L的博客

easy_include12345678910<?phpfunction waf($path){ $path = str_replace(".","",$path); return preg_match("/^[a-z]+/",$path);}if(waf($_POST[1])){ include "file://".$_POST[1];} 这道题目其实并不算难,只是有一个小点不知道导致一开始就卡住了.这个点就是利用file://localhost/etc/passwd可以像上面那样包含文件。而后的方法就很多了我一开始像到的是利用session进度上传来上传一个webshell然后进行文件包含。也就是这题的法一 法一session上传进度+文件包含=getshell我在之前学session反序列化时有学过session上传进度，这是当开启了session.upload_progress.enabled时我们POST一个与session.uplo ...

太久没更博客了，放假的时候放懒了，属于是放假前XXX放假后XXX了。下次暑假不能再在家里闲着了，得去打打HVV了。由于太久没更博客也不知道更些什么，就更一些刷题的过程吧。ctfshow web489这一题和web488很像算是升级版，所以我就记一下这一题。首先我们可以再参数action下发现文件读取漏洞但是经过尝试发现其并不会报错而web488存在报错，将源码扒下来。回发现其再file_class.php添加了error_reporting(0);这导致网页没有报错。我们审计代码会发现extract($GET)而这个函数就存在了参数覆盖，即我们可以直接覆盖sql这个变量来进行sql注入或者绕过登陆但这还无法得到flag，这道题目需要我们根目录的flag。进一步审代码会发现file_class.php下存在file_put_contents函数那么思路就有了，我们一步步向上审代码最终会再index.php发现只要我们成功登陆就可以通过操作username的值来操控content的值而缓存cache::create_cache会在cache/md5(‘index’).php,下写入。那么我 ...

放假前就一直想着要在暑假学一下java的漏洞，大体看了一下发现java的内容不是一般的多，就从java的反射开始学吧。java的反射机制Java的反射机制是Java非常重要的动态特性，我们学过的php就有着丰富的动态特性。而java并没有php那么的灵活，所以java反射所带来的动态特性就显得和重要了。通过反射我们不仅可以得到任何类的成员方法，构造方法，成员属性，还可以实例化类，调用任意的类方法、修改任意的类成员变量值等 放射的步骤放射的步骤分为如下几个12341.反射获取类2.获取类的方法3.创建类的实例化对象4.使用类的方法下面我会给出每个步骤所使用的函数。 反射获取类forName在反射中最常用到的获取类的函数就是forname。其有如下两种调用方法12Class<?> forName(String name)Class<?> forName(String name, **boolean** initialize, ClassLoader loader)Class<?> forName(String name, **boolean** init ...

暑假还是有点犯懒了，哎意料之中，上周ctfshow西瓜杯的题目我看了一些，感觉还是很有价值的所有复现一下。CodeInject简单闭合一下前面的就可以命令执行了\ easy_polluted和ciscn线下的python污染就不多说了 Ezzz_php这题做道了一半但是因为我是最后一天下午才打的这个比赛导致我最后虽然查道了如何将file_get_contents升级为命令执行的文章但是还是没有写出来 反序列链1234567891011121314151617181920212223242526272829303132<?php highlight_file(__FILE__);error_reporting(0);function substrstr($data){ $start = mb_strpos($data, "["); $end = mb_strpos($data, "]"); return mb_substr($data, $start + 1, $end - 1 - $start);}cl ...

信息收集(找到站)1.目录扫描2.web框架识别3.

