攻防世界-XCTF-Web安全最佳刷题路线

每次写序都是最烦恼的，都不知道写什么，CTF是团队竞赛，有很多分支（Web安全，密码学，杂项，Pwn，逆向，安卓），可以每个领域都涉猎，或许感觉那样很酷，但终究每个人只擅长其中一二，攻防世界-XCTF-Web安全最佳刷题路线，我已经整理好了，干就完了，留个遗憾，10分题还没有刷，能做出来的都是百里挑一的高手。

ailx10

网络安全优秀回答者

互联网行业 安全攻防员

去知乎（ailx10）咨询

难度系数1：刷题路线

1. ailx10：xctf-web-Training-WWW-Robots（robots.txt）
2. ailx10：xctf-robots（robots.txt）
3. ailx10：xctf-view_source（查看源码）
4. ailx10：xctf-get_post（HTTP请求）
5. ailx10：xctf-backup（备份文件）
6. ailx10：xctf-cookie（Cookie字段）
7. ailx10：xctf-weak_auth（弱口令）
8. ailx10：xctf-disabled_button（disabled属性）
9. ailx10：xctf-simple_php（弱类型）
10. ailx10：xctf-baby_web（302跳转）
11. ailx10：xctf-xff_referer（HTTP字段）

难度系数2：刷题路线

1. ailx10：xctf-web-PHP2（URL编码）
2. ailx10：xctf-ics-06（Burp，暴力破解）
3. ailx10：xctf-inget（SQL注入）
4. ailx10：xctf-command_execution（命令执行）

难度系数3：刷题路线

1. ailx10：xctf-unserialize3（PHP反序列化，__wakeup绕过）
2. ailx10：xctf-easyupload（图片马，文件包含）
3. ailx10：xctf-fileinclude（文件包含，PHP伪协议）
4. ailx10：xctf-fileclude（PHP伪协议）
5. ailx10：xctf-easyphp（代码审计，弱类型）
6. ailx10：xctf-file_include（文件包含，PHP伪协议）
7. ailx10：xctf-upload1（图片马）
8. ailx10：xctf-web2（代码审计，逆向）
9. ailx10：xctf-Web_php_unserialize（反序列化）
10. ailx10：xctf-Web_php_include（PHP伪协议，文件包含，反弹shell）
11. ailx10：xctf-warmup（代码审计，文件包含）
12. ailx10：xctf-lottery（代码审计，弱相等）
13. ailx10：xctf-simple_js（JS代码审计，16进制编码）

难度系数4：刷题路线

1. ailx10：xctf-unseping（代码审计，反序列化，字符绕过）
2. ailx10：xctf-Web_python_template_injection（模版注入）
3. ailx10：xctf-php_rce（think php 5，代码执行）
4. ailx10：xctf-supersqli（SQL注入）
5. ailx10：xctf-ics-05（文件包含，PHP伪协议，preg_replace）
6. ailx10：xctf-easytornado（模版注入，Tornado）
7. ailx10：xctf-shrine（Flask模版注入）
8. ailx10：xctf-babyweb（SSRF漏洞）
9. ailx10：xctf-题目名称-SSRF Me（SSRF，哈希碰撞）

难度系数5：刷题路线

1. ailx10：xctf-catcat-new（文件包含，Flask 会话管理）
2. ailx10：xctf-fakebook（SQL注入，SSRF，反序列化）
3. ailx10：xctf-bilibili（Intruder，JWT，Python反序列化）
4. ailx10：xctf-very_easy_sql（Gopher协议，SSRF漏洞和SQL时间盲注）
5. ailx10：xctf-Background_Management_System（二次注入，SSRF，Gopher协议）
6. ailx10：xctf-Cat（Django 报错信息泄露）
7. ailx10：xctf-TimeKeeper（Flask PIN码，任意文件读取）
8. ailx10：xctf-题目名称-文件包含（PHP伪协议，文件包含，Burp）
9. ailx10：xctf-ezbypass-cat（华夏ERP，信息泄露，目录遍历）
10. ailx10：xctf-ez_curl（JS代码审计）
11. ailx10：xctf-bug（重置密码，逻辑漏洞，图片马）
12. ailx10：xctf-wife_wife（JavaScript 原型链污染）
13. ailx10：xctf-ics-07（代码审计，fopen解析漏洞）
14. ailx10：xctf-upload（SQL注入）
15. ailx10：xctf-ics-02（SSRF，SQL注入）
16. ailx10：xctf-Web_python_flask_sql_injection（SQL注入 ）
17. ailx10：xctf-unfinish（二次注入）
18. ailx10：xctf-filemanager（二次注入）
19. ailx10：xctf-easy_web（全角字符，模版注入）
20. ailx10：xctf-BadProgrammer（express-fileupload 漏洞，代码执行）
21. ailx10：xctf-wzsc_文件上传（Burp Suite Intruder，webshell）
22. ailx10：xctf-i-got-id-200（perl，param）
23. ailx10：xctf-题目名称-warmup（MySQL虚表，反序列化）
24. ailx10：xctf-wtf.sh-150（Bash代码审计，路径穿越，Cookie利用）
25. ailx10：xctf-Web_php_wrong_nginx_config（路径穿越，weevely逆向）
26. ailx10：xctf-comment（Intruder，git恢复，SQL注入，Hex解码）
27. ailx10：xctf-Confusion1（Python模版注入）
28. ailx10：xctf-smarty（Smarty 模版注入，绕过disable_functions）
29. ailx10：xctf-blgdel（.htaccess）
30. ailx10：xctf-url（伪协议）
31. ailx10：xctf-love_math（构造_GET，代码执行）

最热内容 ·

零基础学习网络安全这一块，请问有哪些相关资料可以推荐一下？

发布于 2025-02-09 10:43・江苏