当前位置： 首页 > news >正文

2023年中职“网络安全“—Web 渗透测试①

news 2026/4/28 3:32:29

2023年中职"网络安全"—Web 渗透测试①

  • Web 渗透测试
    • 任务环境说明：
      • 1.访问地址http://靶机IP/task1，分析页面内容，获取flag值，Flag格式为flag{xxx}；
      • 2.访问地址http://靶机IP/task2，访问登录页面。用户user01的密码为1-1000以内的数，获取用户user01的密码，将密码作为Flag进行提交，Flag格式为flag{xxx}；
      • 3.访问地址http://靶机IP/task3，访问购物页面。分析页面内容，获取flag值，Flag格式为flag{xxx}；
      • 4.访问地址http://靶机IP/task4，分析页面内容，获取flag值，Flag格式为flag{xxx}；
      • 5.访问地址http://靶机IP/task5，分析页面内容，获取flag值，Flag格式为flag{xxx}。

Web 渗透测试

任务环境说明：

  • 服务器场景：未知
  • 服务器场景操作系统：未知（关闭连接）

1.访问地址http://靶机IP/task1，分析页面内容，获取flag值，Flag格式为flag{xxx}；

在这里插入图片描述

根据题目访问网页，发现是一个空白页面，我们尝试查看网页源代码，也是什么都没有

在这里插入图片描述

使用dirb工具来探测一下网页目录下，是否有啥隐藏信息。

命令：dirb http://192.168.110.140/task1/ /usr/share/wordlists/dirb/big.txt  -x /usr/share/wordlists/dirb/mutations_common.txt

使用big.txt这个字典，-x是指定一下探测文件的后缀

在这里插入图片描述

探测出来一个task.txt的可疑目录，我们访问发现了一串数字

在这里插入图片描述

36363663363136373762353936353733326337393666373532303637366637343230373436383635323036363639373237333734323036363663363136373764

对这串数字进行解码，感觉像ascii编码，利用kali中的burp的Decode模块进行解码

在这里插入图片描述

解码两次获的flag
flag{Yes,you got the first flag}

2.访问地址http://靶机IP/task2，访问登录页面。用户user01的密码为1-1000以内的数，获取用户user01的密码，将密码作为Flag进行提交，Flag格式为flag{xxx}；

访问/task2发现一串英文，没有题目中所需的登录框，我们再次尝试访问index.html这个网页找到登录框

在这里插入图片描述
在这里插入图片描述

根据题目，使用burp抓包，然后爆破密码
利用burp的Intruder的模块，进行批量破解

在这里插入图片描述
在这里插入图片描述

通过返回的包的长度，发现72与其他包的长度不一样

在这里插入图片描述

查看响应，获得flag
在这里插入图片描述

flag：flag{Yeah!U have the password!}

3.访问地址http://靶机IP/task3，访问购物页面。分析页面内容，获取flag值，Flag格式为flag{xxx}；

在这里插入图片描述

根据题目意思和界面内容，应该是修改物品的价格，然后获得flag
这题还是利用burp抓包，然后修改数据

在这里插入图片描述

我们尝试修改物品价格，发现不行

在这里插入图片描述

再次尝试修改物品数量

在这里插入图片描述

获得flag。

flag{CTF IS SO FUUNY!}

4.访问地址http://靶机IP/task4，分析页面内容，获取flag值，Flag格式为flag{xxx}；

访问页面task4页面，第一个让我们选择偶数，第二个让我们输入 I am hare，第三个让我们选择ssh的端口号

在这里插入图片描述

第一个选择002、第二个输入Iah、第三个选择端口22

在这里插入图片描述

当点击提交的时候，发现按钮无法点击，猜测可能是前端代码控制，我们F12删除代码
将input的表单中的disabled属性删除

在这里插入图片描述

但这时候提交还是不了，发现上面有个传入参数为success(成功)，但是值为false(假)，我们要把值改为true
不然不会成功。

在这里插入图片描述

点击提交，获得flag

在这里插入图片描述

5.访问地址http://靶机IP/task5，分析页面内容，获取flag值，Flag格式为flag{xxx}。

访问/task5

在这里插入图片描述

payload:?password[]=

但是返回不了flag，不知道是不是payload错误了

相关文章：

2023年中职“网络安全“—Web 渗透测试①

2023年中职"网络安全"—Web 渗透测试① Web 渗透测试任务环境说明：1.访问地址http://靶机IP/task1，分析页面内容，获取flag值，Flag格式为flag{xxx}；2.访问地址http://靶机IP/task2，访问登录页面。…...

