GYCTF easyphp 【反序列化配合字符逃逸】

基础知识可以参考我之前写的那个 0CTF 2016 piapiapia 那个题只是简单记录了一下,学习了一下php反序列化的思路 https://www.cnblogs.com/tiaopidejun/p/12345080.html 这道题自己搞一下: 主要是构造pop链, 大概的思路,如果找到序列化和反序列化的点,跟进调用的方法,在源码中寻找可以被我们利用getshell的点. 开始: 先是发现跟进getNewInfo 发现update调用,继续跟进UpdateHelper 发现会直接调用…

详解PHP反序列化中的字符逃逸

首发先知社区,https://xz.aliyun.com/t/6718/ PHP 反序列化字符逃逸下述所有测试均在 php 7.1.13 nts 下完成先说几个特性,PHP 在反序列化时,对类中不存在的属性也会进行反序列化 PHP 在反序列化时,底层代码是以 ; 作为字段的分隔,以 } 作为结尾(字符串除外),并且是根据长度判断内容的比如:在一个正常的反序列化的代码输入 a:2:{i:0;s:6:"peri0d";i:1;s:5:"aaaaa";} ,会得到如…

PHP字符逃逸导致的对象注入

1.漏洞产生原因: 序列化的字符串在经过过滤函数不正确的处理而导致对象注入,目前看到都是因为过滤函数放在了serialize函数之后,要是放在序列化之前应该就不会产生这个问题 ?php function filter($string){ $a = str_replace('x','zz',$string); return $a; } $username = "tr1ple"; $password = "aaaaax"; $user = array($username…

SQL注入之Sqli-labs系列第三十六关（基于宽字符逃逸GET注入）和三十七关（基于宽字节逃逸的POST注入）

0X1 查看源码 function check_quotes($string) { $string= mysql_real_escape_string($string); return $string; } // take the variables if(isset($_GET['id'])) { $id=check_quotes($_GET['id']); //echo "The filtered request is :" .$id . "<br>"…

SQL注入之Sqli-labs系列第三十三关（基于宽字符逃逸注入）

开始挑战第三十三关(Bypass addslashes) 0x1查看源码本关和第三十二关其实是一样的,只是这里用到了addslashes()函数 function check_addslashes($string) { $string= addslashes($string); return $string; } addslashes 0x2 addslashes讲解 (1)功能函数返回在预定义字符之前添加反斜杠的字符串 (2)预定义字符单引号(') 双引号(") 反斜…

SQL注入之Sqli-labs系列第三十二关（基于宽字符逃逸注入）

开始挑战第三十二关(Bypass addslashes) 0x1查看源代码 (1)代码关键点很明显,代码中利用正则匹配将 [ /,'," ]这些三个符号都过滤掉了 function check_addslashes($string) { $string = preg_replace('/'. preg_quote('\\') .'/', "\\\\\\", $string); //escape any backslash $string = preg_replace('/\…

自定义 feign 反序列化时间字符格式

参考 : https://blog.csdn.net/forezp/article/details/73480304 feign client 默认配置类:默认的配置类为FeignClientsConfiguration 配置了解码和编码. 当请求Feign Client的方法执行时会被 SynchronousMethodHandler 类中的 invoke 方法所拦截. 跟踪代码可知, feign 反序列化对象时,使用 jackson objectMapper 类在 com.fasterxml…

SQL注入之Sqli-labs系列第三十四关（基于宽字符逃逸POST注入）和三十五关

开始挑战第三十四关和第三十五关(Bypass add addslashes) 0x1查看源码本关是post型的注入漏洞,同样的也是将post过来的内容进行了 ' \ 的处理. if(isset($_POST['uname']) && isset($_POST['passwd'])) { $uname1=$_POST['uname']; $passwd1=$_POST['passwd']; //echo "username before addslashes is :"…

C#JsonConvert.DeserializeObject反序列化json字符

需求:需要把第一个id替换掉,在序列化成json dynamic dyn = Newtonsoft.Json.JsonConvert.DeserializeObject(json); foreach (var obj in dyn) { if (obj.Name == "id") { obj.Value = dbGuid; break; } } string result = Newtonsoft.Json.JsonConvert.SerializeObject(dyn); 这样就实现…

C语言-逃逸字符、类型转换和布尔类型

C语言-逃逸字符逃逸字符是用来表达无法印出来的控制字符或者特殊字符,它由一个反斜杠""开头,后面跟上另一个字符,这两个字符合起来,组成一个字符. \b是backspace,在sublime中显示为BS,如果后面不输入的,它就什么结果都没有,如果输入的话会覆盖回退前的那个字符.所以\b是回去但不删除,它由的终端可能是删除. #include <stdio.h> int main() { printf("123\b\n456"); return 0; }…

