HGAME 2019 WEB week1

1.谁吃了我的flag

一道源码泄露的题目，一开始试了http://118.25.111.31:10086/index.php.bak后发现并没有得到源码，随后尝试http://118.25.111.31:10086/.index.php.bak后得到源码和flag。

2.换头大作战

一提到“头”，自然就会想到利用burp修改请求头。

在输入框中输入123后

发现cookie当中的admin值为0，而且应该使用post的方式传入数据。

提示我们需要利用X-Forwarded-For伪造本地登录。

还需要修改user_agent为Waterfox/50.0。

最后要修改referer为www.bilibili.com。

得到最终的flag。

3.very easy web

一道代码审计类的题目，直接给出了源码。

if语句中的strpos("vidar",$_GET['id'])!==FALSE会返回vidar在id当中第一次出现的位置。也就是vidar不能出现在id当中。$_GET['id'] = urldecode($_GET['id'])是一个典型的url二次编码的问题。我们只需要传入vidar的url二次编码即可。payload:?id=%25%37%36%25%36%39%25%36%34%25%36%31%25%37%32

4.can u find me?

右键查看元素，得到提示。

进入f12.php。

利用burp查看f12.php的响应头，得到密码。


点击连接后发生了302重定向，利用burp查看HTTP history可以得到flag。