编程日记 2023/11/24 4:29:54

Android——资源IDnonFinalResIds和“Attribute value must be constant”错误

一、异常描述 通过资源ID引用资源提示错误 Attribute value must be constant 二、解决方案 在根目录下的文件 gradle.properties 中添加如下配置，然后Sync Project android.nonFinalResIdsfalse 三、问题原因 android.nonFinalResIds 是Android开发中一个用于解…...

编程日记 2023/11/24 4:28:52

批量创建表空间数据文件(DM8:达梦数据库)

DM8:达梦数据库 - - 批量创建表空间数据文件 环境介绍1 批量创建表空间SQL2 达梦数据库学习使用列表 环境介绍 在某些场景(分区表子表)需要批量创建表空间,给不同的表使用,以下代码是批量创建表空间的SQL语句; 1 批量创建表空间SQL --创建 24个数据表空间,每个表空间有3个数…...

编程日记 2023/11/24 4:27:51

简单聊聊加密和加签的关系与区别

大家好，我是G探险者。 平时我们在项目上一定都听过加密和加签，加密可能都好理解，知道它是保障的数据的机密性，那加签是为了保障啥勒？它和加密有啥区别？ 带着这个疑问，我们就来聊聊二者的区别。…...

编程日记 2023/11/24 4:26:50

视频转码方法：多种格式视频批量转FLV视频的技巧

随着互联网的发展，视频已成为日常生活中不可或缺的一部分。然而，不同的视频格式可能适用于不同的设备和平台，因此需要进行转码。在转码之前，要了解各种视频格式的特点和适用场景。常见的视频格式包括MP4、AVI、MKV、FLV等。其中&a…...

编程日记 2023/11/24 4:25:49

【Java 进阶篇】Redis 数据结构：轻松驾驭多样性

引言 Redis是一款强大的键值对存储系统，其数据结构的多样性是其引以为傲的特点之一。在这篇博客中，我们将深入探讨Redis的主要数据结构，包括字符串、哈希表、列表、集合和有序集合，并通过实例代码演示它们的用法。 1. 字符串&am…...

编程日记 2023/11/24 4:24:48

东用科技智能公交识别系统无线传输方案

在科技不断进步和人工智能快速发展的当下，人脸识别技术已逐渐应用于各个领域。其中，公共交通领域便是重要的应用场景之一。人脸识别技术的引入可以提高交通的安全性、效率及便利性。 为了实现公交公司对乘客的身份识别和安全管理的需求，提高运…...

编程日记 2023/11/24 4:23:47

Django批量插入数据及分页器

文章目录 一、批量插入数据二、分页1.分页器的思路2.用一个案例试试3.自定义分页器 一、批量插入数据 当我们需要大批量创建数据的时候，如果一条一条的去创建或许需要猴年马月 我们可以先试一试for循环试试 我们首先建立一个模型类来创建一个表 models.py&#xff…...

编程日记 2023/11/24 4:22:45

PHP 语法||PHP 变量

PHP 脚本在服务器上执行&#xff0c;然后将纯 HTML 结果发送回浏览器。 基本的 PHP 语法 PHP 脚本可以放在文档中的任何位置。 PHP 脚本以 <?php 开始&#xff0c;以 ?> 结束&#xff1a; <?php // PHP 代码 ?> 值得一提的是&#xff0c;通过设定php.ini的相…...

编程日记 2023/11/24 4:21:44

【python基础（四）】if语句详解

文章目录 一. 一个简单示例二. 条件测试1. 检查多个条件1.1. 使用and关联多个条件1.2. 使用or检查多个条件1.3. in的判断 2. 布尔表达式 三. if语句1. 简单的if语句2. if-else语句3. if-elif-else结构4. 使用多个elif代码块5. 省略else代码块 四. 使用if语句处理列表1. 检查特殊…...

编程日记 2023/11/24 4:20:43

Spring Boot中常用的参数传递注解

RequestParam&#xff1a;用于将请求参数绑定到控制器处理方法的参数上&#xff0c;适用于GET请求。PathVariable&#xff1a;用于获取请求URL中的动态参数&#xff0c;适用于RESTful风格的URL。RequestBody&#xff1a;用于将请求体中的JSON字符串绑定到控制器处理方法的参数上…...

