随笔分类 - CTF
摘要：密码安全 设置密码最小长度为10 管理工具-本地安全策略-帐户策略-密码策略-密码长度最小值 密码使用期限 设置密码最长使用期限为30天 登录安全 设置一分钟内仅允许6次登录失败的尝试，超过6次，登录帐号锁定1分钟 禁用来宾用户 来宾访问计算机或访问域的内置帐户 设置为不允许 账户控制 开启帐户控制
阅读全文
摘要：提示: 新模式，如有bug或建议请联系管理QQ:61898864。 描述: 您的服务器被黑客入侵了，您需要找到黑客留下的一些东西和修复被黑客破坏的文件。 js劫持 题目要求：获取js劫持域名（带https） 原本访问目标地址进入到的应该是"XX学院二手交易市场"，却被劫持跳转至某博客。 黑客首次we
阅读全文
摘要：提示：修复漏洞并加固它 描述：windows 2008加固 提权方式 首先我们能通过面板确定该网站使用的MySql5.5.29版本 然后通过翻找文件，发现这里有一个udf，所以很有可能是进行了udf提权，因为mysql>5.1的版本是没有这个/lib/plugin文件夹的 我们回到phpmyadmi
阅读全文
摘要：描述：X集团的WebServer服务器遭到黑客入侵，该服务器的Web应用系统被上传恶意软件，系统文件被恶意软件破坏，您的团队需要帮助该公司追踪此网络攻击的来源，在服务器上进行全面的检查，包括日志信息、进程信息、系统文件和恶意文件等。通过分析黑客的攻击行为，我们将发现系统中的漏洞，并对其进行修复。 提
阅读全文
摘要：签到题：一张简单图片 在线网址查看源代码 https://tools.yum6.cn/Tools/view_source/index.php 或者将图片下载到本地，查看十六进制发现最后面有一串HTML代码 解密一下 仙剑奇侠传-翻牌游戏 查看源码看到有三个可跳转文件 在 css/style.css
阅读全文
摘要：比赛地址：https://ctf.show/challenges WEB WEB签到 根据题目可知，要输入三个非0数字，使得结果为114，简单尝试一下就知道这几乎是不可能的，那么只能从程序逻辑上看有没有漏洞可钻了 输入数字可以发现计算公式，输入其他字符会提示Hacker，输入+-*（）和数字则不会提
阅读全文
摘要：ext3 题目提示是Linux光盘，附件下载下来 首先了解一下ext3 ext3是第三代扩展文件系统（英语：Third extended filesystem，缩写为ext3），是一个日志文件系统，常用于Linux操作系统。他是很多Linux发行版的默认文件系统。 在Linux上加载 SimpleR
阅读全文
摘要：萌新认证 加入qq群：372619038 进群喊：萌新码 萌新_密码1 密文： 53316C6B5A6A42684D3256695A44566A4E47526A4D5459774C5556375A6D49324D32566C4D4449354F4749345A6A526B4F48303D 首先16进
阅读全文
摘要：描述：举办方不允许自带电脑，所以此文章做一些简单工作 0X01 改SSH密码 官方在给出服务器密码时，很有可能是默认的，需要赶快修改自己的密码并尝试能不能登录别人的靶机 0X02 命令行简单查找后门 find / -name '*.php' | xargs grep -n 'eval' find /
阅读全文
摘要：环境： SSH弱口令 描述：存在某些队伍忘记修改SSH弱口令，尝试使用python脚本连接获取flag import paramiko #paramiko是一个用于做远程控制的模块 import threading #threading模块是Python里面常用的线程模块 def ssh2(ip,u
阅读全文
摘要：学习于：https://www.cnblogs.com/Cl0ud/p/13620537.html 一个简单的不死马 <?php ignore_user_abort(true); set_time_limit(0); unlink(__FILE__); $file = '.config.php';
阅读全文
摘要：reverseMe 下载附件 得到一个颠倒的flag图片 编辑，翻转，得到flag What-is-this 下载附件，是.gz压缩，解压，得到两张图片 使用StegSolve工具的combiner功能将两张图片组合，即可得到flag normal_png 下载附件，得到一个png 扔进WinHex
阅读全文
摘要：web171 比较常规的题目不做讲解了，这里给出payload # 查数据库 -1'union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database() --+ #
阅读全文
摘要：签到题 关注公众号回复关键词 提示flag被隐藏 Ctrl+F搜索flag关键字，发现有一处不回显，查看源代码，得到flag
阅读全文
摘要：学习于：https://www.cnblogs.com/HelloCTF/p/13044403.html 序列化和反序列化的概念 序列化就是将对象转换成字符串。字符串包括、属性名、属性值、属性类型和该对象对应的类名。反序列化则相反将字符串重新恢复成对象。对象的序列化利于对象的保存和传输,也可以让多个
阅读全文
摘要：地址：https://ctf.bugku.com/ Simple_SSTI_1 模板注入，查看页面源代码 很明显，flag在secret_key下 构建如下url：http://114.67.175.224:12784/?flag={{config.SECRET_KEY}} or在地址栏后面输入：/
阅读全文