CTFshow Web 刷题笔记：web12-20 记录

仔细看文件路径，里面有一段 /nothinghere/，感觉有蹊跷。编辑器返回的完整路径是 /editor/attached/image/var/www/html/nothinghere/fl000g.txt，那么拼接一下：https://<target_url>/nothinghere/fl000g.txt，直接访问就能读文件内容了。

ctfshow{3f2e0d55-05f9-4189-bff2-d89ef18b3281}

编辑器类的题，多玩玩它的功能，注意路径里异常的目录名，路径拼接经常是解题关键。

web15：社会工程学与密码重置

页面底下有个 QQ 号 [email protected]。顺手搜了一下，在社交平台上看到介绍里写了地址'陕西西安'。

回到目标站，扫出后台 /admin。试了几个弱口令没成功，就点'忘记密码'，密保问题问地址，填'陕西西安'果然能改密码，重置成了 admin7789。

用 admin/admin7789 登录拿到 flag。这题挺有意思，社会工程学在渗透里确实管用。

web16：PHP 探针检测

dirsearch 默认字典没扫出什么。根据提示，手动试了几个常见的 PHP 探针路径，访问 /tz.php 直接进了探针页面。

探针里有 phpinfo 入口，进去后 Ctrl+F 搜 flag，直接找到。

ctfshow{53531306-67af-4a40-807f-abc05f6160b2}

dirsearch 自带的字典库不一定全，遇到这种情况可以自己做一个常见探针文件名的字典，比如 tz.php、phpinfo.php、info.php 之类的，然后再扫。

python dirsearch.py -u <url> -e php -w custom_dict.txt

PHP 探针本来是方便运维查看服务器信息的脚本，但如果没做好访问控制，别人就能看到 phpinfo() 的输出，里面可能有数据库密码、环境变量等敏感信息。

web17：备份文件泄露

用 dirsearch 扫的时候，发现了一个 /backup.sql 文件。

把路径拼到 URL 里下载下来，打开 SQL 文件直接搜 flag 就有了。典型的开发时不小心留下的备份文件。

web18：JS 混淆与 URL 操作

一个小游戏，要求通关分数达到 101 分，手操难度太大，直接看源码。

调试器里搜 flag，找到一段 JS：

var result=window.confirm("\u4f60\u8d62\u4e86\uff0c\u53bb\u5e7a\u5e7a\u96f6\u70b9\u76ae\u7231\u5403\u76ae\u770b\u770b");

把 Unicode 转回中文："你赢了，去幺幺零点皮爱吃皮看看"。在 URL 后面拼上 /110.php，直接访问拿到 flag。

web19：AES 解密与 Burp 重放

这题给了两种解法。第一种，从源码看用了 AES 加密，模式 CBC，ZerosPadding，密钥和偏移量都给了。拿在线工具解密后得到密码 i_want_a_36d_girl，登录就行。

第二种，用 Burp 抓登录请求，发到 Repeater。根据源码分析的密文，构造 POST：

username=admin&password=a599ac85a73384ee3219fa684296eaa62667238d608efa81837030bd1ce1bf04

注意原页面的字段名拼写是 pazzword，但实际请求参数名可能是 password，得看具体情况。重放后直接拿到 flag。

web20：Access 数据库泄露

dirsearh 加 -r 递归扫，找到 /db/db.mdb。

python dirsearch.py -u <url> -r

下载 .mdb 文件，用 Access 工具打开或者直接搜文本，flag 就在里面。

.mdb 是 Access 数据库文件，以前 ASP+Access 架构的站经常用。如果服务器配置不当能让别人直接下到，整个数据库就泄露了。

这几道题做下来，核心就是保持对信息收集的敏感，工具得用熟，常见漏洞原理心里有数。有时候一个目录、一段注释、一行代码，就是突破口。