CTF-web-004

web日常训练，题目源于bugku

bp

解题

标题提示：使用burp和top 1000爆破

使用蓝BP抓包：

先将包转发到重发器：

将包配置到狙击手：


爆破结果：

难道是哪里思路有问题？
思路开叉……！->排除掉所有带js的包试试：
这里使用橙BP：



得到flag

总结

根据相同的包，在burp上面配置规则过滤掉。

知识点在于：配置数据包过滤规则。

本地管理员

解题

得到题目

思考方向：

• 对登录窗口实行爆破
• 对登录窗口的一串n进行解密
• XFF伪造攻击
  
  使用admin和test123登录，抓包并且修改xff。
  
  
  

总结

XFF伪造欺骗：

X-Forwarded-For: 127.0.0.1

主要功能：伪造IP地址来源。

eval

解题

得到题目：


分析下函数：

具体操作都是针对flag文件的
思路：显示flag文件的内容。
下面是列表显示

flag提交

总结

web的十大漏洞之一：文件包含。