渗透小白4:CTF实践( 二 ) _ctf

WEB（web类）
WEB应用在今天越来越广泛，也是CTF夺旗竞赛中的主要题型，题目涉及到常见的Web漏洞，诸如注入、XSS、文件包含、代码审计、上传等漏洞。这些题目都不是简单的注入、上传题目，至少会有一层的安全过滤，需要选手想办法绕过。且Web题目是国内比较多也是大家比较喜欢的题目。因为大多数人开始安全都是从web*站开始的。
实验步骤和内容
目的：获取靶机Web文件/root/flag.txt中flag 。

文章插图
基本思路：本网段IP地址存活扫描()；网络扫描(Nmap)；浏览HTTP 服务；网站目录枚举(Dirb)；发现数据包文件 “cap”；分析 “cap” 文件，找到网站管理后台账号密码；插件利用（有漏洞）；利用漏洞获得服务器账号密码；SSH 远程登录服务器；另类应用。
发现目标 ()，找到的IP地址
1.打开和kali.
*
**
2.nmap -v sn 官网地址（192.168.222.2）/24
找没有host down的ip，即为的IP地址
查看目标主机端口开放、服务情况（NMAP扫描）
利用浏览器访问目标网站