bugkuCTF——web1--web12（wp）

最新推荐文章于 2024-10-17 22:36:17 发布
原创 最新推荐文章于 2024-10-17 22:36:17 发布 · 516 阅读 · 2 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文介绍了一种通过Web漏洞获取flag的方法，包括F12检查、URL构造、Burp抓包等技术手段，并提供了详细的步骤说明。

Web1

F12查看得flag
在这里插入图片描述

Web2

只能输一位，F12修改源代码，验证得到flag
在这里插入图片描述

Web3

URL+？what=flag
在这里插入图片描述

Web4

用hackbar构造what=flag得flag。
在这里插入图片描述

Web5

题目描述矛盾，构造URL+？num=1x
在这里插入图片描述

最低0.47元/天 解锁文章
Bugku的WEB
qq_45946385的博客
07-29 293
这里写目录标题1.web22.计算器3.web基础$_GET4.web基础$_POST5.矛盾6.web37.域名解析8.你必须让他停下9.本地包含10.变量111.web5 1.web2 源代码 KEY{Web-2-bugKssNNikls9100} 2.计算器 字数限制了改一下我改成10了 flag{CTF-bugku-0032} 3.web基础$_GET 直接改？what=flag fl...
Bugku CTF_Web——需要管理员
最新发布
weixin_71914594的博客
10-23 799
再访问一下resusl.php看看。扫出来一个robots.txt。既然说我不是管理员记录我的ip。还是老样子先扫一扫目录。根据提示变成管理员看看。
新BugKu-web篇-web12
jiuyongpinyin的博客
05-29 171
web12 这道题先随便尝试一个用户名和密码 提示IP地址禁止访问，这道题这似曾相识的感觉，让我想到了一个html的请求头的参数： X-Forwarded-For，它是一个 HTTP 扩展头部。HTTP/1.1（RFC 2616）协议并没有对它的定义，它最开始是由 Squid 这个缓存代理软件引入，用来表示 HTTP 请求端真实 IP。如今它已经成为事实上的标准，被各大 HTTP 代理、负载均衡等转发服务广泛使用，并被写入 RFC 7239（Forwarded HTTP Extension）标准之中。 所
BugKu_web12
羽的博客
04-16 144
看到这这个的时候，一开始还以为是sql注入 结果，管理员系统，Username一般为admin，然后就是密码了 打开开发者模式： 看到注释：应该是密码，不过要base64解码 既然是说本地管理员系统，那么就是要将IP地址改成127.0.0.1 这里很多人用到是BP抓包，而我推荐火狐插件IP Address。 这样就可以轻松改变我们的IP地址，服务器就会 X-Forword-For是127.0.0.1. ...
BugKu Web WP
AlexYoung28的博客
08-23 638
变量1 这道题要好好说一下，因为以前不太知道这个套路。 我们来看看源码： 这个代码最重要的两部分：一是 正则匹配，对我们输入的进行检查。  二是  var_dump($$args)  这句代码。 我们可以想到 如果我们的 $args 的值 刚好是 这个php代码中的一个变量名称，那么我们 是不是就可以通过 $$args  将这个变量打印出来了。例如： 那么接下来，我们就该想到，我...
BugkuCTF（web wp）
Xi4or0uji
08-25 4782
web2 源码就有flag 文件上传测试 服务器挂了兼忘了当初怎么做了（捂脸 计算器 这题是要你计算一个数学公式的答案，但是发现只能输一个数字，改下maxlength，然后就能输入就有flag了 web基础$_GET 这题其实考get方法传参，get方法发个flag，payload：?what=flag web基础$_POST post方法传参 矛盾 这题要传一个num，...
ctf.bugku - game1
guanrongl的专栏
10-08 1788
给了score一个99999分数， sign 为 99999的base 64编码，还是失败；GET请求带有 score、IP、sign 三个参数，最后的flag 应该跟分数有关；同样的 ，也可以直接打断点，提前在前端修改分数；这样就不用考虑sign标志的事情；最后发现：sign是由zM+base6(score)+==构成。回到页面，打断点：逐步调试；在sign 加密这了打断点；修改sign ，重新发请求，得到flag。得到100分，没拿到flag。
CTF Web入门题目——Bugku Web 题目题解——发送HTTP请求篇（3道基础题目)
日熙的博客
07-14 6514
1）Bugku web基础$_GET: http://123.206.87.240:8002/get/ 题目： 思路： 关键是分析PHP代码： $what=$_get['what']———意思是用get方式提交what的值 if($what=='flag') echo 'flag{****}';———要令what变量与字符串‘flag’相等才 得到flag。 所以我们就直接在地址栏中加上?what=flag。 其中？是变量的标识，这句话表示有一个名为what，值为flag的变量。 答案为：flag{bug
Bugku——本地管理员
weixin_71914594的博客
10-17 1164
Bugku——本地管理员
bugkuCTFWEB部分WP
笑花大王
02-08 585
