picoCTF WebDecode Writeup

1.1题目背景

题目背picoCTF是全球最受欢迎的入门级CTF平台之一，由Carnegie Mellon University运营，题目覆盖Web安全、二进制漏洞利用、密码学、取证等多个方向。WebDecode属于Web Exploitation分类下的入门题，考察选手利用浏览器开发者工具定位隐藏信息，并完成Base64解码。

题目页面打开后会看到一个汉堡店主题网站，顶部导航栏有HOME、ABOUT、CONTACT三个入口。题目提示文字只有一句："Knowledge of web inspector is recommended"，暗示答案藏在网页源码里，而非前端直接显示的内容。

1.2解题过程dakkai

第一步：查看ABOUT页面通过题目给出的链接访问目标网页。页面以一个快餐汉堡店为主题，中央是一段挑衅性的文字，大意是"你能找到隐藏的信息吗？"。页面底部有一张汉堡的配图，看起来很正常，没有直接出现flag的痕迹。

第二步：查看ABOUT页面。点击顶部导航栏中的 ABOUT，页面跳转后内容明显不正常——大段文字变成了类似乱码的长字符串，而不是人类可读的描述。这个视觉上的"异样感"就是最重要的线索，它告诉我们编码后的数据被直接塞在了HTML里。

第三步：使用浏览器开发者工具。在 ABOUT页面按F12（或右键→检查）打开浏览器开发者工具。切换到Elements（元素）面板，逐层展开HTML标签，重点查看hidden input、注释节点和自定义属性。很快就能在一个HTML元素的属性值里发现一段可疑的长字符串：cGljb0NURnt3ZWJfc3VjYzNzc2Z1bGx5X2QzYzBkZWRfMWY4MzI2MTV9这段字符串由大小写字母、数字和少量符号组成，没有空格和不可打印字符，长度恰好是 Base64编码的典型特征——能被4整除，且字符集限定在A-Z、a-z、0-9、+/。

第四步：Base64解码。将这串字符粘贴到任意 Base64解码工具中（如CyberChef、终端base64命令），解码结果为：picoCTF{web_succ3ssfully_d3c0ded_1f832615}这就是本题的 flag。整个过程不需要编写任何脚本，也不涉及SQL注入、XSS等攻击，纯粹考验选手对浏览器开发者工具的熟练程度和对常见编码格式的直觉判断。

1.3终端Base64解码

如果你偏好命令行，也可以直接在终端完成解码，操作如下：$ echo "cGljb0NURnt3ZWJfc3VjYzNzc2Z1bGx5X2QzYzBkZWRfMWY4MzI2MTV9" | base64 -dpicoCTF{web_succ3ssfully_d3c0ded_1f832615}

​​​​​​​1.4解题复盘

这道题的核心知识点可以总结为三点：

一、浏览器开发者工具是 Web安全的基本功。Elements面板可以看到页面渲染后的完整DOM树，包括那些不在页面上直接显示的内容，比如隐藏的input、HTML注释和自定义属性。养成打开开发者工具"看一眼"的习惯，对后续做Web题非常有帮助。

二、识别常见编码是效率提升的关键。Base64编码后的文本有一些明显的特征：只包含A-Z、a-z、0-9和+/这64个字符；末尾经常出现1到2个等号（=）作为填充；长度能被4整除。看到这些特征时，第一时间尝试Base64解码通常不会错。

三、题目提示本身就是线索。"Knowledge of web inspector is recommended"直接告诉你应该用什么工具。CTF题目的描述和Hints板块常常包含解题方向的关键提示，解题前多读几遍题目原文是一个好习惯。