CTF Web - 随笔分类 - 木易同学

[RoarCTF 2019]Easy Calc

摘要：先打开题目发现是一个计算器，先输入1+1，输出2 先判断是否是SQL注入，发现并没有任何变换 Ctrl+u查看源代码，发现提示信息，有waf,发现参数是传到calc.php，num值的加密，在执行eval();题目应是命令执行先看看calc.php页面，发现过滤挺多的揭发原理1：利用PHP的字阅读全文

posted @ 2022-11-09 22:06 木易同学阅读(181) 评论(0) 推荐(0) 编辑

[BJDCTF2020]The mystery of ip

摘要：

打开题目发现一个flag标签打开看到了页面获取了本机的ip，看到ip就想到了X-Forwarded-For: 抓取flag页面，添加X-Forwarded-For: 构造payload，系统命令查看根目录下的所有文件,第一次发现还可以这么玩 X-Forwarded-For:{system("ls 阅读全文

posted @ 2022-10-23 13:53 木易同学阅读(187) 评论(0) 推荐(0) 编辑

[网鼎杯 2018]Fakebook

摘要：

打开题目 jion注册，点击admin进入主页发现注入点no ?no=1 and 1=1 正常 ?no=1 and 1=1 报错猜列数菜擦才能得出基本为分几次日本v人vgtr给他人给他给他给通过通过他采列数、 ?no=1 order by 1#?no=1 order by 2#?no=1 阅读全文

posted @ 2022-10-22 23:13 木易同学阅读(36) 评论(0) 推荐(0) 编辑

[SUCTF 2019]CheckIn

摘要：

先打开题目，发现是一道文件上传的题先随便上传一个一句话木马试试水回显文件名不能是php,随后试试将文件名改成1.php.jpg 回显结果发现<?会被过滤掉看来对文件的内容进行了检查，不过没关系，这个内容检查可以绕，写一个简单的script脚本，用 php 解析脚本内容 <script la 阅读全文

posted @ 2022-10-16 16:46 木易同学阅读(110) 评论(0) 推荐(0) 编辑

RCE命令执行

摘要：RCE英文全称：remote command/code execute（远程命令/代码执行漏洞）分为远程命令执行ping和远程代码执行eval。 exce(ping)远程系统命令执行 1.原理以PHP为例，`system、exec、shell_exec、passthu、popen、proc_pop 阅读全文

posted @ 2022-10-02 11:27 木易同学阅读(308) 评论(0) 推荐(0) 编辑

JAVA 安全-JWT 安全及预编译 CASE 注入

摘要：什么是 JWT？ JSON Web Token（JSON Web 令牌）是一种跨域验证身份的方案。JWT 不加密传输的数据，但能够通过数字签名来验证数据未被篡改（但是做完下面的 WebGoat 练习后我对这一点表示怀疑）。 JWT 分为三部分，头部（Header），声明（Claims），签名（Si 阅读全文

posted @ 2022-09-16 14:58 木易同学阅读(150) 评论(0) 推荐(0) 编辑

目录遍历

摘要：目录遍历（也称为文件路径遍历）是一种 Web 安全漏洞，允许攻击者读取运行应用程序的服务器上的任意文件。危害：1、读取的文件可能包括应用程序代码和数据、后端系统的凭据以及敏感的操作系统文件等。2、在某些情况下，攻击者可能能够写入服务器上的任意文件，从而允许他们修改应用程序数据或行为，并最终完全控制服阅读全文

posted @ 2022-09-12 12:43 木易同学阅读(278) 评论(0) 推荐(0) 编辑

XXE漏洞

摘要：二、基础概念 1、xml基础概念 XML被设计为传输和存储数据，XML文档结构包括XML声明、DTD文档类型定义(可选)、文档元素，其焦点是数据的内容，其把数据从HTML分离，是独立于软件和硬件的信息传输工具。XXE漏洞全称XMLExternal Entity Injection，即xml外部实体注阅读全文

posted @ 2022-09-11 22:43 木易同学阅读(24) 评论(0) 推荐(0) 编辑

浅谈反序列化

摘要：

包括php、java、python三种语言,但我目前先学php和java的一、什么是序列化和反序列化1、序列化和反序列化序列化是将复杂的数据结构（如对象及其字段）转换为“更平坦”格式的过程这种格式可以作为连续的字节流发送和接收序列化数据使以下操作更简单：将复杂数据写入进程间内存、文件或数据库有阅读全文

posted @ 2022-09-11 15:45 木易同学阅读(178) 评论(0) 推荐(0) 编辑

木易

随笔分类 - CTF Web

公告