前言 之前做的今天整理下 这个有点乱不建议大家参考我的wp 这个主要是自己看的。部分的我做的时候打不开就没写。 练手地址:https://ctf.bugku.com 矛盾 矛盾考察的是PHP弱类型首先is_numeric()函数判断是不是数字或字符串 取反则必须要输入字符串而且这个字符串还要==1 这里用到PHP弱类型比较如:1=1aaaa 所以构造payload:http://12...
bugku web
沐目的博客
05-06 1086
bugku web8 可算是自己写出来一道代码审计的题，虽然比较简单。 <?php extract($_GET); if (!empty($ac)) { $f = trim(file_get_contents($fn)); if ($ac === $f) { echo "<p>This is flag:" ." $flag</p>"; } else { echo "&...
Bugku web(1—35)
weixin_30376163的博客
11-15 623
1.web2 打开网页： 哈哈，其实按下F12你就会发现flag。 2.计算器 打开网页，只是让你输入计算结果，但是发现只能输入一个数字，这时按下F12，修改一下参数，使之可以输入多个数字，修改后输入结果就拿到flag了。 3.web基础$_GET 30 打开网页，审计一下大概是要让其得到一个what=flag，于是在URL后面加上?what=fl...
Bugku-web题wp (持续更新)
Risker
03-14 1189
分享一下本人做题记录，不足之处多多指正。Never give up:打开链接发现自动提交了一个id=1，猜想是个注入，但是试了半天id=’1 and 1=1#之类的没什么用，应该不是注入。看源代码有个1p.html，去访问发现直接跳到了论坛主页，用burp抓一下包，发现burp的Proxy只能看到跳转到论坛主页的包，没什么用，要去Target看，抓包go一下得到一串：用escape和base64解...
bugku web wp
Wei_xino的博客
10-12 502
写在前面： 简单步骤不再复现，只是再复习一下知识点，可以挖深一点。 web2 F12 计算器 F12改html $get $post ? & hackbar 矛盾 很多解法 1加一个符号就行了 web3 F12，发现一串密文，Unicode解码 域名解析 我们百度这个是什么意思 是把域名解析到一个IP地址，然后在此IP地址的主机上将一个子目录与域名绑定。 互联网中的地址是数字的IP地址，...
Bugku-Web-Wp
热门推荐
Hydra的博客
11-02 3万+
目录   1.web2 2.计算器 3. web基础$_GET 4. web基础$_POST 5.矛盾 6. web3 7. 域名解析 8.你必须让他停下 9.本地包含 10.变量1  11.web5 12.头等舱 13.网站被黑 14. 管理员系统 15.web4  16.flag在index里 17.输入密码查看flag 18.点击一百万次 19. 备份...
Bugku CTF web12（Web）
ChaoYue_miku的博客
02-23 1274
0、打开网页，发现需要输入用户名和密码 用户名使用admin 密码可以爆破得到，也可以查看注释 将dGVzdDEyMw==进行base64解码得到密码：test123 1、输入用户名和密码 无法登录，提示只有本地管理员可以访问，由此考虑到使用xff方法修改IP为本地地址 2、使用BurpSuite抓包 3、添加：X-Forwarded-For: 127.0.0.1后发送 4、得到flag：flag{9876894a5ec96ef77b6d54ba5cd983bf.
BUGKU-WEB
wojiushilsy的博客
02-22 703
5.矛盾 打开链接，内容如下： $num=$_GET['num']; if(!is_numeric($num)) { echo $num; if($num==1) echo 'flag{**********}'; } is_numeric()：检测字符串是否只由数字组成，如果字符串中只包括数字，就返回Ture，否则返回False。(注意是只包括数字) 要求我们不能输入纯数字1，但是num...
Bugku-web
qq_45987641的博客
12-25 235
bugku-web wp 13.打开网页也不知道是什么gui蹲西 点击测试网页，发现url 为：“http://your test ip/index.php?file=show.php”中参数有file选项，让我们联想到了文件包含漏洞。构造url=“http://your test ip/index.php?file=php://filter/read=convert.base64-encode/resource=index.php” , 网页返回base64 php://filter/read/conv
BugKuWeb
paintShadow的博客
08-21 632
一、秋名山老司机 打开链接要求两秒之内计算出结果 明显跑脚本，代码如下： import requests import re url='http://123.206.87.240:8002/qiumingshan/' r = requests.session() requestpage = r.get(url) ans = re.findall('<div>(.*?)=?;</...
CTF挑战：WP1-ctfshow解题攻略
"WP1-ctfshow" 这篇文章主要介绍了CTF（Capture The Flag）比赛中的若干种解题技巧，特别是针对网络安全和Web安全领域的一些基本技术。CTF比赛通常涉及网络安全、逆向工程、密码学等多个领域，而这里的讨论集中在...
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值