文章总结： 本文档是六边形攻防靶场web-basic-writeup的上半部分，提供了10个基础Web安全挑战的解题思路。涵盖前端JavaScript逻辑分析、Base64解码、HTTP响应头查看、302跳转分析、HTML属性修改、POST请求构造、请求头伪造、Cookie操作、PHP一句话木马连接及表单爆破等考点。每个挑战均给出具体操作步骤和工具推荐，如BurpSuite、curl等，适合初学者按顺序练习。 综合评分： 82 文章分类： 渗透测试,实战经验,安全工具,CTF,安全培训

六边形攻防靶场web-basic-writeup(上)

原创

网安布道师 网安布道师

六边形攻防安全

2026年6月5日 12:45 河北

在小说阅读器读本章

去阅读

建议先自行进行题目的尝试，在没思路的情况下可以查看writeup！！！

靶场地址：https://hexlab.fun

basic1-simple-js

「考点」：前端 JavaScript 逻辑分析、Base64 编解码。

「解题思路」：

页面校验逻辑在 JavaScript 中。分析 JS 代码后可以看到，程序会对用户输入进行 Base64 编码，然后和下面的字符串比较：

ZmxhZ3s1OTk2Y2FkYi01YTBkLTRlZmQtYjRkOS0wMmNhZWRkZGYyNDF9

因此反向解码该 Base64 字符串即可得到正确输入，提交后弹窗 you got it。

basic2-debug

「考点」：前端调试、查看源码、Base64 解码。

「解题思路」：

页面禁用了右键，但这只限制了普通交互，不影响查看源码。可以使用以下方式查看页面源码：

• 在地址栏使用 view-source: 查看源码。
• 打开浏览器 Developer Tools 查看 HTML 和 JavaScript。

源码中的核心逻辑仍然是 Base64 编码比较，解码对应字符串即可得到答案。

basic3-header1

「考点」：HTTP 响应头信息查看。

「解题思路」：

直接查看 HTTP 响应头即可获取 flag 信息。

常用方式：

• 浏览器开发者工具的 Network 面板。
• Burp Suite 拦截响应。
• 使用 curl -i 查看响应头和响应体。

basic4-header2

「考点」：HTTP 302 跳转、重定向响应分析。

「解题思路」：

题目存在一次 302 跳转。浏览器通常会自动跟随跳转，因此需要注意查看跳转前后的响应。

操作要点：

• 在浏览器 Network 面板中查看完整请求链。
• 在 Burp Suite 中需要配置或手动处理 Follow Redirect，查看跳转响应中的关键信息。

basic5-debug1

「考点」：HTML 前端属性修改。

「解题思路」：

页面中的输入框被 disabled 属性禁用。可以在浏览器 Developer Tools 中修改 HTML：

• 将 disabled 改为可用状态。
• 或直接删除 disabled 属性。

修改后即可正常输入并提交。

basic6-request1

「考点」：POST 请求构造。

「解题思路」：

题目需要发送 POST 请求。可以使用多种方式构造请求。

方法一：Hackbar

使用 Hackbar 构造 POST 参数并发送。

Hackbar 发送 POST 请求

方法二：Burp Suite

使用 Burp Suite 修改请求方法和参数后发送。

Burp Suite 构造 POST 请求

方法三：curl

使用 curl 的 -d 或 --data 参数发送 POST 数据：

curl -d "key=value" http://example.com/

curl 发送 POST 请求

basic7-xff-referer

「考点」：HTTP 请求头伪造。

「解题思路」：

根据题目要求修改请求头：

• 将 X-Forwarded-For 字段修改为 127.0.0.1。
• 按要求修改 Referer 字段的值为http://www.google.com。

可以使用 Burp Suite Repeater 或 curl 添加自定义请求头。

basic8-http

「考点」：Cookie 字段构造。

「解题思路」：

按题目要求添加或修改 Cookie 字段。注意 Cookie 的格式：

Cookie: key=value

如果有多个 Cookie，使用分号分隔：

Cookie: key1=value1; key2=value2

Cookie 字段构造

basic9-webshell

「考点」：PHP 一句话木马、WebShell 管理工具使用。

「解题思路」：

本题涉及 PHP 标准一句话木马的连接与使用。常见工具包括：

• 中国菜刀
• 蚁剑

连接成功后，可以进行文件查看和命令交互。

basic10-http

「考点」：HTTP 表单爆破、Burp Suite Intruder、wfuzz、hydra。

「解题思路」：

使用 Burp Suite 的爆破功能对密码字段进行爆破。爆破思想不仅限于账号密码，也可以扩展到路径、端口、参数值等位置。

操作时需要注意：

• 正确设置占位符。
• 区分单因子爆破和多因子爆破。
• 根据响应长度、状态码或关键字过滤结果。

使用 wfuzz

wfuzz -c -w pass.txt --hh 126 -d "username=admin&password=FUZZ" http://9d8db2d3-4292-4ffc-bacc-b4e77c78ec86.pwnme.vip/check.php

wfuzz 爆破结果

使用 hydra

hydra -l admin -P pass.txt 153fdd9d-026d-4645-ac6e-4c59f728175f.pwnme.vip http-post-form "/check.php:username=^USER^&password=^PASS^:F=window.location.href=\"index.php\""

hydra 爆破结果

建议先自行进行题目的尝试，在没思路的情况下可以查看writeup！！！

公众号回复【靶场邀请码】获取靶场邀请码进行注册

公众号回复【靶场交流群】进六边形攻防靶场交流群

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：六边形攻防安全 网安布道师 网安布道师《六边形攻防靶场web-basic-writeup(上)》