[資安練習平台]blackhost資安練習解答-第11題

學習目標:

• 了解HTTP Encoding編碼格式

解題過程:

在網站原始碼中，56行至57行處，有一段javascript的語法，根據先前解題的經驗，該段語法應屬HTTP Encoding的編碼格式。我們先將整段複製起來!

接下來在網站的Services標籤中，將該段語法貼入，並Decode 2次後，得出該段語法的正確HTML明碼，從中我們可以看出該密碼所在處。

最後順利解出第11題後，即破關了!!!!!!!!!!(恭喜大家)，會出現一個Congratulations!的網頁，恭喜使用者破關成功。

結論:
該blackhost網站平台，在11個關卡的設計上，主要均以網站前端的基本技術為主，而適合學習的對象也鎖定大約是初學者程度，不會有太困難的情境發生。整體練習下來，對於網站的安全測試也會有基礎的了解和觀念，可謂受益良多呢!!!

有興趣的朋友在解完題後，不妨再重新溫習一下每1題所設計的目的和解題方法，同時也可以分享給有興趣的朋友圈們再多次的練習，彼此提昇網站安全的測試功力!!!!

最後除了解題外，該網站確有其他好用的功能，可以幫助有心從事資安領域的初學者作為學習的入門碁石~

END

返回blackhost平台介紹

[資安練習平台]blackhost資安練習解答-第10題

學習目標:

• 了解網站傳輸過程中，get和post的方式
• html註解的方式

解題過程:

當檢視網站原始碼內容時，發現該題在傳送資料上是利用post的方式進行傳送。雖然網站表單在傳輸的過程中，有post和get的方式可以進行資料的傳送，而post在傳輸的過程中，會在http header較為安全。但是在本例中解題中，傳輸的方式和其他的不一樣，我們先暫列為疑點1。

同時，在form表單內中，發現該段的http註解並不完全。正常來說會是<!--xxx -->作為結尾，而在本例中，在最後的注解行中，少了1個註解符號(-)，因此我們將他修正成正常的樣子。

(1)在method="post"中，直接開啟瀏覽器的開發者模式，在<form>的標籤中，直接將post改成get

(2)接下來，需補上一個正常的註解符號(-)，操作方式為在程式碼中，點擊右鍵，選擇編輯HTML碼(edit as HTML)後，將註解符號(-)補上。

最後，會將2個隱藏欄位的值(hidden)值秀出來

待程式碼修改完成後，再將網頁所提供的密碼填入該題的輸入欄位中，再送出資料即可完成本例題的解題操作過程。


第11題解題答案

[資安練習平台]blackhost資安練習解答-第9題

學習目標:

• 學會分辨URL-Encoding code格式

解題過程:

查看網站原始碼的過程中，發現在63行處有一個password的關鍵字，其密碼格式為%開頭的數字，而且井然有序，有一定的規則。在URL-Encoding的格式中，也是採用這樣的方式%_ _，因此暫時推斷該字串應是利用URL-Encoding將原始的密碼進行編譯的行為。

我們利用該網站內附的功能，在Services的標籤中。選擇HTML URL Encoder功能，將該字串貼上後，點擊Decode，試著還原內碼，其結果與原先預想的一樣，經過還原後出現本關卡所需要的密碼內容。

本次的練習機會，主要是希望使用者能夠判別URL的將特殊字串(如中文)的編譯方式。



第10題解題答案

[資安練習平台]blackhost資安練習解答-第8題

學習目標:

• 學會分辨下載後的檔案是否為正確的檔案

解題過程:

該題和前面幾題不同的是，該blackhost網站提供一個圖片檔案供使用者下載。但是使用者下載後，發現該圖片開啟只有1個點，無論怎麼放大，都無法查看圖片內容，且該圖片檔案只有1KB大小極具怪異。

此時筆者也是試了很多次後，才發現奇中的奧妙，心想若以記事本打開檔案後，會不會出現什麼樣的內容呢?因此抱著好奇心的想法進行嘗試，結果發現該關卡的答案就在裡面。

有時候我們在開啟不知名的檔案時，也都會利用記事本開啟，查看裡面的內碼是否有暗藏我們需要的資訊在裡面。而本例很明顯就是這樣的應用方式。

第9題解題答案

[資安練習平台]blackhost資安練習解答-第7題

學習目標:

• 學習將下載的密碼圖片，加以分析求出內含的密碼檔案

解題過程:

該網站原始碼中，含有密碼的圖示(pwd.png)，將整個下載後，發現是1張全黑的圖片時，可以推想，密碼應該利用全黑的方式和背景隱藏起來，以達到保護的目的。因此我們需要將下載完成的圖片去除背景調整。

在本例中，以小畫家為例，將圖片檔案開啟後，將背景調整至灰色(如圖示)，即出現隱藏版的密碼

第8題解題答案