[0CTF 2016]piapiapia{PHP反序列化漏洞（PHP对象注入）}

先上学习链接: https://www.freebuf.com/column/202607.html https://www.cnblogs.com/ichunqiu/p/10484832.html https://blog.csdn.net/weixin_44077544/article/details/102703489 https://www.jianshu.com/p/3b44e72444c1 知识点:PHP反序列化漏洞,字符逃逸. 着重记录一点:[转自https://www.jians…

PHP反序列化漏洞总结（二）

写在前边之前介绍了什么是序列化和反序列化,顺便演示了一个简单的反序列化漏洞,现在结合实战,开始填坑前篇:https://www.cnblogs.com/Lee-404/p/12771032.html 1.POP链 POP,面向属性编程(Property-Oriented Programing),之前理解的序列化攻击多是在魔术方法中出现一些利用的漏洞,自动调用从而触发漏洞.但如果关键代码不在魔术方法中,而是在一个类的普通方法中.这时候可以通过寻找相同的函数名将类的属性和敏感函数的属性联系起来.…

PHP 反序列化漏洞入门学习笔记

参考文章: PHP反序列化漏洞入门 easy_serialize_php wp 实战经验丨PHP反序列化漏洞总结 PHP Session 序列化及反序列化处理器设置使用不当带来的安全隐患利用 phar 拓展 php 反序列化漏洞攻击面序列化和反序列化的概念序列化就是将对象.string.数组array.变量转换成具有一定格式的字符串. 具体可以看 CTF PHP反序列化,下图摘自此篇文章其实每个字符对应的含义都很好理解: s ---- string 字符串 i ---- intege…

[GYCTF2020]Easyphp

知识点反序列化pop链反序列化字符逃逸解题过程 www.zip 备份文件获取源码审计代码构造pop链 <?php Class UpdateHelper{ public $id; public $newinfo; public $sql; } class User { public $id; public $age; public $nickname; public function __toString() { $this->nickname->update($this->…

.NET中如何使用反序列化JSON字符串/序列化泛型对象toJsonStr

在进行 .NET Web MVC 框架开发的网站程序的时候,我们都会遇到最关键的问题,数据传输. .NET MVC 4中的ControllerBase类建议我们用ViewBag动态数据字典形式(type:dynamic,JavaScript就是动态语言,只在运行时候才进行类型判断,而不是在编译),或者用ViewData数据字典(type:dictionary<string,object>)形式返回我们绑定的值.也就是说,ViewBag存储的数据的类型都是在使用的时候才确定的,但是ViewD…

php 序列化键、值逃逸

转自https://www.cnblogs.com/wangtanzhi/p/12261610.html PHP反序列化的对象逃逸(很重要一点,引号的匹配是从左到右按字符串长度进行匹配) 任何具有一定结构的数据,只要经过了某些处理而把自身结构改变,则可能会产生漏洞.参考链接:https://blog.csdn.net/a3320315/article/details/104118688/过滤函数分为两种情况第一种为关键词数增加例如: where->hacker,这样词数由五个增加到6个.第二种…

Python 反序列化漏洞学习笔记

参考文章一篇文章带你理解漏洞之 Python 反序列化漏洞 Python Pickle/CPickle 反序列化漏洞 Python反序列化安全问题 pickle反序列化初探前言上面看完,请忽略下面的内容 Python 中有很多能进行序列化的模块,比如 Json.pickle/cPickle.Shelve.Marshal 一般 pickle 模块较常使用在 pickle 模块中 , 常用以下四个方法 pickle.dump(obj, file) : 将对象序列化后保存到文件 pickle.…

【Web动画】科技感十足的暗黑字符雨动画

本文将使用纯 CSS,带大家一步一步实现一个这样的科幻字符跳动背景动画.类似于这样的字符雨动画: 或者是类似于这样的: 运用在一些类似科技主题的背景之上,非常的添彩. 文字的竖排首先第一步,就是需要实现文字的竖向排列: 这一步非常的简单,可能方法也很多,这里我简单罗列一下: 使用控制文本排列的属性 writing-mode 进行控制,可以通过 writing-mode: vertical-lr 等将文字进行竖向排列,但是对于数字和英文,将会旋转 90° 展示: <p>1234567890AB…

python常见漏洞总结

总结一下python里面常见安全问题,文章大部分内容来自MisakiKata师傅的python_code_audit项目,对原文进行了一些修改,后续会使用编写了规则对代码里面是否用到这些危险函数进行相应检测 SQL注入 SQL注入漏洞的原因是用户输入直接拼接到了SQL查询语句里面,在python Web应用中一般都是用orm库来进行数据库相关操作,比如Flask和Tornado经常使用Sqlalchemy,而Django有自己自带的orm引擎. 但是如果没有使用orm,而直接拼接sql语句的话就…

