ctf web题型 常用姿势及工具使用技巧 PPT资料包

Wappalyzer 识别技术栈（框架、数据库等 ）；抓包工具（Burp Suite ）截获请求，检查 Cookie、自定义 Header 藏的提示。（框架 / 语言，如 PHP/Flask ），辅助定位漏洞（如 Flask 可能有 SSTI ）。：复现经典赛题（如强网杯、HackTheBox ），总结同类漏洞套路。：输入点（URL 参数、表单、Cookie ）传入单引号。（识别服务器类型，如 Nginx/Apache ）、字段 ）、JS 代码（可能藏接口、加密逻辑 ）。：抓包改参数，测试业务流程漏洞。

使用Python开发，想要在windows系统下使用需要安装Python环境。解压后便可以使用了正确安装环境并部署源码包之后，在命令行下输入会显示类似下图所示的界面。

先记录,以后再试试 https://github.com/gnab/remark/wiki http://segmentfault.com/blog/sweetdum/1190000000484121 http://www.woiweb.net/impress-js-tutorial.html https://github.com/bartaz/impress.js/...

基础工具：Burpsuite，python，firefox

本人从事网路安全工作12年，曾在2个大厂工作过，安全服务、售后服务、售前、攻防比赛、安全讲师、销售经理等职位都做过，对这个行业了解比较全面。最近遍览了各种网络安全类的文章，内容参差不齐，其中不伐有大佬倾力教学，也有各种不良机构浑水摸鱼，在收到几条私信，发现大家对一套完整的系统的网络安全从学习路线到学习资料，甚至是工具有着不小的需求。最后，我将这部分内容融会贯通成了一套282G的网络安全资料包，所有类目条理清晰，知识点层层递进，需要的小伙伴可以点击下方小卡片领取哦！

一、抓包工具 Fiddler：轻量级，简洁，原理是使用代理 有一个大坑，如果打开抓包工具，运行Python Requests发起网络请求，Python程序会运行得非常慢，所以必须把抓包工具关掉才可以快速运行抓包工具。 Wireshark PurpSuite：基于Java的多功能套装 二、Web题的几种姿势 1.只用浏览器 查看源码，寻找提示和漏洞 打开Console，在控制台下输入语句...

笔记