jean luo1. 题目背景与核心考察点
这道来自NSSCTF平台"Welcome To HDCTF 2023"的WEB题目，是典型的CTF入门级Web安全挑战。题目界面通常呈现为一个看似简单的网页，可能包含欢迎信息、输入框或隐藏元素。这类题目主要考察以下几个核心技能：
- 基础信息收集能力（源码审计、网络请求分析）
- 常见Web漏洞识别（如XSS、SQLi、目录遍历等）
- 基础编码/加密的识别与处理
- 浏览器开发者工具的熟练使用
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 初始信息收集与侦察
2.1 页面静态分析
首先用浏览器打开题目链接，按下F12进入开发者工具。重点检查：
- HTML源码：查看注释、隐藏字段、异常属性
- JavaScript代码：寻找敏感函数调用或加密逻辑
- 网络请求：观察加载的资源文件和API调用
典型发现可能包括：
- 页面注释中的提示（如
<!-- flag is in /secret -->） - 引用了外部加密JS库
- 存在隐藏的表单字段或iframe
2.2 目录扫描与文件探测
使用工具对网站目录进行探测：
bash复制dirsearch -u http://example.com -e php,html,js,txt
重点关注：
/robots.txt/.git//admin//backup/
3. 常见解题路径分析
3.1 前端代码审计
检查页面JavaScript可能发现如下线索：
javascript复制function checkFlag(input) {
// 简单替换加密
let encoded = input.replace(/a/g, '1').replace(/b/g, '2');
if(encoded === "hdctf{12345}") {
alert("Correct!");
}
}
解题方法：
- 逆向替换逻辑：将数字还原为字母
- 构造正确的输入格式
3.2 HTTP头与Cookie分析
使用Burp Suite拦截请求，可能发现：
- 响应头包含
X-Flag: base64_encoded_string - Co