Bugku web管理员系统

最新推荐文章于 2025-01-31 10:49:50 发布

原创最新推荐文章于 2025-01-31 10:49:50 发布 · 1.3k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#web

本文记录了一次尝试通过修改HTTP头部信息X-FORWARDED-FOR来伪造IP地址的经历，并分享了在此过程中遇到的问题及解决方法。

在做这道题时，一开始看到ip被ban,就想在网上查一下怎样伪造ip地址，然后在网上查到了X-FORWARDED-FOR:127.0.0.1，通过这个请求头可以伪造为本地ip，但是怎样尝试都无法得到响应，仔细一看是这句活的位置写错了。。。。

正确位置：

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

chesterblue

关注关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
举报

举报

Bugku之本地管理员

金帛的博客

03-16

4428

BugkuWP

Bugku——本地管理员

weixin_71914594的博客

10-17

1164

Bugku——本地管理员

参与评论您还未登录，请先登录后发表或查看评论

Bugku的WEB

qq_45946385的博客

07-29

293

这里写目录标题1.web22.计算器3.web基础$_GET4.web基础$_POST5.矛盾6.web37.域名解析8.你必须让他停下9.本地包含10.变量111.web5 1.web2 源代码 KEY{Web-2-bugKssNNikls9100} 2.计算器字数限制了改一下我改成10了 flag{CTF-bugku-0032} 3.web基础$_GET 直接改？what=flag fl...

Bugku：web 管理员系统

qq_26961571的博客

06-23

360

这是第一次接触有关账号密码的题目了，需要提交表单的那种。打开网址之后。有一点像SQL注入的题目，所以还是老规矩，先打开我们最喜欢的源代码查看，看有木有线索【好像侦探啥都木有啊啊啊啊！！！不死心，再试试提交表单之后的情况。随便乱输入了账号和密码提交。 IP禁止访问？？？难道说这是有关IP的题目。继续查看源代码也是出来这行字，其他什么都没有。等等...【脑海中想起蔡徐坤的wait w...

BugKu 管理员登录

qq_39585393的博客

10-16

315

接下来就是伪造个本地IP，查阅后使用burpsuit的repeater伪造。这里用到了X-Forwarded-For，简单来说这个本来是用于确定客户端的真实地址的，但是可以伪造然后相当于把消息地址修改了。

Bugku CTF_Web——需要管理员

weixin_71914594的博客

10-23

799

再访问一下resusl.php看看。扫出来一个robots.txt。既然说我不是管理员记录我的ip。还是老样子先扫一扫目录。根据提示变成管理员看看。

Bugku---web---本地管理员

weixin_47450099的博客

04-30

335

Bugku---web---本地管理员 网络安全

BugKuCTF WEB

让我再浪一会的博客

11-24

1055

文章目录BugKuCTF WEB一、web2二、计算器三、web基础$_GET四、web基础$_POST五、矛盾六、web3七、域名解析八、你必须让他停下九、变量1十、web5十一、头等舱十二、网站被黑十三、管理员系统十四、web4十五、flag在index里十六、输入密码查看flag BugKuCTF WEB 平台地址一、web2 进入网页，查看源代码，在其中找到flag 二、计算器进入网页，根据题目可得知需要输入运算结果，但限制了输入的数字的个数，查看网页的JS代码，将 maxlength =

