Bugku CTF web 你必须让他停下来 解题思路

在一堆弹窗后找到了一串奇怪的东西，认出97为'a'的ASCII码，且正好为第三个，可以认为这一串即为flag，自己用python写了一个小程序转了一下码（没找到合适的工具）发现图片名为11.jpg，再尝试几次发现图片名不同，我们不停放行，再有图片加载出来时查看上一次结果，找到flag。观察了一下，发现网页一直快速地自动刷新。有时会加载出一张图片，尝试用burp抓包。点了几下，发现这个弹窗一直关不掉，不惯着他，直接F12看源码。

前言：小编也是现学现卖，方便自己记忆，写的不好的地方还请包涵，也欢迎各位大佬多多批评指正。 网址： 你必须让他停下 **1.**打开网址可以看到页面一直在不停的刷新。 **2.**老规矩右键查看源代码，发现源代码中，写着答案在这里，可是并没有看到。 3. 使用bp 抓包查看，小编经过N 次 send后，终于看到了falg出现在了源码中，所有最终的答案是：flag{dummy_game_1s_s0_popular} ...

发现了场景会不断刷新，那么我的第一反应肯定就是让它别刷新了再慢慢往后走，作为一个小白我一开始也不清楚如何禁止刷新，打开F12看看到底是什么代码在控制它刷新。禁用之后再次回到网址发现不刷新了，于是我再次打开F12通过Ctrl+r手动刷新并且查看是否含有flag。大家好，作为一个CTF方面的小白，以后我也希望每做一次题目就和大家分享分享自己的解题过程。所以大胆推测一波是js，上网查查禁用js的方法于是我在设置里面找到了js并且禁用。（本小白尝试过抓包，抓了半天没抓到果断放弃了）在10.jpg中找到了。.....

写在前面的话： 这里只是记录一些自己的解题思路，或者一些有关解题的乱七八糟的东西，自己是刚零基础接触这方面的东西，所以有表述不当的地方请包容，在此谢过！ 1、web2 点开网址后： 解题思路：F12 打开 开发者工具看看，可以看到需要寻找的flag。 将其复制到提交框即可。 flag： KEY{Web-2-bugKssNNikls9100} 2、计算器 点开网址后： 解题思路：先提交答案...

Bugku (https://ctf.bugku.com/) 第一题：web2(http://123.206.87.240:8002/web2/) 查看源代码：Ctrl+U 检查： Ctrl+Shift+I 查看源代码只可查看代码，不可修改。检查两者兼可。 查看源代码 绿色字体即为flag 第二题：随机数字验证码（http://123.206.87.240:8002/yanzhengma...

#bugku-web 详细解题方法（一）（不需要基础， 跟着步骤走） ##写在最前面：本人是一名计算机萌新，在刚入大学时计算机基础薄弱，特别是信息安全方面，更是一窍不通。后来接触ctf,并且通过bugku平台进行信安方面的练习，和你一样，也是通过博客一步步开始的。但是别人的终究是别人的，我也想把我在做题过程中踩过的坑，积累的经验更好的梳理一下，所以才有了这篇文章，我会尽我可能把过程写的详细，也希望可以帮助到同样身处征途的你。（萌新上路，如有错误，敬请指正！） 好，咱们话不多说，开始正题。 ##第五题 矛盾

本文汇总了多个CTF题目及解题思路，主要涉及网页源码分析、代码调试、参数构造、文件包含漏洞、爆破攻击等技术。通过查看源代码、修改JS代码、使用工具扫描目录、构造特殊请求参数、利用PHP特性等方法获取flag。部分题目需要结合Burp Suite进行抓包和爆破，或利用框架漏洞执行命令。摘要涵盖了基础Web安全知识和常见CTF解题技巧，包括源码审计、参数伪造、目录遍历、弱密码爆破等实战技术。

web2 打开链接看到一群飞奔而来的小黄脸，然后 按F12，即可看到flag，此题flag为 KEY{Web-2-bugKssNNikls9100} 计算器 打开页面11+45=？ 输入56，可是只能输5，6怎么也输不上去 可能是框内的长度限定了，F12看看 果然，这个maxlength=“1”，改为5试试看 果然，改成5之后，数字输上去了，flag为 flag{CTF-bugku-0032} w...

写点东西记录一下，方便以后查看。 http://ctf.bugku.com/challenges web2： 签到题，花里胡哨的果断去看源码。。。。。 计算器： 发现只能输入一个数字，肯定是对提交的内容做了长度限制，打开开发者工具把长度改一下（如果好运的话如图就直接出结果） web基础$_GET： 发现是很简单的代...

