梦~醒🍇

发表于 2026-07-17 | 更新于 2026-07-17 | web渗透 | 漏洞复现

[TOC] SSRF云环境利用什么是SSRF？SSRF（Server-Side Request Forgery，服务端请求伪造）是一种允许攻击者诱导Web应用程序向攻击者指定的目标发起请求的漏洞。简单理解：你开发了一个“从URL导入头像”的功能，用户传一个图片链接，后端去下载。看起来很正常对吧？但问题是——后端服务器在内网，它可以访问内网资源。攻击者传的不是图片链接，而是内网地址或云元数据服务的地址，服务器就会乖乖地去请求，然后把结果返回给攻击者。 SSRF漏洞通常发生在以下场景： URL参数处理（如?url=）外部API调用从远程URL加载文件 Webhook处理图片/页面预览功能在云环境中，SSRF（服务器端请求伪造）漏洞的核心危害在于可以访问云实例的元数据服务（IMDS），从而窃取高权限的临时凭证，并以此为跳板，横向渗透到整个云环境核心攻击链：外部可控URL → 内网探测 → 窃取元数据凭证 → 横向移动 → 权限提升元数据服务云上的“元数据服务”（Metadata Service），可以把它理解为云服务器的“身份证”和“配置中心”。它是一个运行在 ...

2026-HUBU群星杯-wp

发表于 2026-06-01 | 更新于 2026-06-28 | CTF | 比赛wp

[TOC] WEB预约挂号 Hint：仁和医院上线了内部员工门户系统，支持在线预约挂号。近期安全团队发现系统可能存在安全隐患，请你对系统进行安全评估，获取系统中的敏感文件。查看注释发现测试环境账号: doctor1/doctor123, nurse1/nurse123 使用随便一个登录，发现有set-session 接口测试，发现有403的先试试进行session伪造但是无法找到secret key，所以这条路放弃发现有 /api/reset-password 接口，传入uid和token字段，即可修改密码。而/static/js/token_worker.js文件里有token生成规则 token 的本质是：token = 混淆后的当前时间戳 + “:” + 用户名派生 key 的混淆编码不是随机 token，也不是服务端独占 secret。只要知道用户名和大致服务器时间，就能离线生成。访问 /api/user/1接口，能发现admin的用户信息 123456789101112 ...

2026LitCTF-WP

发表于 2026-05-25 | 更新于 2026-06-01 | CTF | 比赛wp

[TOC] cryptolit_aes_fixed_prefixAES-128 的 16 字节密钥里，已知前 13 字节，仅剩 3 字节未知。密钥空间只有 2^24，可直接离线爆破，结合 litctf{ 前缀与 PKCS#7 padding 约束快速筛出 flag。 Step 1: 爆破 24 bit 未知后缀题目代码里： KEY_PREFIX = b"LitCTF2026!!!" key = KEY_PREFIX + UNKNOWN_KEY_SUFFIX len(UNKNOWN_KEY_SUFFIX) = 3 因此总密钥空间仅有 16777216 种。直接枚举后缀，解密后验证：明文满足合法 PKCS#7 padding 明文以 litctf{ 开头、以 } 结尾 123456789101112131415161718192021222324from Cryptodome.Cipher import AESC = b"\x0c\xdb'`\xc91\xf7\x05\x91+\x0fM\xed\xbc\x9 ...

zip炸弹漏洞及利用方式详解

发表于 2026-04-12 | 更新于 2026-04-11 | web渗透 | 漏洞复现

[TOC] 漏洞概述压缩包炸弹（又称解压炸弹）是利用压缩算法的重复数据高效压缩特性，以极小体积在解压时产生海量数据，从而耗尽系统 CPU、内存、磁盘等资源，达成拒绝服务（DoS）或绕过安全扫描的恶意文件。核心原理1. 超高压缩比构造：利用 DEFLATE、BZIP2 等算法对高度重复数据（如全零、相同字符）的极致压缩能力，生成 “扁平型” 炸弹。例如 1GB 全零文件可压缩至数 KB，解压时瞬间膨胀，直接填满磁盘。典型案例如 42.zip，42KB 压缩包解压后达 4.5PB，依赖多层嵌套与高压缩比结合实现。 2. 递归嵌套结构：采用 “压缩包套压缩包” 的多层嵌套设计，每层包含多个同级压缩包副本，解压时触发递归膨胀。如 42.zip 为 5 层嵌套，每层 16 个副本，最终生成超百万个 3. 大文件，总容量指数级增长。 4. 资源耗尽机制：解压过程中，CPU 需处理海量数据解码，内存暂存解压流，磁盘写入膨胀数据，任一环节超限即导致系统卡顿、崩溃或服务不可用。同时可瘫痪依赖解压扫描的杀毒软件，为后续恶意代码入侵创造条件。业务场景 **自动解压 ** ：上传后系统自动解压压缩包 ...

