1.攻防世界 baby_web
题目描述这里有提示，初始页面
进入题目页面如下
很简洁的页面只有一行HELLO WORLD
ctrl+u查看了源码也没有信息
用burp suite抓包，并发送到重放器
根据提示（初始页面）修改访问index.php文件
index.php
index.php 是一种常见的网页脚本文件
index.php 是 PHP 脚本语言编写的文件，通常作为网站的默认首页或重要的入口页面。PHP 是一种广泛应用于 Web 开发的服务器端脚本语言，能够嵌入到 HTML 代码中，实现动态网页功能，如与数据库交互、处理用户输入、生成动态内容等。
代码注入漏洞
SQL 注入：如果 index.php 文件中存在对用户输入数据未进行充分过滤和验证就直接用于数据库查询的情况，攻击者可能通过在输入字段（如登录框、搜索框等）中输入恶意 SQL 语句，来篡改或窃取数据库中的数据。例如，攻击者可以尝试通过注入语句来获取管理员账号密码，进而控制网站。
命令注入：当 index.php 调用系统命令或执行外部程序时，如果没有对用户输入进行严格校验，攻击者可能会注入恶意命令，让服务器执行非预期的操作，如删除文件、修改系统配置等，严重威胁服务器的安全和稳定。
代码注入：攻击者可能尝试通过漏洞将恶意 PHP 代码注入到 index.php 中，若服务器执行了这些恶意代码，可能导致网站被篡改、用户数据泄露等严重后果。
文件包含漏洞：如果 index.php 使用了文件包含函数（如 include、require 等），且没有对包含的文件路径进行严格验证，攻击者可能利用这一点来包含恶意文件，从而执行恶意代码。比如攻击者通过构造特殊的 URL 参数，让服务器包含服务器上其他敏感文件，获取敏感信息。
跨站脚本攻击（XSS）：若 index.php 在输出用户输入内容到页面时没有进行适当的转义和过滤，攻击者可能会注入恶意脚本代码。当用户访问该页面时，浏览器会执行这些恶意脚本，从而窃取用户的登录凭证、个人信息等，或者进行钓鱼攻击，诱使用户执行其他危险操作。
权限配置问题：如果服务器对 index.php 文件或其所在目录的权限设置不当，可能导致文件被非法访问、读取、修改或删除。例如，若文件权限设置为所有人都可写，攻击者就可能直接修改 index.php 文件内容，破坏网站的正常运行。
Hex
“Hex” 是 “Hexadecimal” 的缩写，代表十六进制，是一种在数学和计算机领域广泛使用的计数系统
十六进制由 0 - 9 这十个数字以及 A - F 这六个字母组成，其中 A - F 分别代表十进制中的 10 - 15。它逢十六进一，与我们日常生活中常用的十进制（逢十进一）有所不同。在十六进制中，一个数位可以表示 0 到 15 之间的数
在书写十六进制数时，通常会在数字前面加上 “0x” 或 “#” 来表示这是一个十六进制数
在 Burp Suite 中，“Hex”主要用于对请求和响应数据进行十六进制的查看与编辑
提示Flag is hidden!说flag被藏了
在Hex中找到flag
flag{very_baby_web}