编程日记 2023/11/24 4:19:42

Quartz .Net 的简单使用

参考了&#xff1a;c# .net framework 4.5.2 , Quartz.NET 3.0.7 - runliuv - 博客园 (cnblogs.com) https://www.cnblogs.com/personblog/p/11277527.html&#xff0c; Quartz.NET 作业调度&#xff08;一&#xff09;&#xff1a;Test - 简书 自己要轮询的任务&#xff1a…...

编程日记 2023/11/24 4:18:40

面试Java笔试题精选解答

文章目录 热身级别数组中重复的数字思路&#xff1a;使用map或HashSet来遍历一遍就可以找出重复的字符样例解答 用两个栈实现队列思路&#xff1a;Stack1正向进入&#xff0c;队头在栈底&#xff0c;用于进队列操作&#xff1b;Stack2是Stack1倒栈形成&#xff0c;队头在栈顶&a…...

编程日记 2023/11/24 4:17:39

使用Python画一棵树

&#x1f38a;专栏【不单调的代码】 &#x1f354;喜欢的诗句&#xff1a;更喜岷山千里雪 三军过后尽开颜。 &#x1f386;音乐分享【如愿】 &#x1f970;欢迎并且感谢大家指出我的问题 文章目录 &#x1f339;Turtle模块&#x1f384;效果&#x1f33a;代码&#x1f6f8;代码…...

编程日记 2023/11/24 4:16:37

nginx学习(4)Nginx 负载均衡

负载均衡&#xff1a;是将负载分摊到不同的服务单元&#xff0c;既保证服务的可用性&#xff0c;又保证响应 足够快&#xff0c;给用户很好的体验。 在 linux 下有 Nginx、LVS、Haproxy 等等服务可以提供负载均衡服 务&#xff0c; 而且 Nginx 提供了几种分配方式(策略)&#…...

编程日记 2023/11/24 4:15:36

WSL登录时提示nsenter: cannot open /proc/320/ns/time: No such file or directory的解决办法

在登录 WSL 的 Ubuntu 时&#xff0c;不仅要求 root 权限&#xff0c;还登录失败&#xff0c;提示“nsenter: cannot open /proc/320/ns/time: No such file or directory”。 解决办法是在 powershell 中执行 “wsl – sudo vi /etc/profile”命令&#xff0c;删除文件内容&a…...

编程日记 2023/11/24 4:14:35

git修改远程分支名称

先拉取old_branch最新代码到本地 git checkout old_branchgit pull origin old_branch本地修改后并推送 git branch -m old_branch new_branch # 修改分支名称git push --delete origin old_branch # 删除在远程的老分支推送新分支 git push origin new_branch本地分支与远…...

编程日记 2023/11/24 4:12:33

Django 入门学习总结7-静态文件管理

Django Web框架有关门的静态文件管理机制。 首先&#xff0c;在polls文件夹中创建static文件&#xff0c;Django 将会自动地在这里查询静态文件。 Django 框架在配置 STATICFILES_FINDERS中&#xff0c;指出了一系列静态文件所在位置。 依据配置 INSTALLED_APPS 的名称来查询…...

编程日记 2023/11/24 4:11:32

游戏开发引擎Cocos Creator和Unity如何对接广告-AdSet聚合广告平台

在游戏开发方面&#xff0c;游戏引擎的选择对开发过程和最终的产品质量有着重大的影响&#xff0c;Unity和Cocos是目前全球两大商用、通用交互内容开发工具&#xff0c;这两款引擎受到广泛关注&#xff0c;本文将从多个维度对两者进行比较&#xff0c;为开发者提供正确的选择建…...

编程日记 2023/11/24 4:09:29

振南技术干货集：制冷设备大型IoT监测项目研发纪实（4）

注解目录 1.制冷设备的监测迫在眉睫 1.1 冷食的利润贡献 1.2 冷设监测系统的困难 &#xff08;制冷设备对于便利店为何如何重要&#xff1f;了解一下你所不知道的便利店和新零售行业。关于电力线载波通信的论战。&#xff09; 2、电路设计 2.1 防护电路 2.1.1 强电防护 …...

编程日记 2023/11/24 4:08:27

Turbo Intruder：Web安全测试的终极高性能攻击引擎实战指南

Turbo Intruder&#xff1a;Web安全测试的终极高性能攻击引擎实战指南 【免费下载链接】turbo-intruder Turbo Intruder is a Burp Suite extension for sending large numbers of HTTP requests and analyzing the results. 项目地址: https://gitcode.com/gh_mirrors/tu/tu…...

