網(wǎng)頁闖關(guān)小游戲闖關(guān)記錄（一）ISA TEST

在知乎上找到一個關(guān)于CTF入門的回答，答主很專業(yè)的給出了建議和一些對應(yīng)的訓(xùn)練平臺，這里我試了試幾個，自己半吊子水平，只能玩一些簡單的，這里把自己做的過程記錄下來，這幾個基本都能查到通關(guān)秘籍（我是怎么知道的？沒錯我太渣沒法通關(guān)去查秘籍了），我寫下來只當(dāng)是自己的備忘，大牛請無視。。。。

ISA TEST看起來貌似是深圳職業(yè)技術(shù)學(xué)院計(jì)算機(jī)學(xué)院信息安全協(xié)會做的一個闖關(guān)小游戲，一共7關(guān)，難度較低，我這種渣渣都能做，不過最后一關(guān)還是查了writeup。

第一關(guān)：

和類似闖關(guān)游戲的套路相同，第一關(guān)都很簡單，密碼肯定藏在網(wǎng)頁源碼里，查看源碼在注釋里得到密碼為26212baa24fecb0e22ebb545534ea766，密碼是自動隨機(jī)生成的，這里給出密碼并沒有什么意義……進(jìn)入下一關(guān)。

第二關(guān)，簡單的加密，

剛好之前了解了一些簡單的加密知識，看出來這是base64加密過的密碼（也是隨機(jī)生成的），去找一個可以解密base64的網(wǎng)站解密得到dd94ee970c52d62052ff6f635bf5eaa7，進(jìn)入第三關(guān)。

第三關(guān)是一個繞過本地驗(yàn)證的題目：

查看源碼，發(fā)現(xiàn)提交表單的時候會觸發(fā)function check()，通過源代碼中的函數(shù)代碼可以看出這段函數(shù)的功能是：判斷密碼框是否為空，如果為空就提示密碼不能為空，如果不為空在判斷長度是否超過了30位（如果不加任何修改就提交或者輸入任何長度超過30的密碼），如果超過了30位就提示密碼長度不能超過30 ，如果既不為空長度也在30以內(nèi)就提示密碼是balabala然后再把框里的內(nèi)容改成這個密碼，而無論哪一種情況，函數(shù)都會返回false，也就是沒法完成提交。所以這里我們的思路就是繞過這個函數(shù)，這里提供兩種思路，一個是：既然是通過調(diào)用js函數(shù)實(shí)現(xiàn)驗(yàn)證，那就禁用js好了，我用的chrome瀏覽器，可以單獨(dú)對這個域名禁用js腳本，禁用之后重新刷新進(jìn)入第四關(guān)，不過不要忘了把js再啟用；第二個思路是利用firebug強(qiáng)大的網(wǎng)頁即時修改功能，把調(diào)用函數(shù)的那一步跳過，比如把onsubmit事件改為“return true”（如下圖），無論如何都提交表單，這樣也可以進(jìn)入下一關(guān)，而且還能看到一個通關(guān)成功的提示。

第四關(guān)：

這也是很常見的在文件里面藏key的做法，社團(tuán)logo這張圖片下載到本地，用UE打開為16進(jìn)制和文本，按照一般套路，直接拉到文件最下面，看到

……可以感受到作者希望我們找到密碼的真摯迫切的心情。

第五關(guān)：

一個社工題：

協(xié)會的門牌號，這個就要去這個協(xié)會的相關(guān)網(wǎng)站上去找找了，先去到主域名，是一個主頁，鏈接到論壇、游戲等等，進(jìn)入論壇，不難找到頁面最下方有關(guān)于協(xié)會的介紹，當(dāng)然也有門牌號401

第六關(guān)：

這種游戲的提示一般都會起兩種作用：提供線索或者擾亂思緒，這里明顯是前者，作者說已經(jīng)給我了，我第一反應(yīng)是藏在前幾個關(guān)卡中，自己沒主意疏忽了，又從頭過了一遍前面的題目，沒有發(fā)現(xiàn)，又想服務(wù)器給了我http的響應(yīng)包，會不會藏在包里，或者，會不會藏在cookie里面。這里試探性用chrome上非常強(qiáng)大的插件edit this cookie看了下果然cookie里面有一項(xiàng)ISA_Level_6_password,它的值就是通關(guān)密碼。

最后一關(guān)：這是我覺得最難最難也是最有意思的一關(guān)，實(shí)話說，這一關(guān)我沒做出來，我搜的答案，我沒理解作者說的慣性思維會阻礙我是啥意思，而且作者又說把密碼告訴我了……我就又去查了cookie，又去抓了包，沒有找到任何有價值的信息，最后實(shí)在沒辦法去搜了答案……看來我腦洞還不夠大……作者確實(shí)告訴了我們密碼是什么，因?yàn)槊艽a就是“什么”……

這個闖關(guān)游戲做的比較簡單，適合我這種新手，而且也很有意思，界面做的我覺得很棒，能讓我這種門外漢YY一把高手的感覺。。。

還是那句話，我是渣渣，此文僅作備忘，如果有什么錯誤的地方（肯定有）還請大家指教，我也在努力學(xué)習(xí)中……