Hackinglab基础关过关攻略

站点地址:http://hackinglab.cn/

可以微博或qq登录

基础关部分

第一题:key在哪里?

点击链接,查看源文件,发现key在注释部分

<!–key is jflsjklejflkdsjfklds–>

第二题:加密后再加密得到原始key值

特点是具有可逆性,可自我解密,分析为ROT加密,参照一下链接:http://www.qqxiuzi.cn/bianma/ROT5-13-18-47.php

尝试解密,得到

ROT13(keyis23ksdjfkfds)

ROT18(keyis78ksdjfkfds)

提交,根据返回结果是ROT13为正确答案

第三题:经过了多少次加密

根据密文特点知道是base64加密,每解码一次长度变短,而且解密后依然是base64加密,使用FreShow工具进行解码,直到最后输出结果:

key is jkljdkl232jkljkdl2389

第四题:MD5加密

根据提示,知道密文是MD5加密,到cmd5解密可以得到明文–> bighp

第五题:种族歧视

点击链接,显示值允许歪果仁,呵呵,使用burp suite神器,抓包,修改ip地址,没有效果。查看请求头,发现问题

Accept-Language: zh-CN,zh;q=0.8,en;q=0.6,en-US;q=0.4

后边的都是en-US,前边还是zh-CN,果断修改

Accept-Language: en-US,en;q=0.8,en;q=0.6,en-US;q=0.4

提交后返回key值:

key is: *(TU687jksf6&*

第六题:HAHA浏览器

点击链接,显示只允许HAHA浏览器,难道要安装所谓HAHA浏览器?too young too simple,继续使用神器Burp Suite,抓包,修改

User-Agent:HAHA

提交,返回key值

恭喜您,成功安装HAHA浏览器!key is: meiyouHAHAliulanqi

第七题:找Key值

采用普通的浏览加查看源代码都看不到key值,继续使用Burp Suite,进入Repeater,提交Request,在Response中有个key:value对可以找到key值(藏的挺深的。。。)

Key: kjh%#$#%FDjjj

第八题:找Key值

正常浏览,查看源代码都看不到key值,抓包试试吧,在显示 到这里找key  时BP抓包,进入Repeater,点击Go,在Response中发现提示:

href=”./key_is_here_now_.php”>___</a><!–都告诉了到这里找key的啦–>

输入提示地址,返回key值

key: ohHTTP302dd

第九题:必须登录才有key

浏览,提示没有登录,没有key,抓包,发现cookie中的login值

Cookie: Login=0;

修改Login=1;提交得到key值

key is: yescookieedit7823789KJ

第十题:比较数字大小

点开链接,有提交框,提交测试发现用例必须是数字,而且必须足够大,但是最多只有三位可以输入,即便输入999也是提示数字太小,呵呵。。。抓包,发现是POST提交,提交的数据就是我们输入的数字

v=999

修改v的值,例如99999,然后提交,返回key值

key is 768HKyu678567&*&K

第十一题:本地连接

点开链接提示需要从本地连接,抓包,发送到Repeater,修改Request报头,添加如下内容:

X-Forwarded-For:127.0.0.1

点击Go,然后在Response中返回key值

key is ^&*(UIHKJjkadshf

第十二题:就不让你访问

点击链接,查看源代码,抓包都不顶用,肿么办???在线等,急!!

根据提示,需要找到admin page,用到后台查找能力,首先查看站点的robots.txt文件,看是否有可用信息。

果然,有收获:

User-agent: *
Disallow: /
Crawl-delay: 120
Disallow: /9fb97531fe95594603aff7e794ab2f5f/
Sitemap: http://www.hackinglab.sinaapp.com/sitemap.xml

根据Disallow中的路径点开链接:

http://lab1.xseclab.com/base12_44f0d8a96eed21afdc4823a0bf1a316b/9fb97531fe95594603aff7e794ab2f5f/

(有点长),发现提示:

you find me,but I am not the login page. keep search.

尝试输入login.php,key值出来了,搞定

right! key is UIJ%%IOOqweqwsdf

总结:主要技能点:查看源代码、注意网页注释、加密编码方式、HTTP请求响应头、抓包工具使用、robots.txt文件利用等

 

您可能还喜欢...