BUUCTF | Web [极客大挑战 2019]EasySQL-- BUUOJ WriteUP

导语:

日刷,日省,日益也。我们要从最简单的题目开始做起,一点一点的培养我们的网络安全技术。网络信息化建设突飞猛进,互联网基础环境全面优化,网络空间法治化快速推荐,为促进网络空间日渐清朗、网络文化全面繁荣、提升以互联网为基础的国家经济发展重要驱动力,网络安全与我们每个人息息相关。

网络低龄化日趋严重,网络安全人才培养应从娃娃抓起!

网络安全人才稀缺!网信办相关部门负责人说:"目前我国网络安全方面人才缺口仍然很大,相关专业每年本科、硕士、博士毕业生之和仅8000余人,而我国网民数量近7亿人。"阿里安全部副总裁杜跃进表示,网络安全对从业者的要求非常高,目前网络安全人员培养跟不上行业需求。网络安全人才需要科班培养和社会培养齐头并进,而科班培养存在教师,教材,教学资源和环境如何跟上网络技术发展的问题。

前言:

深入学习贯彻总体国家安全观、增强忧患意识,是每一位公民的责任。网络安全同样与国家安全息息相关,近些年的事情我们都历历在目,我们青少年不仅仅要肩负国家安全,更重要的是以爱国主义为核心的民族精神

青少年网络安全(原中学生CTF)是以帮助青少年学习信息安全与网络技术为基础核心,将贯彻网络强国的国家战略为基础内涵的学习、练习平台,尽可能多的给予大家更多的学习资源。

题目说明:

### BUUCTF 极客挑战 2019 Secret File Writeup 解题思路 此题目属于文件包含漏洞(File Inclusion Vulnerability)类型的Web安全挑战。以下是详细的分析过程: #### 题目背景 通过F12查看网页源码,发现了隐藏的URL链接[^1]。点击页面中的按钮后跳转至另一页面,并进一步推测需要利用Burp Suite抓包工具捕获请求并分析返回的数据。 在抓包过程中,发现了一个PHP脚本的关键逻辑部分: ```php <?php highlight_file(__FILE__); error_reporting(0); $file = $_GET['file']; if (strstr($file, "../") || stristr($file, "tp") || stristr($file, "input") || stristr($file, "data")) { echo "Oh no!"; exit(); } include($file); // flag 放置在 flag.php 中 ?> ``` 这段代码的功能是对`$_GET['file']`参数进行过滤,防止用户输入特定字符串来访问敏感文件。然而,由于过滤条件不够严格,仍然可以通过构造特殊路径绕过限制[^3]。 #### 利用方法 目标是读取服务器上的 `flag.php` 文件内容。经过多次尝试以及参考其他选手的经验分享得知可以使用 `/secr3t.php?file=flag.php` 的方式成功获取Flag值[^4]。 最终提交正确答案即可完成该CTF题目解答流程。 ```bash curl http://example.com/secr3t.php?file=flag.php ``` 以上命令用于模拟向目标站点发送带有指定查询参数的HTTP GET 请求操作。 ### 注意事项 - 在实际渗透测试活动中,请务必遵循法律法规,在授权范围内开展工作。 - 学习此类技术主要用于提高个人网络安全意识及防护能力而非恶意攻击他人系统。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值