第二题：计算器 尝试输入96，发现只能输入一位数字，于是输入“9”，点击验证，弹出“输入有误！” F12查看网页源代码，发现输入框的最大长度是1。 于是更改最大长度为100，输入正确答案96，得到flag。 第三题：web基础$_GET 题目分析：根据题面和所给代码，判断出是一道GET传参的题。GET传参时请求的参数是在URL中，所以直接在网址后面加上?what=flag。 第四题：web基础$_POST 题目分析：根据题面和所给代码，判断出是一道POST传参的题。

本文详细解析了Bugku平台上一道经典的Web安全挑战题‘你必须让他停下来’。通过分析JS动态刷新机制，介绍了如何利用浏览器开发者工具禁用JavaScript、观察页面变化规律，并运用自动化脚本或网络抓包技术，从动态加载的图片中高效定位并提取最终的flag。文章提供了从静态分析到动态遍历的完整实战思路，帮助读者掌握破解此类前端交互题目的核心方法。

CTF入门 ：Bugku–web–web2 点进相关链接，弹出大量滑稽的大黄脸： 没有提示所以打开f12查看网页源代码，打开源代码就直接看到flag 2.web–计算器 打开网页是这样： 也没有什么提示，而输入数字时发现只能输入一个数字导致验证失败: 所以打开源代码，调整能输入的数字长度 然后输入正确答案即可 3web–GET 阅读代码过后发现时要输入一个参数，所以在地址上输入？what=flag就可以弹出flag 4.web–POST 这和3题类似，但是输入参数的方法不一样，所以这里要用火狐的插件

本文详细解析了Bugku web题目中无限刷新页面的JS陷阱，提供了禁用JavaScript的三种实战方法和源代码分析的进阶技巧。通过自动化刷新与flag捕获方案，帮助读者高效解决此类CTF挑战，同时探讨了相关的安全防护与对抗思路。

bugku web题9~16 write up 域名解析 题目描述：听说把flag.bugku.com 解析到120.24.86.145 就能拿到flag 这里需要了解两个概念： 域名解析： 域名解析是将域名指向网站空间IP，让人们通过注册的域名可以方便地访问到网站的一种服务。IP地址是网络上标识站点的数字地址，为方便记忆，采用域名来代替IP地址标识站点地址。域名解析就是域...

分享一下本人做题记录，不足之处多多指正。Sql注入1：看代码一个循环把select，from,where都给过滤了…要查肯定要用这些语句啊，对怎么绕过毫无思路，只好去网上查，才知道底下xss不是白给的，在关键词中间加html的标记<>，xss的时候再还原回去（知道了一个新套路…）要求查询key表id=1的hash字段，所以提交?id=1 un<br>ion sel<b...

本文详细解析了Bugku Web题目‘你必须让他停下来’的解题思路。面对页面无限刷新的现象，核心在于分析并控制驱动刷新的JavaScript代码。通过查看源代码定位到`setTimeout`或`setInterval`函数，进而采用禁用JS、重写函数或编写自动化脚本等方法，最终从快速切换的系列图片中捕获隐藏的flag。

WEB2 很简单的一道签到题，右键检查即可看到flag 计算器 看到题目的第一步就是想把正确的计算结果输入进去，但是始终只能输入一个数字，点击验证的话会显示答案错误 后来想到使用抓包的方法来改变数据，但是其实这只是一个前端认证抓包也不会将请求数据发送出去。 查看网页源代码 将代码中最大输入长度改成3，再重新输入正确答案即可获得flag web基础$_GET 这道题也很简单，通过页面里的代...

网络安全作为保障数字世界稳定运行的核心技术，其原理在于通过识别、评估和应对各类威胁，保护信息系统与数据的机密性、完整性和可用性。其技术价值不仅体现在防御层面，更在于通过主动的攻防对抗，持续提升系统的健壮性。在应用场景上，网络安全技能正从传统的企业防护，延伸至个人能力变现与职业发展领域。本文聚焦于网络安全技能变现的三大主流实践路径：漏洞挖掘、技术博客写作与安全竞赛。其中，漏洞挖掘作为高回报的“技术狩猎”，其核心在于将深度测试思维与业务逻辑理解转化为直接的商业价值；而技术博客写作则通过持续的知识输出与沉淀，构建