全世界状态的处理。

叫好与叫座虽然不是对立面，但想在同一个作品中达到双重效果很难。 1268

Word2vec核心模型精讲：CBOW与Skip-gram

Word2vec是Google提出的词向量模型，通过CBOW和Skip-gram两种神经网络架构将词汇映射到低维向量空间。CBOW通过上下文预测中心词，训练速度快但高频词表现更好；Skip-gram则相反，通过中心词预测上下文，适合处理生僻词。为解决softmax计算效率问题，Word2vec引入基于哈夫曼树的Hierarchical Softmax优化技术，将复杂度从O(V)降至O(logV)。文章详细解析了两种模型的原理差异，并演示了哈夫曼树的构造过程及其在词向量训练中的关键作用，这种结合词频的优

Trisyp的博客 530

国产数据库全解析：openGauss、OceanBase、TiDB与KingbaseES的核心优势与应用场景指南

本文将深入剖析openGauss、OceanBase、TiDB和KingbaseES这四款主流国产数据库的核心内容，并针对国产化过程中给出使用建议，以帮助企业根据自身需求选择合适的数据库解决方案。国产数据库在性能、扩展性、兼容性、安全性等方面展现出强大实力，能够满足不同行业、不同场景的需求。企业在进行国产化过程中，应充分考虑业务特点、技术栈、团队能力等因素，结合上述分析，选择最适合自身的国产数据库产品。随着国产数据库技术的持续发展与生态完善，它们将成为推动企业数字化转型、保障数据安全的重要力量。

java专栏 8779

【Android面试八股文】Handler如果没有消息处理是阻塞的还是非阻塞的？Looper 为什么要使用死循环？Android中为什么主线程不会因为Looper.loop()里的死循环卡死？

Handler如果没有消息处理是阻塞的还是非阻塞的？ Looper 为什么要使用死循环？ Android中为什么主线程不会因为Looper.loop()里的死循环卡死？

字节卷动 760

数学建模模型总结

这是本人在两年内准备参加数学建模竞赛搜集到的模型资料，已经经过了本人的筛选和整理，希望能够对准备参加数学建模竞赛的学弟学妹们提供一些帮助！

efm32 入门.pdf

本PDF共计22页，介绍的是操作驱动API，下载与否自己斟酌。

Data-Structures-and-Algorithm-Analysis-in-Java.pdf

作者: Weiss, Mark A. 出版社: Addison Wesley Data Structures and Algorithm Analysis in Java is an “advanced algorithms” book that fits between traditional CS2 and Algorithms Analysis courses. In the old ACM Curriculum Guidelines, this course was known as CS7. This text is for readers who want to learn good programming and algorithm analysis skills simultaneously so that they can develop such programs with the maximum amo...

Camera2Demo

在Camera2 的基础上进行封装，使得Camera2一堆初始化逻辑与Activity分离，降低耦合度，完成预览拍照并保存的操作

上一篇：【网络安全 | CTF】攻防世界 xff_referer 解题详析

下一篇：【网络安全 | CTF】攻防世界 php_rce 解题详析

CTF网络安全竞赛：从零到精通的实战学习路径与核心技能解析

weixin_30859423的博客

08-14

384