第一次接觸ctf，刷了一下攻防世界的初階題目，記一筆：
前期準備：鏈接：https://pan.baidu.com/s/1aZ-ez_qk5v_Y3NKgUWkqDw 提取碼：3hto
view_source![]()
題目如圖，打開後發現右鍵不能使用
使用view-source: 註釋就是flag
get_post
![]()
題意如圖，打開網址
學過url的就會知道get方式是直接附加參數
完成題目要求，得到第二步，由於post不能直接完成，我們需要一個之前下載好的插件：hackbar
execute
flag到手
robots
打開網站
啥也沒有，聯想到題目“robots協議”訪問一下看看有沒有這個文件
按照提示繼續訪問
flag到手
backup
題意如圖，打開網址
php備份文件一般是bak即index.php.bak，訪問一下
下載，打開
flag到手
cookie![]()
題意如圖，開網站
既然是cookie，那我們就看一下
獲得提示，訪問一下
獲得提示，看response頭
flag到手
disabled_button![]()
題意如圖，開網址
嗯，不能按的按鈕，檢查一下
去掉disabled
點擊一下
flag到手
simple_js
題意如圖，開網址
發現不管輸入什麼都錯誤
查看源代碼
發現如圖所示的js，注意返回永遠是返回錯誤的，但是這一串轉義字符引起了我的注意，寫個小程序輸出一下
注意題目特別提示了flag的格式，顯然不是這樣的，既然用到了轉義字符，那麼這一串數字可能是ascll碼，輸出一下看看
看起來這個就是的了，把它帶入到開頭的格式中提交，完成
xff_refere
題意如圖，打開網址
意思是要僞裝地址，打開我們的，注意，運行的是loader
https://www.52pojie.cn/thread-691448-1-1.html激活攻略
設置代理
刷新網頁
flag到手
weak_auth![]()
題目如圖，打開網址
隨便登陸一下
試一下123456
flag到手
這是我運氣好，真正的解法burpsuite爆破
webshell
題意如上，打開網址
這是經典的一句話木馬，注意'shell'，打開我們的最新版過狗菜刀，配置如下
點擊文件管理
flag到手
command_execution
開網址
沒有過濾的ping，我們看一下他的目錄
注意home，訪問一下
我們cat一下
flag到手
simple_php
題意如上，開網站
這是一段php代碼。我們要的顯然是第一個和第三個if，構造一下
http://111.198.29.45:45981/?a=a&b=1235a
flag到手