jwt组成及漏洞利用详解

发表于 2026-04-11 | 更新于 2026-04-11 | web渗透 | 笔记

[TOC] JWT 全称是 JSON Web Token ，是一种基于 JSON 的轻量级身份认证和信息交换规范，核心作用是在客户端和服务器之间安全传递声明（如用户身份信息） JWT 的核心构成JWT 由三部分组成，通过 . 连接，格式为 Header.Payload.Signature ： 1.Header（头部）：指定 JWT 使用的算法（如 HS256、RS256）和令牌类型。2.Payload（载荷）：存储需要传递的声明信息（如用户 ID、过期时间），默认不加密，仅做 Base64 编码。3.Signature（签名）：用 Header 中指定的算法，结合密钥对 Header 和 Payload进行签名，确保内容不被篡改。 Header作用：描述 JWT 的元数据，如签名算法和令牌类型。内容：一个 JSON 对象，通常包含两个字段： alg：签名算法（如 HMAC SHA256、RSA 等）。 typ：令牌类型（固定为 JWT）。示例： 1234{ "alg":"HS256", "typ&q ...

反弹shell详解

发表于 2026-04-11 | 更新于 2026-04-11 | web渗透 | 笔记

[TOC] 名词介绍反弹shell，就是攻击机监听在某个TCP/UDP端口为服务端，目标机主动发起请求到攻击机监听的端口，并将其命令行的输入输出转到攻击机。以kali攻击机连接 windos靶机为例子正向连接假设我们攻击了一台机器，打开了该机器的一个端口，攻击者在自己的机器去连接目标机器（目标ip：目标机器端口），这是比较常规的形式，我们叫做正向连接。远程桌面、web服务、ssh、telnet等等都是正向连接。靶机win监听 5555端口等对方主动连接过来 windos : 1nc -e cmd - lvp 5555(绑定一个端口) 攻击机kali主动连接 5555 kali : 1ncat ip 5555 所以现在我算是控制我的 windos 主机反向连接主动给出去对方监听那么为什么要用反弹shell呢？反弹shell通常适用于如下几种情况：目标机因防火墙受限，目标机器只能发送请求，不能接收请求。目标机端口被占用。目标机位于局域网，或IP会动态变化，攻击机无法直接连接。对于病毒，木马，受害者什么时候能中招，对方的网络环境是什么 ...

某实训系统-恶意流量分析过程

发表于 2026-04-04 | 更新于 2026-04-04 | web渗透 | 靶机渗透

[TOC] 知识点学习以太网数据包(Packet)的大小是固定的，最初是1518字节，后来增加到1522字节。其中， 1500 字节是负载(Payload)，22字节是头信息(Head)。 IP 数据包在以太网数据包的负载里面，它也有自己的头信息，最少需要20字节，所以 IP 数据包的负载最多为1480字节。 TCP 数据包在 IP 数据包的负载里面。它的头信息最少也需要20字节，因此 TCP 数据包的最大负载是 1480 - 20 = 1460 字节。由于 IP 和 TCP 协议往往有额外的头信息，所以 TCP 负载实际为1400字节左右。因此，一条1500字节的信息需要两个 TCP 数据包。 HTTP/2 协议的一大改进，就是压缩 HTTP 协议的头信息，使得一个 HTTP 请求可以放在一个 TCP 数据包里面，而不是分成多个，这样就提高了速度。 1400字节，那么一次性发送大量数据，就必须分成多个包。比如，一个 10MB 的文件，需要发送7100多个包。发送的时候，TCP 协议为每个包编号，以便接收的一方按照顺序还原。万一发生丢包，也可以知道丢 ...

某实训系统-域渗透-域控攻击靶场wp

发表于 2026-04-02 | 更新于 2026-04-04 | web渗透 | 靶机渗透

[TOC] 前言:这是一个实训系统的靶场，靶场属于内网，仅供训练人员使用。这里仅作打靶场时的操作思路记录前言在对域内的攻击方法可以理解为两类：第一类：利用常规漏洞进行攻击，比如针对域内服务器上面的Web服务、服务器系统层面的漏洞（如MS17-010）第二类：就是针对域控制器DC的漏洞（如MS14-068）可以通过普通权限获取到域控的权限。在域内攻击要避免防火墙、流量检测等安全防护设备的拦截和监控，一旦被管理员发现就会失去其权限，如果想攻入到域内就要麻烦很多。下面以常用的MS14-068、MS14-025、Pass The Hash、黄金票据和其他维权的方法进行域控攻击及获得其权限。思维导图网络拓扑图所在域：really.com (查询命令： net config workstation) 攻击过程MS14-068漏洞概念MS14-068漏洞（CVE-2014-6324）是 Windows Kerberos 对 kerberos tickets 中的 PAC(Privilege Attribute Certificate) 的验证流程中存在的严重的提权漏洞。低权限的 ...

