X1ong

web21 基于Basic的爆破 暴破什么的，都是基操 访问网站，出现如下页面： 这里则是 HTTP 的 Basic 认证。我们输入用户名 admin 密码 随便输入 然后使用 BP 进行抓包。 在发往服务器的请求中，添加了属性 Authorization 其值为 Basic YWRtaW46YWRtaW4xMjM= 其中 Basic 后方的为 Base64 编码。 我们使用 BP 自带的 Decode 模块进行解码，观察其特征： 发现是 用户名:密码 的形式，知道该形式之后我们将其发送至暴破模块 Intrude 选择 默认的 Sniper 狙击手模式，然后在选择PAYLOAD的时候，加载题目给的字典（注意：对于新版本的BP，字典不能是中文，需要修改为英文）。 加载题目给出的字典，接着添加前缀 admin: 之后添加 Encode 模块为 Base64 编码即可。 在设置PAYLOAD的底部找到 Payload Encoding 默认会自动对 特殊字符进行URL编码，这里我们将前面取消勾选即可。让其不对 = 进行URL编码。 最后点击 Start attack 即可， ...

web01 Hint: 开发注释未及时删除 访问靶机网站出现页面： 右键查看源代码得到FLAG。 web02 Hint: js前台拦截 === 无效操作 访问靶机页面，提示无法查看源代码，此时可以通过对URL加入 view-source: 进行查看。 或者按 F12也可。 web03 Hint: 没思路的时候抓个包看看，可能会有意外收获 web04 Hint： 总有人把后台地址写入robots，帮黑阔大佬们引路。 根据题目的提示，我们直接访问 robots.txt 文件。 robots.txt 文件是爬虫协议文件，该文件中定义了允许哪些爬虫爬取哪些目录，以及禁止爬取哪些目录。 发现文件 flagishere.txt，直接访问： web05 Hint: phps源码泄露有时候能帮上忙 phps文件就是php的源代码文件，通常用于提供给用户（访问者）直接通过Web浏览器查看php代码的内容。 由于首页文件是 index.php，这里我们直接尝试访问泄露的源码文件 index.phps。 web06 Hint: 解压源码到当前 ...

PHP前置基础变量变量的简介 变量是一个可以改变的量 变量可以理解为是一个房间(仓库),而房间(仓库)是用于存放东西的,而变量也是。 变量的命名规范 必须以 $ 开始,后面跟英文字母 变量名的名称严格区分大小写 变量名不能以数字开头,但是可以包含数字 变量名可以是中文,但是不推荐这样使用 变量的名字要有意义,比如 $name , $age , $addr 要按照公司的命名规范去来。 变量的命名规则 我们在定义变量的时候,尽量做到见名知意 尽量使用驼峰命名法 小驼峰命名法: 变量名的第二个单词大写,其余小写,例如: $myName (推荐) 大驼峰命名法: 变量名的每个单词的首字母大写,其余小写,例如: $MyName 在声明变量的时候,等号两边加上空格,例如 $name = 'x1ong'; 单双引号的区别 双引号可以解析变量,但是单引号不行。 12345<?php $name = 'x1ong';echo '$name'; // $name;echo "$name"; // ...