Web安全
周记（2）
—题解
文章目录
前言
四题均来自攻防世界WEB题目。
一、知识补充
①index是普遍意义上的“首页”，也就是你输入一个域名后会打开一个页面，基本上就是index.xxxx。
②robots.txt是一个文本文件，同时也是一个协议。它是搜索引擎中访问网站的时候要查看的第一个文件。
③phps文件是php的源代码文件，通常用于提供给用户（访问者）查看php代码，因为用户无法直接通过Web浏览器看到php文件的内容，所以需要用phps文件代替。
④浏览器会自动将输入的参数进行一次url解码。
二、做题
1.simple_js
题目描述：
小宁发现了一个网页，但却一直输不对密码。(Flag格式为 Cyberpeace{xxxxxxxxx} )
解题思路：
首先输入任意密码值，发现跳转出如图弹窗。
更换思路，去查看页面源代码。
进行代码审计，发现不论输入什么都会跳到假密码，真密码位于 fromCharCode中。显而易见，其编码方式为base16。
固进行相应解码。
将得到的数字分别进行ASCII处理，得到字符串。
最终规范格式得出flag。
2.baby_web
题目描述：
想想初始页面是哪个？
解题思路：
常规思路在url中输入index.php,发现打开的仍然还是1.php。
在火狐浏览器中，用“Fn F12”打开选择网络模块，再次请求index.php,查看返回包，进而查找得到flag。
3.Training-WWW-Robots
题目描述：
解题思路：
通过阅读，提示我们可以尝试利用robots.txt得到更多信息。
根据提示，利用/fl0g.php即可得到flag。
4.PHP2
题目描述：
解题思路：
正常思路先用index.php查看页面,结果发现无变化。
继而转变思路用index.phps查看，得到主页源代码。
进行代码审计，可看出需要用GET方式给id参数传递一个为“admin”的值，但是会经过一次urldecode()，将传入的值进行url解码。
这里需要注意，当我们在浏览器输入admin时，浏览器会对admin进行一次url解码，所以需要对admin进行两次url编码。
最后构造payload，得出flag。
总结
以上就是本周主要题解内容，主要设计index.php、robots.txt、phps文件、URL编码解码等知识点。
