2016 ISCC CTF 比赛 WEB类第一题

中北大学第二届CTF的WEB模块第一题 题目代码 <?php include_once 'flag.php'; highlight_file(__FILE__); // Security filtering function function filter($str){ return str_replace('secure', 'secured', $str); } class Hacker{ public $userna

本文介绍了CTF竞赛中Web安全的学习路径，分为三个阶段：1）掌握基础知识，包括HTTP协议、前端开发语言、后端语言基础和常用安全工具；2）重点学习SQL注入、XSS、文件包含、文件上传、代码审计、CSRF等常见Web漏洞的原理与利用；3）通过upload-labs、BUUCTF、VulnHub等平台进行实践练习。建议学习者由浅入深，理论与实践相结合，逐步提升Web安全攻防能力。

一、题目详细 说明： Tencent2016A是一个简单的注册程序，见附件，请写一个注册机，点击Check即可显示是否通过, Name和Code可以手动输入,也可以通过扫描二维码输入。 要求： 注册机是KeyGen，不是内存注册机或文件Patch。 注册机必须可以运行在Android系统上, 可以是命令行程序，也可以是apk。 将编译好的注册机和分析文档,源代码一起上传。 提交方式：将分析文档，注册机工程源代码和编译好的注册机打包后提交。（无说明文档，视为无效方案）。 不得在论坛或群等场所讨

ChatGGG ISCC内部零元购-2 ISCC单身节抽奖 ISCC疯狂购物节-1 Where_is_your_love 上大号说话 小周的密码锁 羊了个羊 老狼老狼几点了

第一次参加ISCC线上赛，感觉题目质量还是挺好的，擂台赛都是大佬们的主场，向我这样的小白也只能学学新东西。在此总结做过的web题目以及相关知识点。

利用中文引擎搜索搜索到Kanxuectf这一串字符串的所在，然后下断点 之后就会发现它在和我们做比较，然后我们输入的26个大写的英文字母变成了下面的内容 89opqrstuvwxyzOPQRSTUVWXYZm 然后我们就找到了下面的对应关系，然后我们需要从右边的字符串当中找到KanXueCTF2019JustForhappy，对应的左边的字符串 0 a 1 b 2 c 3 d 4 e 5 f ...

iscc web01 进到题目里面之后发现有句提示“Why don’t you take a look at robots.txt?”让你进入robots.txt里看一看，所以我们第一步就是进入robots.txt里 进到里面之后我们会发现什么都没有，只有一个目录，抱着一探究竟的心理我们在进入这个目录里看看 发现这个文件里存放着忘了源代码，通过代码审计我们发现，需要以get方式传一个参数passwork然后这个参数还必需长度小于8但是数值大于99999999，然后在这里我们需要用到科学记数法，给他传一个参

偶然看到的比赛，我等渣渣跟风做两题，剩下的题目工作太忙没有时间继续做。 第1题 sql注入： 题目知识 考察sql注入知识，题目地址：http://101.200.145.44/web1//index.php 做题过程 第一步：注入Playload user=flag&pass=' or updatexml(1,concat(0x7e,(s...

0x01 题目介绍    本题目是一道信息安全大赛上的安卓逆向题目，主要考察选手，逆向分析能力，反汇编能力，安卓程序结构分析能力，以及常见的安全加密编码算法得能力。题目下载 http://download.csdn.net/detail/bjtbjt/9846682可能部分步骤过于啰嗦，大佬略过。方便入门者学习。这个题目拿到手是个安卓apk程序。下载下来，我们先不着急进行分析。先对其程序apk安装...

题目地址：https://buuoj.cn/challenges#[SWPUCTF%202016]Web%20blogsys 源码地址：https://github.com/CTFTraining/swpuctf_2016_web_blogsys common.php //common.php foreach (Array("_POST", "_GET", "_COOKIE") as $key) { foreach ($$key as $k => $v) { if (is_a

匿名函数的事件捆绑，从ctfweb的一道题出发的思考

V2VsbCBkb25lIQoKIEZsYWc6IElTQ0N7TjBfMG5lX2Nhbl9zdDBwX3kwdX0K Flag: ISCC{N0_0ne_can_st0p_y0u} 签到题 八进制转ASCll，ascll算出来拿去base64解码 #!-*-coding:utf-8 -*-import binasciifile_path='message.txt' strs=...

前言 接下来，继续总结练武题的Web题 Web MISC