由题可知本题考查cookie，那么什么是cookie？ cookie是指某些网站为了辨别用户身份、进行session跟踪而储存在用户本地终端上的数据(通常经过加密)
这个按钮是不可按的，打开f12调出后台，发现其中有一句disabled=""，将这句话删去，再点击按钮即可
先随意输入用户名和密码，发现弹出如下弹框
意思是希望我们用户名使用admin登入 同时f12调出后台，发现如下注释 或许我们需要字典 关于破解账号密码，我们需要用到一个工具burpsuit，可以在网上下载，另外可以在github中下载常用的爆破工具。 最终我们破解出密码为123456，值得一提的是我们大多猜密码的时候都是用123456先去尝试 最后用用户名为admin，密码为123456进行登入得到flag
题目提示了waf，那么什么是waf Web应用防护系统(也称为:网站应用级入侵防御系统。英文:Web Application Firewall，简称: WAF)。利用国际上公认的一种说法:Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。 在网络中ping是一个十分强大的TCP/IP工具。它的作用主要为： （1）用来检测网络的连通情况和分析网络速度； （2）根据域名得到服务器IP； （3）根据ping返回的TTL值来判断对方所使用的操作系统及数据包经过路由器数量。 我们通常会用它来直接ping IP地址，来测试网络的连通情况。 除此之外还有一些其他的功能： ping-t的使用 不间断地ping指定计算机，知道管理员中断。 这说明电脑连接路由器是通的，网络效果好。下面按住键盘的Ctrl+c终止它继续ping下去，就会停止了，会总结出运行的数据包有多少，通断的有多少了。 3. ping-a的使用 Ping-a解析计算机名与NetBios名。就是可以通过ping它的IP地址，可以解析出主机名。 ping-n的使用 在默认情况下，一般都只发送4个数据包，通过这个命令可以自己定义发送的个数，对衡量网络速度都很有帮助，比如我想测试发送10个数据包的返回的平均时间为多少，最快时间为多少，最慢时间为多少就可以通过以下获知： 从以上可以知道在给47.93.187.142发送10个数据包的过程当中，返回了10个，没有丢失，这10个数据包当中返回速度最快为32ms，最慢为55ms，平均速度为37ms。说明我的网络良好。 如果对于一些不好的网络，比如监控系统中非常卡顿，这样测试，返回的结果可能会显示出丢失一部分，如果丢失的额比较多的话，那么就说明网络不好，可以很直观地判断出网络情况。 5. ping-I size的使用 -l size：发送size指定大小的到目标主机的数据包。 在默认的情况下Windows的ping发送的数据包大小为32byt，最大能发送65500byt。当一次发送的数据包大于或等于65500byt时，将可能导致接收方计算机宕机。所以微软限制了这一数值；这个参数配合其它参数以后危害非常强大，比如攻击者可以结合-t参数实施DOS攻击。（所以它具有危险性，不要轻易向别人计算机使用）。 比如，ping -l 65500 -t 211.84.7.46 会连续对IP地址执行ping命令，直到被用户以Ctrl+C中断 如果你只有一台计算机也许没有什么效果，但如果有很多计算机那么就可以使对方完全瘫痪，网络严重堵塞，由此可见威力非同小可。 另外： && :执行两个命令，若前面出错，后面不会执行 • ＆ : 执行两个命令，若前面出错，后面还是会执行 • || : 执行正确的那个命令，前面的失败，后面也会执行，前面成功，后面不会执行 • | : 只会执行后面的命令
我们输入本地ip 127.0.0.1 ping一下本机，发现可以通 我们需要找的是关于flag的信息，所以我们可以输入127.0.0.1的后面加上限制条件，寻找名字带为“flag”的，发现存在一个flag.txt的文件 使用cat命令对文本进行查看，就能得出flag
打开文件发现是php语言 根据代码，我们可以得出我们需要一个a变量和b变量，a变量要等于0但是不能为false，我们可以想到a变量是一个字符串的‘0’；b变量不能是一个数字，且大于1234才能起作用 我们输入a变量，发现出现了一半 再输入b变量，可以获得全部的flag
X-Forwarded-For：简称XFF头，它代表客户端，也就是HTTP的请求端真实的IP，只有在通过了HTTP 代理或者负载均衡服务器时才会添加该项 HTTP Referer是header的一部分，当浏览器向web服务器发送请求的时候，一般会带上Referer，告诉服务器我是从哪个页面链接过来的 可以选择火狐自带的插件ModHeader 输入设置ip地址 然后提示referee必须为谷歌 即可得到flag 还有一种方法是用burpsuit，利用抓包后输入信息
webshell（分类为远程访问木马）是作为一个基于网络的实现的网络安全威胁shell概念。 Webshell可以上传到Web服务器，以 允许远程访问Web服务器，例如Web服务器的文件系统。 Webshell的独特之处在于它使用户能够通过充当命令行界面的Web浏览器访问Web服务器。用户可以使用Web浏览器通过万维网访问远程计算机在任何类型的系统上，无论是台式计算机还是带有Web浏览器的手机，都可以在远程系统上执行任务。主机或客户端都不需要命令行环境。这个是PHP最常见的一句话木马的源码，通过post木马程序来实现木马的植入，eval()函数把字符串按照PHP代码来计算 这是一个一句话木马 这里我们要用到一个工具叫蚁剑 右键添加数据，设置格式 登入后可以发现一个flag.txt
打开即可获得flag
尝试输入密码123 f12打开后台 注意观察这段代码 由\x我们联想到转换为将\x换成%再由url编码转换为数字，由数字转换为ascii码，最后将ascii码输入即可
