CTFHUB-WEB-信息泄露+密码口令【02】 dirsearch 、Githack使用

黑客攻防：phpinfo泄漏与Git漏洞探索
最新推荐文章于 2025-09-12 03:18:22 发布
原创 最新推荐文章于 2025-09-12 03:18:22 发布 · 1k 阅读 · 11 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

信息泄露

一、目录遍历

在这里插入图片描述

二、 phpinfo

在这里插入图片描述

三、 备份文件下载

网站源码

在这里插入图片描述
在这里插入图片描述
用御剑扫描
在这里插入图片描述
在这里插入图片描述
php开发的网站通常以www目录下的文件为访问路径，所以这里以网站方式打开txt文件，即可查看到flag

bak文件

bak是网页的备份
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

vim缓存

vim异常关闭会残留缓存
在使用vim时会创建临时缓存文件，关闭vim时缓存文件则会被删除，当vim异常退出后，因为未处理缓存文件，导致可以通过缓存文件恢复原始文件内容

以 index.php 为例：第一次产生的交换文件名为 .index.php.swp

再次意外退出后，将会产生名为 .index.php.swo 的交换文件

第三次产生的交换文件则为 .index.php.swn

在这里插入图片描述

在这里插入图片描述

.DS_Store

最低0.47元/天 解锁文章
CTFHub | 弱口令
尼泊罗河伯的博客
10-19 7626
此题目主要是了解对网站弱口令的爆破，首先查看网页，进行手工检查判断是否有网站验证码，此题没有网站验证码相对简单。那么可以使用抓包工具采用集束炸弹的方式进行暴力破解。最后检查攻击日志发现此题 flag 。
CTFhub技能树-Web-密码口令
2301_81988171的博客
08-14 2208
攻城锤模式与狙击手模式类似的地方是，同样只使用一个payload集合，不同的地方在于每次攻击都是替换所有payload标记位置，而狙击手模式每次只能替换一个payload标记位置。使用Burp爆破密码，猜测用户名是admin，只需要爆破密码即可，同时爆破用户名和密码太费时间了。，在返回包中找到flag，如果太多可以使用过滤只看200状态码的响应。设置一下资源池中的爆破速度和间隔时间，否则会出现503响应发生。在网上找“亿邮件网关”的默认密码，一个一个尝试。总体也不影响，按返回长度排序，密码是。
CTFHub-弱口令
2301_79634616的博客
04-10 768
有的是password，admin888，admin123，admin（0-999）用bp跑出来是666。密码后来看这篇文章打开思路去枚举。用户名用的是admin。
CTFHUB弱口令
evil_ming的博客
05-15 576
打开环境 试了些常用的像admin 123456之类的都显示user or password is wrong 干了，bp一下先 发送到intruder导入弱口令字典和纯数字字典然后得到密码admin123 （就离谱）
GitHack安装与配置完全指南
最新发布
gitblog_07528的博客
09-12 888
**GitHack** 是一个用于利用`.git`文件夹泄露的Python工具，它能够从公开的Git泄漏信息中还原历史版本的源代码，保持原有的目录结构不变。此项目特别适合于安全研究人员和开发者，帮助识别和处理Git仓库的潜在泄露风险，并且可用于模拟攻击场景下的源代码恢复。GitHack的核心功能在于无须额外的Git命令，仅依赖Python环境和内置的Git命令，即可实现源码的快速重构。 **主要...
CTFhub弱口令
plant1234的博客
06-03 726
弱口令: 启动环境发现： 发现后台登录，根据提示想到弱口令，用户名：admin 利用抓包弱口令密码集，爆破密码得到flag：
CTF HUB 弱口令
qq_43508668的博客
04-21 442
CTF HUB 弱口令 映入眼帘是一个管理后台 则用户名很可能是admin 我们打开 Burp Suite 进行 字典攻击 抓取数据包 然后 发送到intrutor 进行字典攻击 发现password 长度不同 则很有可能是密码 发现得到flag ...
CtfHub-wp（web）
01-23
Git泄露是另一个常见情况，通过`dirsearch`扫描并使用`GitHack`工具提取git历史记录，通过`git log`和`git show`命令可以获取flag。Stash功能在git中用于保存未提交的更改，使用`git stash list`查看堆栈，然后用`...
CTFHub-Web-密码口令-弱口令
weixin_56301399的博客
06-25 2347
弱口令的爆破
CTFHub -技能树（信息泄露，密码口令）
qq_45653588的博客
07-23 609
0X00 目录遍历 这题进入后是这样的文件目录形式，结合题目，尝试查看文件夹内内容，或者是可以选择使用扫描器寻找文件。 找到flag的txt文件，找到flag 0X01 PHPINFO 这题点击进入PHPINFO 尝试CTRL+F搜索flag，直接找到了flag。 0X02 备份文件下载-网站源码 进去后提示我们网站备份源码可能的文件名和后缀，这里可以使用它提供的名字进行组合爆破，也可以使用工具进行扫描。 在这我使用了御剑进行扫描，发现可疑目标，尝试访问www.zip,将文件下载下来 打开发现带
