第三届“陇剑杯”CTF比赛部分WP（Web部分和应急） - 详解

今天给大家带来第三届“陇剑杯”CTF比赛（2025年9月6号）的个人解题思路（部分flag），本人目前还能力有限，不能完整找出所有的flag（惭愧）；
要是各位师傅大佬能够完成所有的题目，欢迎在评论区分享自己的想法（自己写的博客也允许，请指出链接）或者私信我都可以。

文章目录

• • forge（Web）
  • • 解决方法
  • 总结

---

forge（Web）

因为Web题给出的是一个在线容器，所以就只有图片讲解：

我们打开容器后，发现了一个登录页面：

随后轻松目录扫描后，发现了四个目录：

• /register.php ——>index.php（未授权，重定向到index页面）
• index.php
• upload ——>index.php
• dashborard

随后尝试漏洞扫描以及sql注入等，都未发现；

所以后面就去register页面尝试：

• 提示：只有admin才有授权进入页面

所以我就尝试创建admin用户，密码123，但是点击确定后就回弹到index.php页面，说明不可行；

解决方法

然后就想着怎么注册admin用户，随后就用bp抓包，并且用全角字符 n 尝试绕过（bp修改请求包，再放包即可）

bp抓包后，再放包

上述的操作是为了绕过系统对admin的限制，所以使用全角字符来进行绕过；

然后登录页面正常输入admin和密码即可：

进入upload页面：
并使用python代码编写脚本，来得到创建一个test.pkl材料。

随后上传即可：

点击执行：

即可得到flag：

---

总结

原本想给大家继续写应急部分的，但是因为写的时候有点事，所以就拖到下一篇吧。