功放世界web新手区

第一题：view_source:

顾名思义就是查看网页源代码，按一下f12就ok

第二题：robots协议

换言之就是，robots协议告诉了我们，什么可以爬，什么不可以爬，要是觉得坐牢没什么，那就可以不看了；

查看网页的robots协议：在网页后面加上/robots.txt就ok了

Allow 代表允许访问，Disallow 就是禁止访问，User-agent 可以判断是哪家爬虫，经常产生新数据网站 sitemap 文件会用的比较多。

网站没有Robots.txt文件的弊端

如果网站中没有robots.txt文件，则网站中的程序脚本、样式表等一些和网站内容无关的文件或目录即使被搜索引擎蜘蛛爬行，也不会增加网站的收录率和权重，只会浪费服务器资源；搜索引擎派出的蜘蛛资源也是有限的，我们要做的应该是尽量让蜘蛛爬行网站重点文件、目录，最大限度的节约蜘蛛资源。

首先我们来学习一下Robots协议。

Robots协议（也称为爬虫协议、机器人协议等）的全称是“网络爬虫排除标准”（Robots Exclusion Protocol），网站通过Robots协议告诉搜索引擎哪些页面可以抓取，哪些页面不能抓取。

robots协议通常以robots.txt存在，robots.txt文件是一个文本文件，robots.txt是一个协议，而不是一个命令。robots.txt是搜索引擎中访问网站的时候要查看的第一个文件。robots.txt文件告诉蜘蛛程序在服务器上什么文件是可以被查看的。

robots.txt文件写法：

User-agent: * 这里的代表的所有的搜索引擎种类，是一个通配符

Disallow: /admin/ 这里定义是禁止爬寻admin目录下面的目录

Disallow: /require/ 这里定义是禁止爬寻require目录下面的目录

Disallow: /ABC/ 这里定义是禁止爬寻ABC目录下面的目录

Disallow: /cgi-bin/.htm 禁止访问/cgi-bin/目录下的所有以".htm"为后缀的URL(包含子目录)。

Disallow: /?* 禁止访问网站中所有包含问号 (?) 的网址

Disallow: /.jpg$ 禁止抓取网页所有的.jpg格式的图片

Disallow:/ab/adc.html 禁止爬取ab文件夹下面的adc.html文件。

Allow: /cgi-bin/　这里定义是允许爬寻cgi-bin目录下面的目录

Allow: /tmp 这里定义是允许爬寻tmp的整个目录

Allow: .htm$ 仅允许访问以".htm"为后缀的URL。

Allow: .gif$ 允许抓取网页和gif格式图片

Sitemap: 网站地图 告诉爬虫这个页面是网站地图

参考：http://c.biancheng.net/view/5878.html

第三题：你知道index.php的备份吗

Index.php的备份有两种：：：*i.php*和*index.php.bakè这是一个下载的文件，下载下来然后修改文件后缀为txt即可

第四题:cookie：

Cookie，有时也用其复数形式 Cookies。类型为“小型文本文件”，是某些网站为了辨别用户身份，进行Session跟踪而储存在用户本地终端上的数据（通常经过加密），由用户客户端计算机暂时或永久保存的信息 [1]  。；

首先，通过查看网页源代码，发现cookie中有一个look here的cookie.php，

因为是PHP文件，将cookie.php添加到IP地址之后，回车（发送一个request请求）

接着通过F12查看response相应头，即可获得flag；

第五题：不可按的按钮

按f12，查看网页源代码，在按钮标签里面，有一个disable，这是用来控制按钮是否能按的，去掉就好

第六题：弱密码

此题中，用户一般是admin，密码：password，123456这种简单密码挨个挨个试就行

弱密码即容易破译的密码，多为简单的数字组合、帐号相同的数字组合、键盘上的临近键或常见姓名，例如“123456”、“abc123”、“Michael”等。终端设备出厂配置的通用密码等都属于弱密码范畴。

国内弱密码

国内网民常用的25个弱密码包括：000000、111111、11111111、112233、123123、123321、123456、12345678、654321、666666、888888、abcdef、abcabc、abc123、a1b2c3、aaa111、123qwe、qwerty、qweasd、admin、password、p@ssword、passwd、iloveyou、5201314

编辑本段

国外弱密码

国外网民常用的25个弱密码包括：password、123456、12345678、qwerty、abc123、monkey、1234567、letmein、trustno1、dragon、 ball、111111、iloveyou、master、sunshine、ashley、bailey、passw0rd、shadow、123123、654321、superman、qazwsx、michael、football

中国网民常用的TOP25 “弱密码”中，有9个与国外网民使用习惯完全相同。其中，除password、abc123、iloveyou、qwerty等全球网民通用“弱密码”外，其余均为数字组合。而简单的数字组合，似乎更是中国网民最爱，占了榜单近半数。比如“666666”和“888888”这样的吉利数，几乎是所有中国黑客密码字典中的必备项，而“5201314”(我爱你一生一世)显然被国人寄予了浓厚的感情色彩，为中国特色“弱密码”。

据统计，网民常用的“弱密码”主要包括简单数字组合、顺序字符组合、临近字符组合以及特殊含义组合等四大类别。而从中国版“弱密码”榜单来看，国内网民更习惯设置6位字符密码，TOP25中竟有18个是6位字符，所占比例高达72%。此外，“a1b2c3”和“p@ssword”这类组合型密码看似复杂，其实也在黑客重点关注的密码列表中。

第七题：Command_execution:

慢慢找出flag所在的文件位置即可：

执行：127.0.1:&&ls  确认能使用

执行：127.0.0.1
&& ls ../../../../home

执行:127.0.0.1
&& cat ../../../../home/flag.txt

第八题：simple_php(PHP代码审计)：

第9题：get_post

通过浏览器即可发送get请求；火狐下载hackbar插件

第10题：xxf_referer:

Xff既是X-Forwarded-For：是用来识别通过HTTP代理或负载均衡方式连接到Web服务器的客户端最原始的IP地址的HTTP请求头字段。（可以理解为IP地址）

HTTP Referer是header的一部分，当浏览器向web服务器发送请求的时候，一般会带上Referer，告诉服务器该网页是从哪个页面链接过来的，服务器因此可以获得一些信息用于处理。

第12题：simple_js

打开网页源代码，会发现里面有以下字符串，

\x35\x35\x2c\x35\x36\x2c\x35\x34\x2c\x37\x39\x2c\x31\x31\x35\x2c\x36\x39\x2c\x31\x31\x34\x2c\x31\x31\x36\x2c\x31\x30\x37\x2c\x34\x39\x2c\x35\x30"先到把\x转换为%，将字符串转换为URL编码，%35%35%2c%35%36%2c%35%34%2c%37%39%2c%31%31%35%2c%36%39%2c%31%31%34%2c%31%31%36%2c%31%30%37%2c%34%39%2c%35%30

解码得：55,56,54,79,115,69,114,116,107,49,50

将这串数字进行ASCII码转换得：786OsErtk12

自己加个flag或者Cyberpeace即可