CTF BugKu平台—(Web篇①）_ctf bugku web

最新发布

2501_90392009的博客

01-31

1821

发现是一个一直在闪的页面使用bp 抓包发送到requencer --send 随便点几下在到10.jpg 发现了flag。即num既不能是数字字符，但是要等于1，我们可以想到用科学计数法表示数字1，既不是纯数字，其值又等于1因此。这里的sign显示是加密的。这里是zMNTA,这里我好几次都是zM开头的 ==结束的，查看源代码。是一个弹窗 F12 找到一些线索，估计是编码，看了一下下面的评论知道是Unicode编码。通过url传入what的值，让其等于flag，直接构造url就得到flag。

bugku 本地管理员

m0_62709637的博客

07-04

602

bugku 本地管理员

Bugku---本地管理员

2201_75556700的博客

03-07

1413

【代码】Bugku---本地管理员。

bugku 管理员系统与 X-Forwarded-For

孤的博客

09-12

3057

管理员系统60 http://123.206.31.85:1003/ 答案： The flag is: 85ff2ee4171396724bae20c0bd851f6b 查看网页源代码在网页源代码中除最后一行注释代码外，没有什么其它值得特别注意的代码 dGVzdDEyMw== 很明显是Base64编码格式，解码： test123 登录根据返回提示可以看出肯定...

bugku:web-本地管理员

2401_87409911的博客

10-08

291

老规矩先看源码，(特别注意注释）发现base64编码，解码之后得到test123,于是拿到原网页中去试发现不行，ip错了，提示要本地管理员。在请求头加入X-Forwarded-For:127.0.0.1。说明我们在提交账号密码时要将服务器识别到的Ip改为本地ip。于是用burp打开内嵌浏览器在提交后抓包，然后在主体参数中输入账号admin。1.进去以后发现要输入账号密码。

Bugku 本地管理员

qq_63575829的博客

12-10

333

在其中任意一行加入xff 这里加在HOST下放包。尝试作为密码输入（一样的改xff）这题需要用到bp伪造xff的知识。（即修改xff头伪造访问的IP）放包出错大概是账号密码的原因。随便输入内容提示IP禁止访问。

Bugku web(1—35)

weixin_30376163的博客

11-15

623

1.web2 打开网页：哈哈，其实按下F12你就会发现flag。 2.计算器打开网页，只是让你输入计算结果，但是发现只能输入一个数字，这时按下F12，修改一下参数，使之可以输入多个数字，修改后输入结果就拿到flag了。 3.web基础$_GET 30 打开网页，审计一下大概是要让其得到一个what=flag，于是在URL后面加上?what=fl...

BUGKU 管理员系统

HHHanks的博客

02-13

335

BUGKU 管理员系统 0x00 http://123.206.31.85:1003/打开网站看到一般管理员系统账号是admin 0x01 查看源代码在元素那发现有一串疑似base64编码的注释解码得test123 猜测是密码 0x02 那么现在账号：admin 密码：test123 登录发现 0x03 查阅资料得知需要伪装本地IP X-Forwarded-For: ...

bugku 管理员系统

Superpig的博客

11-08

538

查看源代码发现注释&lt;-- dGVzdDEyMw== --&gt; ，base64解码得到test123 , 猜这个是密码尝试输入结果得到“IP禁止访问，请联系本地管理员登陆，IP已被记录. ”。根据这个提示，利用X-Forwarded-For来伪造成本地IP。方法： 1、打开burpsuite，截取登录信息，添加伪造的请求头，此时再随意输入用户名、密码时，提示Invalid cred...

CTF之Bugku 管理员系统

weixin_41607190的博客

10-07

429

原理：抓包，修改请求头的x-forwarded-for，欺骗网站请求的ip地址把请求的ip修改成本地127.0.0.1 user是admin pass在html代码的注释中

ctf-bugku 本地管理员

weixin_43256484的博客

08-23

422

2.尝试登陆，用户名密码设置为test123后，返回“IP禁止访问，请联系本地管理员登陆，IP已被记录”，遂修改登录ip。BP抓包后发至Repeater，在请求头中增加X-Forwarded-For:127.0.0.1。这不就是本地登录ip嘛，毕竟让联系本地管理员登录。并进行弱口令尝试，用户名密码test123/admin test123，不行的话加字典进intruder进行爆破。1.F12看到注释dGVzdDEyMw== ，Base64解码后发现为test123。3.登录成功获得flag。