xctf攻防世界web新手练习区--write up

最新推荐文章于 2025-05-22 00:20:17 发布

原创

最新推荐文章于 2025-05-22 00:20:17 发布 · 3.3w 阅读

72 ·

CC 4.0 BY-SA版权

文章标签：

#网络安全 #ctf #攻防世界

文章目录

声明
view source
get post
robots
backup
cookie
disabled_button
simple js
xff referer
weak auth
webshell
command execution
simple php

声明

此文是本人第一次写write up，作为一名萌新，如有描述不当，欢迎大家批评指正。

view source

题目描述：X老师让小宁同学查看一个网页的源代码，但小宁同学发现鼠标右键好像不管用了。

打开题目后显示FLAG is not here，而且题目描述提示鼠标右键不管用了。这时想到F12键打开开发者工具，查看器可以查看页面源代码。F12----查看器直接得到答案。
在这里插入图片描述

get post

**题目描述:**X老师告诉小宁同学HTTP通常使用两种请求方法，你知道是哪两种吗？
在这里插入图片描述
刚打开题目，要求“请用GET方式提交一个名为a,值为1的变量”，GET方一般为在url后拼接参数，只能以文本的方式传递参数。因此直接在http://111.198.29.45:39706/后进行拼接http://111.198.29.45:39706/?a=1，输出结果为
以get方式提交参数后，又要求“请再以POST方式随便提交一个名为b,值为2的变量”，提交post请求用火狐插件hackbar，
在这里插入图片描述
执行后输出cyberpeace{xxxxxxxxxxxxxxxxxxxxxxxxx}

robots

题目描述：X老师上课讲了Robots协议，小宁同学却上课打了瞌睡，赶紧来教教小宁Robots协议是什么吧。
在这里插入图片描述

首先我们来学习一下Robots协议。

Robots协议（也称为爬虫协议、机器人协议等）的全称是“网络爬虫排除标准”（Robots Exclusion Protocol），网站通过Robots协议告诉搜索引擎哪些页面可以抓取，哪些页面不能抓取。
robots协议通常以robots.txt存在，robots.txt文件是一个文本文件，robots.txt是一个协议，而不是一个命令。robots.txt是搜索引擎中访问网站的时候要查看的第一个文件。robots.txt文件告诉蜘蛛程序在服务器上什么文件是可以被查看的。

robots.txt文件写法：

User-agent: * 这里的代表的所有的搜索引擎种类，是一个通配符
Disallow: /admin/ 这里定义是禁止爬寻admin目录下面的目录
Disallow: /require/ 这里定义是禁止爬寻require目录下面的目录
Disallow: /ABC/ 这里定义是禁止爬寻ABC目录下面的目录
Disallow: /cgi-bin/.htm 禁止访问/cgi-bin/目录下的所有以".htm"为后缀的URL(包含子目录)。
Disallow: /?* 禁止访问网站中所有包含问号 (?) 的网址
Disallow: /.jpg$ 禁止抓取网页所有的.jpg格式的图片
Disallow:/ab/adc.html 禁止爬取ab文件夹下面的adc.html文件。
Allow: /cgi-bin/　这里定义是允许爬寻cgi-bin目录下面的目录
Allow: /tmp 这里定义是允许爬寻tmp的整个