# PicoCTF 2018 write-ups
###### tags: `CTF` `Write-up`

## Crypto
### HERE'S Johnny
- 使用john the ripper
:::info
unshadow命令基本上會結合/etc/passwd的數據和/etc/shadow的數據，創建1個含有用戶名和密碼詳細信息的文件。
:::
- flag get

## Web
### Inspect me
- flag分成三部分
- F12看source code
- 另外兩個在.../mycss.css跟.../myjs.js中

### client is bad
- F12看source code
`輸入的credential會跑一個叫verify()的function`

- 這個function寫在client端 = =

### Logon
- 發現隨便都可以登入,但沒有flag
`Note: 有些programmer會使用cookie驗證身分QQ`
- 看Cookie發現判斷是否為admin的cookie只用boolean判斷
- 把False改成True之後重新整理就會噴flag惹

### Mr.Robot
- 在網址後加一個.../robots.txt
:::info
robots.txt
1. 放在網站根目錄下
2. 防止google檢索(crawl)裡面disallow的頁面
3. 基本上在robots.txt檔案內你只要填好這些資訊：
User-agent：填入搜尋引擎蜘蛛的值（* 號代表全部）
Disallow：填入你希望搜尋引擎別檢索的頁面路徑
Allow：若你禁止檢索的頁面路徑裡面又有特定路徑你希望搜尋引擎檢索，則填入
:::
- 直接訪問disallow的頁面

### No Login
- 按下FLAG之後提是不是admin
- Sign In/ Sign Out都說還沒有implement
- 題目提示cookie
- 新增一個叫admin的cookie,值設為True
- 再按FLAG就噴出FLAG惹