前两天无意间进入了，从字面上来理解，就是的意思，奇怪吧，原来是一个专门提供黑客网页游戏的网站。在这里可以锻炼hacking技能——包括web入侵、程序破解、加密解密、第三方软件溢出和js脚本的相关内容，都在这个站里面有关卡，更吸引人的是，这个网站经常推陈出新，做出新的关卡来给大家玩。这么好的网页黑客游戏，就让我带领大家一起来玩吧。
首先是注册，为了照顾大家们，我来介绍一下怎么注册，打开网站，找到“Login(orRegister)：”，点击register，就来到了页面，带有绿色箭头的是必填项，包括验证码在内共9个必填项，从上到下依次是用户名、密码（注意，密码必须既有数字又有字母，还不能太简单）、重复输入密码、密码保护、密保答案、重复输入密保答案、邮箱地址，重复输入邮箱地址和验证码。按要求填写完毕后，点击submit提交，如果来到页面，就是注册成功了，如果还停留在注册页面，就说明你填写的信息有问题。
网站分为Basicmissions、Realisticmissions、Applicationmissions、Programmingmissions、Extbasicmissions、missions、Stegornissions、Irc missions几项，后几项非常难，所以我今天只给大家介绍basicmissions，也就是基本关卡。
在网站左边栏中找到关卡列表，点击“basicmissions”，我们看到basicInissions列表，居然还有中文数字，先点击第一关，进入basicl。
进去之后用谷歌翻译，我们会发现这个游戏居然还有剧情，第一关的提示翻译如下：“这个水平就是我们所说的‘白痴测试’，如果你不能完成它，不要放弃学习，但不要去乞求别人的答案一样，多数民众赞成一个让你取笑的办法。输入密码，您可以继续。”
提示还说要学习html，我们想到了查看源代码，在源文件提示附近我们可以看到：
看到最后那一句了吗？密码是794blba8哦。输入密码，收到系统祝贺，点击“next challenge”进入下一关——basic2。
basic2的提示，翻译就是“网络安全山姆建立了密码保护的脚本。他使负载从一个未加密的文本真正的密码文件，并比较它的用户输入密码。然而，他忘了密码文件上传..”，验证密码是否正确的文件不存在，即空口令漏洞，什么都不输入直接点击按钮就进入下一关了。
basic3，提示如下：“这一次网络安全山姆记得上传密码文件，但也有较深层的问题。”既然上传了密码文件那一定会验证，我们接着去源码查找，结果在最下面找到了：
看到了吗？网页有个file值为password.php，也就是密码文件，我们把“/missions/basic/3/”添加在前面看看密码能否出来。密码出来了，是ocbd2d9l，复制后进入下一关。
basic4，提示大意说sam这次写了个加密脚本，将密码邮给sam。既然要发邮件，那一定会有邮箱地址，到源码里查找。在下面我们可以看到：看到了吗，就是webmaster@hulla-balloo.com，我们该怎么办呢？呢？还记得经典的修改网页表单吗？我们把网页源码保存下来，把网页表单修改一下，把邮箱改成自己的，我填的就是把自己的gmail邮箱，然后另存为xxx.hml，点击send password看看，显示“password：19a44527”，密码是19a44527，输入密码就是进入了basio5。
限于篇幅关系，我就不继续介绍了，大家还是自己去体会吧，后面还会有很多实用的技能测试哟！
本文为网络安全技术研究记录，文中技术研究环境为本地搭建或经过目标主体授权测试研究，内容已去除关键敏感信息和代码，以防止被恶意利用。文章内提及的漏洞均已修复，在挖掘、提交相关漏洞的过程中，应严格遵守相关法律法规。