為了更好的體驗，請見我的---->個人部落格
XCTF的web塊入門區非常簡單，适合一些剛接觸安全或者對網絡安全常識比較了解的同學在安全搞累之餘娛樂娛樂。
其主要考察下面幾點：
- 基本的PHP、Python、JS文法
- 基本的代理BurpSuite使用
- 基本的HTTP請求互動過程
- 基本的安全知識（Owasp top10)
1.View_source
題目描述：X老師讓小甯同學檢視一個網頁的源代碼，但小甯同學發現滑鼠右鍵好像不管用了。
想當然的這道題是考驗一個檢視網頁前端源代碼的常識，除了滑鼠右鍵檢視還能F12或者burp抓包
2.robots
看到這個标題就想到網頁的robots.txt檔案，其告訴爬蟲和搜尋引擎哪些内容可以被爬取，而哪些不可以。我們嘗試通路這個檔案:
http://111.200.241.244:58976/robots.txt
發現有一個flag的php檔案，直接通路可以得出答案
3.backup
題目描述：X老師忘記删除備份檔案，他派小甯同學去把備份檔案找出來,一起來幫小甯同學吧！
通路題目場景後讓我們檢視index.php的備份檔案。
常見的網頁備份檔案字尾為 .git .svn .swp .~ .bak .~ .back .bash_history
這道題是index.php.bak，通路後下載下傳下來這個備份檔案，用記事本打開看到flag
4.cookie
根據抓包資訊，讓我們通路cookie.php
通路cookie.php後提示我們See the http response。再抓個包看response
成功定位目标
5.disabled_button
檢視前端代碼
直接删除disabled即可
6.weak_auth
題目描述：小甯寫了一個登陸驗證頁面，随手就設了一個密碼。
猜測弱密碼，burp進行爆破，最後得出admin和123456
7.simple_php
這是一段簡單的php代碼審計
<?php
show_source(__FILE__);
include("config.php");
$a=@$_GET['a'];
$b=@$_GET['b'];
if($a==0 and $a){
echo $flag1;
}
if(is_numeric($b)){
exit();
}
if($b>1234){
echo $flag2;
}
?>
GET請求傳參，a值為0并且a不為0，b不能是數字也不能是數字字元串但是要大于1234
is_numeric : 如果指定的變量是數字和數字字元串則傳回 TRUE，否則傳回 FALSE，注意浮點型傳回空值，即 FALSE。
http://111.200.241.244:57773/?a='0'&b=12345a
8.get_post
非常無聊的一道題
9.xff_referer
僞造xff和referer。
我們的ip需要為123.123.123.123 ， 以及來源為google。
10.webshell
webshell都幫你做好了，菜刀或者蟻劍直接連上去就能看到flag了。
11.command_execution
這是一個沒有waf的指令執行。
12.simple_js
開屏彈窗，直接禁用js，檢視源碼，通過代碼審計，發現真密碼在最下面
這是一串url編碼，解碼後又是一串ascii碼，解碼得到最終的flag
總結
新手區的這12道題目完全考驗常識，是為了消除你對ctf的恐懼感，真正的ctf試題比這個難十倍以上，這12道題完全可以在10分鐘内全部搞定，全當娛樂而已。