随笔分类 -  buuctf

[GXYCTF2019]BabyUpload
摘要：flagflag打开网站，先上传一个.php试试。 提示后缀名不能有ph。 这里想到了之前在ctfhub技能树上做过一道题目，可以上传.htaccess文件，来实现把后缀名为其它类型的转换成php执行，所以这里使用这个方法来上传。 不了解.htaccess的可以先看这篇文章，之后会用到。 文件上传漏 阅读全文
posted @ 2024-04-17 08:00 霾散 阅读(79) 评论(0) 推荐(0)
[ZJCTF 2019]NiZhuanSiWei
摘要：代码审计: 先看第一段 if(isset($text)&&(file_get_contents($text,'r') "welcome to the zjctf")) 看到有file_get_contents函数，先去查询一下 这里可以知道第一段绕过是需要我们传入text文件，并且文件内容为welc 阅读全文
posted @ 2024-04-16 08:00 霾散 阅读(61) 评论(0) 推荐(0)
Burpsuit安装fakeip插件
摘要：目录 jyphon插件下载链接： fakeip插件下载链接： 导入jpython插件： 导入fakeip插件： fakeip使用方法： 由于fakeip是使用python来写的，而burpsuite是java写的，所以在导入fakeip之前，需要先导入jyphon插件 jyphon插件下载链接： 链 阅读全文
posted @ 2024-04-15 18:39 霾散 阅读(293) 评论(0) 推荐(0)
[极客大挑战 2019]Http 1
摘要：必备知识点： ip伪造： burpsuit抓包后直接添加下面的任意一个（据题目而定，有些题目可能会进行禁用）。 X-Forwarded-For:ip X-Forwarded-Host:ip X-Client-IP:ip X-remote-IP:ip X-remote-addr:ip True-Cli 阅读全文
posted @ 2024-04-15 17:31 霾散 阅读(103) 评论(0) 推荐(0)
[GXYCTF2019]Ping Ping Ping
摘要：打开网站看到已经给出提示，让使用?/ip=xxx 来注入并且页面返回有ping命令，这里可以看出是ping命令，故开始绕过，需要使用命令联合注入，下面给出大佬总结的命令联合注入的笔记。 ; 前面的执行完执行后面的 | 管道符，上一条命令的输出，作为下一条命令的参数（显示后面的执行结果） || 当前面 阅读全文
posted @ 2024-04-15 16:49 霾散 阅读(141) 评论(0) 推荐(0)
BUUCTF通关 - 2
摘要：[HCTF 2018]WarmUp [强网杯 2019]随便注 先对其进行输入，发先只有输入1，2时才显示代码，其他数字不出现东西 之后判断注入点，发现输入1’时会出现报错， 之后使用万能密码尝试 尝试0‘ or ‘1’='1；0" or “1”="1等，发现可行 之后尝试order by，发现当输 阅读全文
posted @ 2024-04-14 14:13 霾散 阅读(415) 评论(0) 推荐(0)
BUUCTF通关 - 1
摘要：目录 N种方法解决 二维码 你竟然赶我走 金三 乌镇峰会种图 基础破解 wireshark [GKCTF 2021]签到 文件中的秘密 [BJDCTF2020]Easy MD5 BUU CODE REVIEW 1 BUU UPLOAD COURSE 1 sqli-labs BUU BURP COUR 阅读全文
posted @ 2024-04-14 13:25 霾散 阅读(553) 评论(0) 推荐(1)