CTFHub--弱口令
qq_46927150的博客
04-25 9817
弱口令 题目链接https://www.ctfhub.com/#/skilltree 通常认为容易被别人（他们有可能对你很了解）猜测到或被破解工具破解的口令均为弱口令。 点开题目场景，会看到一个管理后台的登录页面。根据“管理后台”几个字，我们可以猜测用户名为admin 接着随便输入一个密码，打开bp，抓包 选中第二条记录，右击，“Send to Intruder”,打开选项卡Intruder，点...
目录扫描工具dirsearch
04-09
Dirsearch是一款用Python编写的目录扫描工具，可以用于发现Web应用程序中隐藏的文件和目录。它的特点是速度快、易于使用和高度可配置。Dirsearch提供了一个字典列表（默认自带），包含了常见的目录和文件名，同时也支持用户自定义字典。 使用Dirsearch时，用户只需指定目标URL和选择字典列表即可开始扫描。Dirsearch会尝试使用字典中的每个条目构建URL，并发送HTTP请求以检查响应是否存在。除此之外，用户还可以利用Dirsearch的多种选项进行自定义配置，例如设置线程数、忽略某些响应代码、设置代理等等。 常用的指令： -u 或 --url：指定目标URL。 -e 或 --extensions：指定扫描的文件扩展名，多个扩展名以逗号分隔。 -x 或 --exclude-extensions：指定不需要扫描的文件扩展名，多个扩展名以逗号分隔。 -w 或 --wordlist：指定使用的字典文件路径。 -t 或 --threads：指定线程数，默认为10。 -r 或 --recursive：设置是否递归扫描子目录，默认为否。 -s 或 --simple-repo
CTF-Hub弱口令
qq_60905276的博客
11-15 667
抓包爆破 得到flag
CTF学习第十九站——CTFHUB的密码口令弱口令
qq_41174589的博客
10-14 813
查看源代码没有发现提示，小小的爆破一手逝逝。先抓包看请求方式，为GET。发现有一个长度不同的。输入密码得到flag。
CTFHub解题笔记之Web密码口令：1.弱口令
CL1799438883的博客
12-11 1081
题目位置网页显示。
CTFHUB 弱口令解题
qq_63575829的博客
04-06 1070
因为叫管理后台，猜测用户名为admin，先以这个用户名进行爆破 用户名输入admin，密码随意输入，登陆时使用burp抓包 发送到intruder，并设置参数载入弱口令字典 爆破得到密码 登陆得到flag ...
CTF之web学习记录 -- 网站信息搜集
lifanxin的博客
07-06 839
网站信息搜集概述GitHackDirSearch总结 概述   我个人自学web已经有了一段时间了，但总感觉少了些什么，从做题角度上来讲，遇到的web题要么是直接给了源码需要审计的，要么是会给足够的提示，让你知道是考察注入还是文件上传等。那么如果不给源码，不给提示呢，我们面对一个功能众多的网站该如何下手？此时就需要这一章的内容，我愿称其为web学习中灵魂的章节。   接下来我将根据做题的积累，介绍下ctf中常用的一些信息搜集思路和工具。 GitHack   GitHack   现在的开发人员使用git进行版
ctfhub-web-信息泄露-弱口令/默认口令
2301_80162151的博客
02-29 902
弱口令是网络安全十大安全漏洞之一，所谓的口令其实就是我们的密码，而弱口令就是相对来说比较容易被破解的密码，它会对信息安全造成严重的安全隐患。弱口令我们可以简单的理解为能让别人随意就猜到的密码，比如abc、111、123、123456、88888888等等诸如此类的密码。除此之外大家都能知道的密码称之为弱口令。④口令为本人相关的名字字母，生日，易被发现的邮箱号，账号名昵称名。既然是弱口令就需要burp爆破，就在测试你密码本。既然是默认口令，在网站上是可以搜到的。将密码添加，简单输入一些弱口令密码。
CTFHUB刷题 密码口令/弱口令
null1024的博客
09-05 5044
一、题目描述与分析 由题意，何为弱口令，指的是通常认为容易被别人（他们有可能对你很了解）猜测到或破解工具的口令均为弱口令。这里我们可以尝试暴力破解 二、解题过程 1.登入题目页面，如图 猜测需要提供2.用户名和密码，才能拿到flag,猜测用户名为admin 2.利用Burpsuite抓包 注意到 name=admin&password=123456&referer= 下面进行暴力破解 三.暴力破解 右键-->Send to...
ctfhub技能树web密码口令弱口令
01-05
### CTFHub Web 安全中的弱口令检测与防御 #### 弱口令的危害 弱口令是指容易被猜测或破解的密码，这使得攻击者能够通过暴力破解或其他手段获取访问权限。一旦成功入侵，攻击者可以执行恶意操作，窃取敏感数据，...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值