第一次打CISCN结果是大大出乎了我们的意料，本来是冲着三等去的没想到最后拿了个20名（我个人认为我在这次线下赛的表现还是非常出色的，嘿嘿），web的break和fix都差一题node.js（考node.js是一点都不会啊也没存文章，）我记得刚打出python原型链污染的时候排名直接到了11名当然很快就掉下去了师傅们太强了 wp签到不必多说，f12submitbreak：he幽默文件上传，盲盒测试时发现可以上传php文件，幽默文件上传，队友和我说这个只能上传png图片，并且检测php，所以我直接上传了端标签的php马并再前面添加了图片文件头，赛后发现其应该只是再文件里检测了php之类的 fix：直接加图片文件尾的白名单即可 粗心的程序员break分析源码我们可以发现，其在home.php直接将修改的用户名加到了config.php里而config.php是再web页面的是能被解析到的。而其将写入的内容前加了个注释，且没有过滤?<>=那么这就可以直接使用?>来饶过注释再利用短标签来执行命令再使用#来注释后面拼接的内容，即可命令执行 fix检测?,>,<等其就 ...

好久没有水博客了。主要是最近考试还有，打攻防太忙了，刚打完上周的攻防，做了5天的牢主要都是在信息收集，发现攻防要打的好，信息收集是一定要做好的。从小程序开始信息收集打了这次攻防，我发现现在各种系统后台的弱密码已经非常少了。直接使用fofa等工具来找很容易出现打歪的情况。而在这次攻防里我学到了可以从小程序来进行信息收集，因为小程序是近几年才兴起的，这回导致很多公司对小程序的安全并不重视，这就会导致小程序背后的网站经常会出现，弱密码和常见的框架漏洞。 很多小程序虽然是放在了微信上但是其实就是魔改的网站罢了，我们通过bp来抓包会发现很多小程序的很多功能走的都是http的协议，题目http报文我们就可以发现其所连接的网站，从而找到其后台网站，而这些后台网站一般都是很薄弱的资产，大部分存在弱密码，而且很多是使用的开源宽假（而且是老版本的）而通过小程序找到的网站我们有可以在通过ip反查，爆破子域名等来扩大资产。这里我贴一个大神写的文章微信小程序的修炼五脉这位大神的这个系列文章共有五篇。干货满满。

这个比赛也是我第一次打的比较大的比赛，为此我还在赛前把前几年的题目都刷了一下，结果今年的题目怎么变异了，这么难（道心给整碎了），为此我写下这篇博客来复现学习。simple_php这题在比赛的时候其实已经差不多做出来了，可是出题人把flag藏到了数据库里。。。。123456789101112<?phpini_set('open_basedir', '/var/www/html/');error_reporting(0);if(isset($_POST['cmd'])){ $cmd = escapeshellcmd($_POST['cmd']); if (!preg_match('/ls|dir|nl|nc|cat|tail|more|flag|sh|cut|awk|strings|od|curl|ping|\*|sort|ch|zip|mod|sl|find|sed|cp|mv|ty|grep|fd|df|sudo|more|cc|tac|less|head|\.|& ...

因为在打hnctf的时候遇到了框架代审，当时我是直接通过日志泄露的payload来打的，所以我写下这篇文章来记录一下代审，顺便安装一下动调的环境。xdebug的配置先通过phpinfo来看其推荐版本 https://xdebug.org/wizard将phpinfo信息复制，官网会推荐其版本跟着安装即可配置如下1234567891011121314151617[XDebug]zend_extension="D:\phpstudy_pro\Extensions\php\php7.3.4nts\ext\php_xdebug.dll"xdebug.remote_enable = 1xdebug.client_port = 9001 ;端口配置xdebug.remote_host = localhost ;远程主机域名,对应本地phpstudy的网站域名xdebug.idekey = PHPSTORM ;设置IDE KEYxdebug.auto_trace = On ;开启自动跟踪, ...

周末打了一下hnctf，稍微写一下wp吧。写了五道web。Please_RCE_Me123456789101112131415<?phpif($_GET['moran'] === 'flag'){ highlight_file(__FILE__); if(isset($_POST['task'])&&isset($_POST['flag'])){ $str1 = $_POST['task']; $str2 = $_POST['flag']; if(preg_match('/system|eval|assert|call|create|preg|sort|{|}|filter|exec|passthru|proc|open|echo|`| |\.|include|require|flag/i',$str1) || strlen($str ...