CORS跨域漏洞详解

发表于 2026-03-28 | 更新于 2026-03-28 | web渗透 | 漏洞复现

[TOC] 域在前端中，“域”是由以下三个部分共同组成的：组成部分举例协议(protocol) http://或https:// 主机(hostname/域名) www.example.com，api.example.com 端口(port) 80、443、8080等简单来说：Origin(域) = 协议 + 域名 + 端口同源策略（SOP）同源策略是浏览器的一种安全机制，它限制一个源的js脚本对另一个源的访问。浏览器的同源策略规定：不同域的客户端脚本在没有明确授权的情况下，不能读写对方的资源。同源指三个部分相等，即协议，域名和端口，三者有一个不同即视为不同源简单来说：在浏览器中，只有当协议、域名、端口相同的情况下，才能读写对方的dom、cookie、session、ajax等操作的权限资源。跨源资源共享（CORS）CORS的出现是用来弥补SOP（同源策略）的不足。在当时SOP有些限制了网页的业务需求，不能够使不同域的网页互相访问，因此提出了CORS：用于绕过SOP（同源策略）来实现 ...

OAuth2.0漏洞详解及实战案例

发表于 2026-03-22 | 更新于 2026-03-26 | web渗透 | 漏洞复现

[TOC] 前言在登录比如说百度时，登录页面有需要使用一段第三方社交媒体的账户(QQ、微博、微信)登录的情况，而这种大多数都是使用OAuth2.0框架构建的。以简单的百度平台为例，下面就是使用第三方社交媒体的账户(QQ、微博、微信)登录，可以使用第三方社交媒体扫描登录就像下面的这个一样直接使用微信扫码就可以登录百度这里假设百度使用微信扫码，然后直接使用微信扫码登录，不需要手机验证点击确认登录，那么就可以存在一个逻辑设计缺陷的漏洞，就可以进行一个钓鱼操作，直接把这个可以生成二维码钓鱼，就像下面的这个一样，做个恶意的二维码页面，然后发群里，让别人直接去扫这个二维码，不需要确认，直接就可以登录了 OAuth2.0简介什么是 OAuth？OAuth 是一种常用的授权框架，它允许网站和 Web 应用程序请求对另一个应用程序上的用户帐户的有限访问权限。至关重要的是，OAuth允许用户授予此访问权限，而无需向请求应用程序公开其登录凭据。这意味着用户可以微调他们想要共享的数据，而不必将其帐户的全部控制权交给第三方。基本 OAuth 流程广泛用于集成需要访问用户帐户中某些数据的第三方功能。 ...

CRLF漏洞

发表于 2026-03-20 | 更新于 2026-03-22 | web渗透 | 漏洞复现

[TOC] 漏洞原理LF 是 CR （回车）和 LF （换行）两个字符的拼接，对应转义符 \r和\n ，全称为 Carriage Return/Line Feed。它的编码对应关系如下：十六进制编码： 0x0d （CR）、 0x0a （LF） URL 编码： %0D （CR）、 %0A （LF） CRLF 组合在一起，相当于键盘上的「Enter」键，常被用作各类程序和协议的分隔符。不同操作系统的换行符也存在差异： 12Windows：使用 CRLF（\r\n）表示行结束Linux/Unix：仅使用 LF（\n）表示行结束而在 HTTP 协议中，有两个关键的分隔规则：多个 HTTP 响应头之间，用一个 CRLF 分隔 HTTP 响应头与响应体（页面内容）之间，用两个 CRLF 分隔浏览器和服务器正是依靠这个规则解析 HTTP 报文。如果用户可控的输入被直接回显在 HTTP 返回包的 Header 中，攻击者就可以通过注入 CRLF 提前结束响应头，篡改报文结构，甚至注入恶意内容。因此，CRLF 注入也被称为 HTTP 响应拆分 / 截断（HT ...

某实训系统-Web安全综合实战1靶场渗透wp

发表于 2026-03-16 | 更新于 2026-03-16 | web渗透 | 靶机渗透

[TOC] 前言:这是一个实训系统的靶场，靶场属于内网，仅供训练人员使用。这里仅作打靶场时的操作思路记录渗透思维导图渗透过程首先打开操作机kali，知道目标机的ip，第一步进行端口扫描，查看开放端口情况使用nmap工具对目标机器进行全端口扫描，扫描命令为： 1nmap -p 1-65535 -Pn -sV 192.168.12.20 可以看到目标开放了两个http端口，一个80(http)，一个15020(https) 先从80入手网站上并无其他url可以浏览，下一步就进行目录扫描，查看目录情况使用目录扫描工具dirb进行目录爬取： 1dirb http://192.168.12.20/ /usr/share/dirb/wordlists/big.txt 有一个/admin2目录，访问是一个登录口。查看源代码，发现底下有一个js代码：从代码中可以看到是一个正向验证密码的算法，可以将算法倒过来计算：（1079950212331060÷1988＋234562221224）－4469 = 777796730000，从这个算式中可以看出来 ...