企业官网建设流程全解析

Petshop Pro

题目描述

难度：中等

Petshop Pro 是一个宠物电商类 CTF 挑战，包含 3 个隐藏 Flag。题目提示：

1. Something looks out of place with checkout
2. It’s always nice to get free stuff
3. There must be a way to administer the app

解题思路

1. 结账流程中价格由客户端控制，可篡改价格
2. 通过用户名爆破获取管理员账号密码
3. 登录管理员后台，在宠物编辑处利用 XSS 获取 Flag

操作步骤

Flag 1：价格篡改

1. 进入 Petshop Pro，将小猫和小狗加入购物车

2. 进入结账流程，使用 Burp Suite 拦截请求

3. 分析请求参数，发现cart字段包含 URL 编码的商品信息

4. 对cart进行 URL 解码，得到：

   [[0,+{"name":+"Kitten",+"desc":+"8"x10"+color+glossy+photograph+of+a+kitten.",+"logo":+"kitten.jpg",+"price":+8.95}],+[1,+{"name":+"Puppy",+"desc":+"8"x10"+color+glossy+photograph+of+a+puppy.",+"logo"