这是我昨天做的web的五道题
1、上传也不一定成功...
进入题目,如图
可知，此题要在源码中找flag，点击题目链接，如图
上传一张jpg图片，先分析一下源码，如图
即要是jpg图片又要上传的格式为.php，所以在图片后加.php后缀绕过。找到本地图片，加上后缀.php。如图所示
点击上传，即可得到flag ，如图
2 、robots了解一下
进入题目，如图
可知，是查找文件。首先要了解robots.
点击题目链接，如图
robots.txt是搜索引擎中访问网站的时候要查看的第一个文件。当一个搜索蜘蛛访问一个站点时，它会首先检查该站点根目录下是否存在robots.txt，如果存在，搜索机器人就会按照该文件中的内容来确定访问的范围；如果该文件不存在，所有的搜索蜘蛛将能够访问网站上所有没有被口令保护的页面。所以我们要访问该网站的第一个文件即robots.txt。把网站的后缀改为robots.txt.如图
回车，可以找到flag。如图
3 、密码**
进入题目，如图
点击 题目链接，可知这是一道**题，需要抓包。
程序猿：“该死的黑客，我让你绕！我验证一次就让你的验证码失效，看你怎么绕！”
Tips:密码是4位数字，首位不是0.如图
随便输入密码，和正确输入验证码，开始抓包，如图
因为 该验证码只能验证一次，所以把验证码去掉，不对其**，如图
然后开始选择**，鼠标右键选 send to intruder 或 CTRL+I。进入intruder，选择数字类型的**，数字从1000到9999.如图
最后开始攻击，如图
结果如图所示，不同于 其他length的为正确的密码。
点击Length为331，即可得到key，如图
4 、根据提示来，密码已经告诉你
进入题目，如图
j进入题目链接，如图
这也是一道 **题，由于不知道密码类型，先去看看源代码，在源代码最后可以找到字典，在该网站打开该字典，下载到桌面来，如图
然后开始抓包，**。如图
点击Lenght为2050，如图所示
根据题知， **后需要用base 64 位解码，所以对上图红色框内进行base 64 解码，如图
解码后是一个php网站，所以 加上该网站，如图
然后输入留言，在进行抓包，**，如图
把IsLogin=0改为=1，让其登陆，然后forward，发现你的权限不够，如图
这是需要把访客浏览改为root浏览，如图
这时就可以访问成功了，如图
然后去http history找收到的包，在response里找到flag。如图
5、PHP代码审计
进入题目，如图
进入题目链接，如图
点击View the source code,出现源代码，分析代码。如图
这是一道PHP的代码题，涉及到安全哈希加密算法 sha1
=== 在进行比较的时候，会先判断两种字符串的类型是否相等，再比较值是否相等
== 在进行比较的时候，会先将字符串类型转化成相同，再比较。
所以name[]数组与password[]数组类型相同但数值不相等。如图
回车 得到flag，如图