[0CTF 2016] piapiapia

一道非常有意思的反序列化漏洞的题目花费了我不少时间理解和记忆这里简单记录其中精髓首先打开是一个登陆页面 dirsearch扫描到了www.zip源码备份 update.php <?php require_once('class.php'); if($_SESSION['username'] == null) { die('Login First'); } if($_POST['phone'] && $_POST['email'] && $_POST['nickn…

Buu刷题

前言希望自己能够更加的努力,希望通过多刷大赛题来提高自己的知识面.(ง •_•)ง easy_tornado 进入题目看到render就感觉可能是模板注入的东西 hints.txt给出提示,可以看到url中的filehash 呢么意思就是如果知道cookie_secret的话,再结合md5的filename就可以读到/flllllag了把其实到这里我就没什么思路了,对于render肯定存在模板的问题,百度了一下标题tornado Tornado是一种 Web 服务器软件的开源版本.Torn…

2016 piapiapia 数组绕过

0x00.感悟写完这道题,我感觉到了扫源码的重要性.暑假复现的那些CVE,有的就是任意文件读取,有的是任意命令执行,这些应该都是通过代码审计,得到的漏洞.也就和我们的CTF差不多了. 但是我们扫目录,字典是个大问题,我目前还没有搞懂为什么有些文件,只能被一些特定的软件扫到.比如这道题,这个dirsearch,连www.zip这样的变态目录都能扫出来,为什么扫不出update.php这样极其常见的目录.而且题目的源码,就只能用dirsearch扫到,dirb和nikto就不行.…

Joomla 3.4.6 RCE复现及分析

出品|MS08067实验室(www.ms08067.com) 本文作者:whojoe(MS08067安全实验室SRST TEAM成员) 前言前几天看了下PHP 反序列化字符逃逸学习,有大佬简化了一下joomla3.4.6rce的代码,今天来自己分析学习一下. 环境搭建 Joomla 3.4.6 : https://downloads.joomla.org/it/cms/joomla3/3-4-6 php :5.4.45nts(不支持php7) 影响版本: 3.0.0 --- 3.4.6 漏洞利…

jQuery提交Json数据到Webservice，并接收返回的Json数据

jQuery ajax webservice:get 和 post 一.GET 方式客户端复制代码代码如下: var data = { classCode: "0001"}; // 这里要直接使用JOSN对象 $.ajax({ type: "GET", contentType: "application/json; charset=utf-8", url: "/WebServices/ProductPropertyWebServi…

Angular - - angular.uppercase、angular.lowercase、angular.fromJson、angular.toJson

angular.uppercase 将指定的字符串转换成大写格式:angular.uppercase(string); string:被转换成大写的字符串. 使用代码: var str = "ABCabc"; var upperCase = angular.uppercase(str);//ABCABC angular.lowercase 将指定的字符串转换成小写格式:angular.lowercase(string); string:被转换成小写的字符串. 使用代码: var s…

CSS文本效果

前面的话本文将详细介绍CSS文本效果凸版印刷效果这种效果尤其适用于中等亮度背景配上深色文字的场景:但它也可用于深色底.浅色字的场景,只要文字不是黑色并且背景不是纯黑或纯白就行 [浅色背景深色文本] background:hsl(210,13%,60%); color:hsl(210,13%,30%); text-shadow:0 .03em .03em hsla(0,0%,100%,.8); [深色背景浅色文本] background:hsl(210,13%,40%); color:hsl…

开源 , KoobooJson一款高性能且轻量的JSON框架

KoobooJson - 更小更快的C# JSON序列化工具(基于表达式树构建) 在C#领域,有很多成熟的开源JSON框架,其中最著名且使用最多的是 Newtonsoft.Json ,然而因为版本迭代,其代码要兼容从net2.0到现在的最新的net框架,并且要支持.net平台下的其它语言,所以最新发布版本的Newtonsoft.Json其dll大小接近700k,另一方面,因为其复杂的迭代历史导致它的代码为了维护向下扩展性和向上兼容性而舍弃一些性能. 如果你不太在乎体积和性能的话,那么 Newto…