编程新知 2026/4/27 22:00:32

rust-tools.nvim宏展开功能：揭秘Rust宏的底层实现

rust-tools.nvim宏展开功能&#xff1a;揭秘Rust宏的底层实现 【免费下载链接】rust-tools.nvim Tools for better development in rust using neovims builtin lsp 项目地址: https://gitcode.com/gh_mirrors/ru/rust-tools.nvim rust-tools.nvim是一款专为Neovim打造的…...

编程新知 2026/4/27 20:43:52

从Hugging Face到本地：一份给open_clip新手的模型下载与加载完整指南

从Hugging Face到本地&#xff1a;open_clip模型下载与加载实战手册 第一次接触open_clip时&#xff0c;面对Hugging Face上琳琅满目的模型文件和晦涩的报错信息&#xff0c;我完全迷失了方向。经过多次尝试和失败&#xff0c;终于摸索出一套可靠的模型获取与加载方法。本文将分…...

编程新知 2026/4/27 20:37:49

AI Agent可观测性实战：agentlytics框架集成与生产部署指南

1. 项目概述&#xff1a;一个面向AI Agent的轻量级可观测性框架最近在折腾AI Agent应用开发的朋友&#xff0c;估计都遇到过类似的困扰&#xff1a;Agent的执行链路像个黑盒&#xff0c;一个请求进去&#xff0c;半天没反应&#xff0c;你根本不知道它卡在哪个环节了&#xff0…...

编程新知 2026/4/27 20:35:48

AssetStudio终极指南：3步解锁Unity游戏资源宝藏

AssetStudio终极指南&#xff1a;3步解锁Unity游戏资源宝藏 【免费下载链接】AssetStudio AssetStudio - Based on the archived Perfares AssetStudio, I continue Perfares work to keep AssetStudio up-to-date, with support for new Unity versions and additional improv…...

编程新知 2026/4/27 20:17:03

Pearcleaner终极指南：如何彻底清理macOS应用残留文件

Pearcleaner终极指南&#xff1a;如何彻底清理macOS应用残留文件 【免费下载链接】Pearcleaner A free, source-available and fair-code licensed mac app cleaner 项目地址: https://gitcode.com/gh_mirrors/pe/Pearcleaner 你是否曾经疑惑&#xff0c;为什么删除macO…...

编程新知 2026/4/27 18:07:02

Cursor Pro永久免费使用终极指南：3步解锁AI编程助手完整功能

Cursor Pro永久免费使用终极指南&#xff1a;3步解锁AI编程助手完整功能 【免费下载链接】cursor-free-vip [Support 0.45]&#xff08;Multi Language 多语言&#xff09;自动注册 Cursor Ai &#xff0c;自动重置机器ID &#xff0c; 免费升级使用Pro 功能: Youve reached yo…...

编程新知 2026/4/27 17:54:43

解构Wot Design Uni：Vue3+TypeScript驱动的uni-app企业级组件库架构演进

解构Wot Design Uni&#xff1a;Vue3TypeScript驱动的uni-app企业级组件库架构演进 【免费下载链接】wot-design-uni 一个基于Vue3TS开发的uni-app组件库&#xff0c;提供70高质量组件&#xff0c;支持暗黑模式、国际化和自定义主题。 项目地址: https://gitcode.com/gh_mirr…...

编程新知 2026/4/27 14:44:01

解放双手！明日方舟全自动小助手MAA的终极使用指南

解放双手&#xff01;明日方舟全自动小助手MAA的终极使用指南 【免费下载链接】MaaAssistantArknights 《明日方舟》小助手&#xff0c;全日常一键长草&#xff01;| A one-click tool for the daily tasks of Arknights, supporting all clients. 项目地址: https://gitcode…...

编程新知 2026/4/27 13:34:08

终极指南：DellFanManagement如何彻底解决你的笔记本风扇噪音问题

终极指南&#xff1a;DellFanManagement如何彻底解决你的笔记本风扇噪音问题 【免费下载链接】DellFanManagement A suite of tools for managing the fans in many Dell laptops. 项目地址: https://gitcode.com/gh_mirrors/de/DellFanManagement 你是否厌倦了Dell笔记…...

编程新知 2026/4/27 12:38:26