梦~醒🍇

[TOC] web回归基本功打开网站，根据提示，“用户代理”，想到UA伪造 于是根据图片提取内容，写成字典，如何一个一个尝试，最后发现是GaoJiGongChengShiFoYeGe 访问/Q2rN6h3YkZB9fL5j2WmX.php 得到源码： 1234567891011121314151617181920212223242526272829303132333435363738394041424344454647 <?phpshow_source(__FILE__);include('E8sP4g7UvT.php');$a=$_GET['huigui_jibengong.1'];$b=$_GET['huigui_jibengong.2'];$c=$_GET['huigui_jibengong.3'];$jiben = is_numeric($a) and preg_match('/^[a-z0-9]+$/',$b);if($jiben==1){ ...

[TOC] misc签到 TGCTF{Efforts_to_create_the_strength, attitude_determines_altitude.} next is the end下载附件，压缩包里面是一个文件夹，里面就是很长的目录，可以手动打开到目录最后一级，得到flag。 where it is 图寻题 百度识图学校门口那部分，找到如下相似图片 定位地点：内湖高工 TGCTF{港墘站} 这是啥？解压文件，通过文件头发现是一张gif图片。 对gif图片进行帧分离，得到一堆图片。 发现后面9张图片的左上角都有一部分二维码的图片 将他们提取拼好后，扫描得到 根据提示提到了time（时间），可能跟gif图片帧间隔有关。于是提取帧间隔 [‘840’, ‘710’, ‘670’, ‘840’, ‘700’, ‘1230’, ‘890’, ‘1110’, ‘1170’, ‘950’, ‘990’, ‘970’, ‘1170’, ‘1030’, ‘1040’, ‘1160’, ‘950’, ‘1170’, ‘1120’, ‘950’, ‘1190’, ‘ ...

[TOC] Phar相关基础Phar是将php文件打包而成的一种压缩文档，类似于Java中的jar包。它有一个特性就是phar文件会以序列化的形式储存用户自定义的meta-data。以扩展反序列化漏洞的攻击面，配合phar://协议使用。 Phar是PHP的归档格式，类似Java的JAR或是.NET的ZIP。Phar文件可以在不需要解压的情况下在PHP中运行。Phar文件可以用于分发PHP代码，就像你分发Python代码时使用的是.pyc或.whl文件。 Phar伪协议是PHP的一个特性，它允许直接从Phar归档中读取文件，而不需要将Phar文件解压。这样可以直接从Phar文件运行PHP脚本，而无需在服务器上物理地提取文件。 Phar文件结构 a stub是一个文件标志，格式为 ：xxx。 manifest是被压缩的文件的属性等放在这里，这部分是以序列化存储的，是主要的攻击点。 contents是被压缩的内容。 signature签名，放在文件末尾。 就是这个文件由四部分组成，每种文件都是有它独特的一种文件格式的，有首有尾。而__HALT_COMPILER();就是相当于图片中的文件 ...

[TOC] 无参数RCE题目特征123if(';' === preg_replace('/[^\W]+\((?R)?\)/', '', $_GET['star'])) { eval($_GET['star']);} 正则表达式 1[^\W]+\((?R)?\) 匹配了一个或多个非标点符号字符（表示函数名），后跟一个括号（表示函数调用）。其中 (?R) 是递归引用，它只能匹配和替换嵌套的函数调用，而不能处理函数参数。使用该正则表达式进行替换后，每个函数调用都会被删除，只剩下一个分号 ;，而最终结果强等于；时，payload才能进行下一步。简而言之，无参数rce就是不使用参数，而只使用一个个函数最终达到目的。 12scandir()可以使用里面不含参数scandir('1')不可以使用，里面含有参数1，无法被替换删除 相关函数简要介绍1234567891011121314scandir() :将返回当前目录中的所有文件和目录的 ...

[TOC] 漏洞原理啥是json?json全称是JavaScript object notation。即JavaScript对象标记法，使用键值对进行信息的存储。举个简单的例子如下： { "name":"BossFrank", "age":23, "media":["CSDN","bilibili","Github"] } json本质就是一种字符串，用于信息的存储和交换。 啥是fastjson?fastjson 是一个 有阿里开发的一个开源Java 类库，可以将 Java 对象转换为 JSON 格式(序列化)，当然它也可以将 JSON 字符串转换为 Java 对象（反序列化）。Fastjson 可以操作任何 Java 对象，即使是一些预先存在的没有源码的对象（这就是漏洞来源，下文会解释）。使用比较广泛。 fastjson序列化/反序列化原理fastjson的漏洞本质还是一个java的反序列化漏洞，由于引进了 ...

[TOC] 配置python2和python3首先，去Python官网找到Python2和3版本对应的安装包下载 下面是python2和3的下载地址 ：https://www.python.org/downloads/windows/ 在E盘下建立两个文件夹，分别为python2和python3，根据自己的情况可以改动，两者在一块并列更方便以后安装和调整环境变量。 接下来，就是分别对Python2和3的安装包进行安装 安装Python3在选择路径安装时，记得把下方的“Add Python 3.6 toPATH”勾选上，这样就不用手动配置环境变量了，后续不用再添加环境变量。 自定义尽量不装c盘 完事下一步，到如下图位置，全部默认选择即可，安装在上面建立的python3文件夹下。 安装成功后，cmd控制台输入python，查看是否成功。出现下面证明安装成功。 安装Python2all user 是供使用这台电脑的所有用户使用，是权限问题。just for me是说只供当前用户使用。如果你的电脑上只有建了一个用户，all users和just me 的作用是一样的。 所以上下区 ...