一.view source

直接F12，可以看到
flag:cyberpeace{3485c40fbf442a57c1ac6280af8070e7}

二、robots

先在網址添加后綴robots.txt,會出現(xiàn)如下頁面
然后我們將后綴改為flag_1s_h3re.php
flag:cyberpeace{04cbb73c4d62a9cd327bb2faf9bbcfbf}

三、backup

打開頁面，問你知道index.php的備份文件嗎，然后我們再加上后綴index.php.bak,此時下載文件
打開下載好的文件，flag出現(xiàn)了
flag：Cyberpeace{855A1C4B3401294CB6604CCC98BDE334}

四、cookie

打開頁面，按F12找cookie，如圖
此時可以在網址后綴加上cookie.php,出現(xiàn)如圖頁面，意思是查看http響應
然后使用burpsuite進行抓包，查看http響應，如圖可得flag
flag:cyberpeace{b85003abf4d902f502cda1f75f393fb1}

五、disabled_button

打開頁面，按鈕確實沒法按，遇事不決F12
看到有個disabled,心想改一下把disabled變成abled，按鈕能按了，按一下如下所示
flag:cyberpeace{96e4244aa3517089b882bbf29d9e593d}

六、weak auth

打開是個登陸頁面，我們隨便輸個用戶名密碼進去，如下，意思是請以admin登錄
然后用burpsuite進行抓包爆破，抓包時我們隨便輸入密碼，
然后進入測試器一欄，在密碼55旁邊添加§
進入有效載荷，點擊載入中選擇字典，然后點擊開始攻擊
通過長這一列來判斷爆破是否成功，看到不一樣的長，我們點擊它，然后點擊
之后我們點擊響應，看到了flag，當然也可以自己手動輸入密碼
flag:cyberpeace{7caf75b6f189f19ee14008ac95003882}

七、simple php

打開頁面，發(fā)現(xiàn)跟傳參有關，我們先傳?a==0,得到如圖所示
發(fā)現(xiàn)是一半flag,我們看一下語句，這里注意：is_numeric() 函數(shù)用于檢測變量是否為數(shù)字或數(shù)字字符串
傳入對應參數(shù)，得到完整的flag
flag:Cyberpeace{647E37C7627CC3E4019EC69324F66C7C}

八、get post

打開頁面,讓傳遞參數(shù)，照他說的做
然后又讓提交變量,這里直接用hackbar提交，得到flag
flag:cyberpeace{d8b214b7f9ea4ff909293f0d4c05fb6a}

九、xff_referer

先查下相關資料
維基百科上對xff和referer的解釋：
X-Forwarded-For（XFF）是用來識別通過HTTP代理或負載均衡方式連接到Web服務器的客戶端最原始的IP地址的HTTP頭字段。
Referer 請求頭包含了當前請求頁面的來源頁面的地址，即表示當前頁面是通過此來源頁面里的鏈接進入的。服務端一般使用 Referer 請求頭識別訪問來源，可能會以此進行統(tǒng)計分析、日志記錄以及緩存優(yōu)化等。
簡單地說，xff是告訴服務器當前請求者的最終ip的http請求頭字段，通常可以直接通過修改http頭中的X-Forwarded-For字段來仿造請求的最終ip
referer就是告訴服務器當前訪問者是從哪個url地址跳轉到自己的，跟xff一樣，referer也可直接修改
開始做題：
打開頁面，顯示ip必須為123.123.123.123，開始抓包，在代理一欄，然后發(fā)送給Repeater，然后點擊重發(fā)器，點擊頭，點擊添加，之后添加如下所示，再點擊發(fā)送
從上圖右邊可以看到有一段話必須來自…，然后再次添加referer，如下圖所示
添加完點擊發(fā)送，看到了flag
flag：cyberpeace{e79f149f49a3503d622f0494bc630f3a}

十、webshell

百度百科：
webshell就是以asp、php、jsp或者cgi等網頁文件形式存在的一種代碼執(zhí)行環(huán)境，主要用于網站管理、服務器管理、權限管理等操作。使用方法簡單，只需上傳一個代碼文件，通過網址訪問，便可進行很多日常操作，極大地方便了使用者對網站和服務器的管理。正因如此，也有小部分人將代碼修改后當作后門程序使用，以達到控制網站服務器的目的。 [1]
顧名思義，“web”的含義是顯然需要服務器開放web服務，“shell”的含義是取得對服務器某種程度上操作命令。webshell主要用于網站和服務器管理，由于其便利性和功能強大，被特別修改后的webshell也被部分人當作網站后門工具使用。

打開頁面，直接用中國菜刀（這個也屬于是一個webshell），然后右鍵添加，如下圖所示
添加好之后直接雙擊打開，頁面如下
打開flag.txt
flag：cyberpeace{1d4d78cf4b8f02604295835ba209fd72}

十一、command execution

先了解相關知識
PING:https://blog.csdn.net/qq646748739/article/details/81660514
WAF：Web應用防護系統(tǒng)（也稱為：網站應用級入侵防御系統(tǒng)。英文：Web Application Firewall，簡稱： WAF）。利用國際上公認的一種說法：Web應用防火墻是通過執(zhí)行一系列針對HTTP/HTTPS的安全策略來專門為Web應用提供保護的一款產品。
ls命令：https://blog.csdn.net/dyw_666666/article/details/79184126
cat命令：https://blog.csdn.net/linghu_java/article/details/44058661?ops_request_misc=%257B%2522request%255Fid%2522%253A%2522164430912616780255241674%2522%252C%2522scm%2522%253A%252220140713.130102334…%2522%257D&request_id=164430912616780255241674&biz_id=0&utm_medium=distribute.pc_search_result.none-task-blog-2_allsobaiduend~default-2-44058661.first_rank_v2_pc_rank_v29&utm_term=cat%E5%91%BD%E4%BB%A4&spm=1018.2226.3001.4187
開始做題：
先使用搜索命令查找是否有flag.txt這一文本
ping一下，如圖所示，找到了flag.txt
之后用cat命令打開文本
ping一下，出現(xiàn)了
flag：cyberpeace{50da66af3eac110a4eaf116169f0286e}

十二、simple js

打開頁面，是個輸密碼的頁面，直接點確定，然后進入一個空白頁面，這時直接查看頁面源代碼，發(fā)現(xiàn)有東西
這個看起來好像url解碼，這里將\x換成%，然后使用url解碼，解出來一堆數(shù)字，此時對照ASCII碼表進行解密，解出來786OsErtk12
flag：Cyberpeace{786OsErtk12}

總結

以上是生活随笔為你收集整理的攻防世界web练习区的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。