码农知识堂 - 1000bd
  •   Python
  •   PHP
  •   JS/TS
  •   JAVA
  •   C/C++
  •   C#
  •   GO
  •   Kotlin
  •   Swift

  • [极客大挑战 2019]Http1(BUCTF在线评测)

    进入靶机后

     鼠标右键查看源代码

    1.  
    2. HTML>
    3.  
    4. <html>
    5.     <head>
    6.         <title>Syclovertitle>
    7.         <meta charset="utf-8" />
    8.         <meta name="viewport" content="width=device-width, initial-scale=1" />
    9.         
    10.         <link rel="stylesheet" href="assets/css/main.css" />
    11.         
    12.         
    13.  
    14.     head>
    15.     <body class="landing">
    16. 	<style>
    17. 	p,h2{
    18. 	cursor:default;
    19. 	}
    20. 	style>	
    21.         
    22.             <div id="page-wrapper">
    23.                 
    24.                     <section id="banner">
    25.                         <div class="inner">
    26.                             <h2>Sycloverh2>
    27.                             <p>Hi Hackers<br />
    28.                             Here is the secret website <br /> of the Syclover <br />
    29.                         div>
    30.                         <a href="#one" class="more scrolly">Learn Morea>
    31.                     section>
    32.  
    33.                 
    34.                     <section id="one" class="wrapper style1 special">
    35.                         <div class="inner">
    36.                             <header class="major">
    37.                                 <h2>欢迎来到西南某最大卖鞋厂商 !<br />
    38.                                 三叶草安全技术小组（Syclover）h2>
    39.                                 <p>当黑客帝国的梦想成为现实，你就是下一个奇迹缔造者！<br />
    40.                                 三叶草安全技术小组（Syclover）等待着同样热爱技术的你~<br />
    41.                                 Syclover2019招新群：671301484p>
    42.                             header>
    43.                             <ul class="icons major">
    44.                                 <li><span class="icon fa-diamond major style1"><span class="label">Loremspan>span>li>
    45.                                 <li><span class="icon fa-heart-o major style2"><span class="label">Ipsumspan>span>li>
    46.                                 <li><span class="icon fa-code major style3"><span class="label">Dolorspan>span>li>
    47.                             ul>
    48.                         div>
    49.                     section>
    50.  
    51.                 
    52.                     <section id="two" class="wrapper alt style2">
    53.                         <section class="spotlight">
    54.                             <div class="image"><img src="images/pic01.jpg" alt="" />div><div class="content">
    55.                                 <h2>小组简介h2>
    56.                                 <p>·成立时间：2005年3月<br /><br />
    57.                                 ·研究领域：渗透测试、逆向工程、密码学、IoT硬件安全、移动安全、安全编程、二进制漏洞挖掘利用等安全技术<br /><br />
    58.                                 ·小组的愿望：致力于成为国内实力强劲和拥有广泛影响力的安全研究团队，为广大的在校同学营造一个良好的信息安全技术<a style="border:none;cursor:default;" onclick="return false" href="Secret.php">氛围a>！p>
    59.                             div>
    60.                         section>
    61.                     section>
    62.             <script src="assets/js/jquery.min.js">script>
    63.             <script src="assets/js/jquery.scrollex.min.js">script>
    64.             <script src="assets/js/jquery.scrolly.min.js">script>
    65.             <script src="assets/js/skel.min.js">script>
    66.             <script src="assets/js/util.js">script>
    67.             
    68.             <script src="assets/js/main.js">script>
    69.                     <footer id="footer">
    70.  
    71.                         <ul class="copyright">
    72.                             <li>© Sycloverli><li>Design: Cl4yli>
    73.                         ul>
    74.                     footer> 
    75.     body>
    76. html>

    搜索下看看有没有别的链接，如标签，发现有两处a标签，特别是第二处

    直接点击该源码页面的a标签包裹的"氛围"二字， 出现新页面，提示来源不对 

    F12调试该页面，重发该url请求 修改Referer值 为https://Sycsecret.buuoj.cn

    发现还是一样的提示

    浏览器修改不了Referer的值，换工具抓包工具(修改浏览器代理到抓包工具)

    鼠标右键发送到重发器修改Referer的值，测试请求

     得到提示要使用Please use "Syclover" browser

    修改请求头 User-Agent: Syclover

    提示 No!!! you can only read this locally!!!

    按提示修改请求头X-Forwarded-For:localhost

    得到flag{8d8ea9d6-86ae-4f8d-8f8e-e10d4b1bd9ef}

     

  • 相关阅读:
    中英文说明书丨Abbkine通用型免疫荧光工具箱（抗小鼠Dylight 488）
    R语言计算竞争风险数据中累积发生率置信区间并绘图（1）
    go学习之数组与Map
    【OpenCV 例程200篇】220.对图像进行马赛克处理
    git配置1-不同的项目使用不同用户名或邮箱
    Java 发送 Http 请求工具类（HttpClient）
    解读意大利葡萄酒分类系统
    sql注入 [极客大挑战 2019]LoveSQL 1
    金融贷款风险预测：使用图神经网络模型进行违约概率评估
    计算机毕业设计springboot精品课程网站u1aq3源码+系统+程序+lw文档+部署
  • 原文地址：https://blog.csdn.net/qq_18497293/article/details/126161326
  • 最新文章
  • 沪漂五周年了：我越来越迷茫了
    Agentic Skill Routing 实战：别再把所有 Skill 塞进 AI Agent 上下文
    MySQL-Seconds_behind_master的精度误差
    [MAF预定义ChatClient中间件-03]CachingChatClient——利用缓存省钱省时间
    AI的至暗历史：从万众期待到被政府撤资，AI的两次死亡徘徊
    Agent OS ：五种驯服不确定性的范式
    PortSwigger SQL注入LAB11
    数据库即时编译JIT
    [Begin]AI Learn Data Day 0
    深度学习进阶（二十七）现代 LLM 的核心架构设计其二：SwiGLU
  • 热门文章
  • 十款代码表白小特效 一个比一个浪漫 赶紧收藏起来吧！！！
    奉劝各位学弟学妹们，该打造你的技术影响力了！
    五年了，我在 CSDN 的两个一百万。
    Java俄罗斯方块，老程序员花了一个周末，连接中学年代！
    面试官都震惊，你这网络基础可以啊！
    你真的会用百度吗？我不信 — 那些不为人知的搜索引擎语法
    心情不好的时候，用 Python 画棵樱花树送给自己吧
    通宵一晚做出来的一款类似CS的第一人称射击游戏Demo！原来做游戏也不是很难，连憨憨学妹都学会了！
    13 万字 C 语言从入门到精通保姆级教程2021 年版
    10行代码集2000张美女图，Python爬虫120例，再上征途
小工具 小游戏
Copyright © 2022 侵权请联系2656653265@qq.com    京ICP备2022015340号-1

京公网安备 11010502049817号