SUCTF2019-web Easyweb - 相关文章

到处抄来的SUCTF2019 web wp

0x01 EasySQL 这是一个考察堆叠注入的题目,但是这道题因为作者的过滤不够完全所以存在非预期解非预期解直接构造 *,1 这样构造,最后拼接的查询语句就变成了 select *,1||flag from Flag,可以直接得到当前表中的全部内容,就能够直接获得flag 正常解题堆叠注入,先构造 1;show tables;#可以得到当前的表信息并且根据回显,我们可以大致判断查询语句为: ... POST['query']||flag ... 直接构造 1;select * from…

suctf2019 部分web题目的复盘

1.简单的SQL注入一开始一直没思路,输入什么过滤什么,结束后看了大佬们的wp,感觉学到了,这里涉及到Mysql中的一个特殊模式的设置 set sql_mode=pipes_as_concat; 这一句sql语句的意思是开启mysql中支持管道符来进行字符串的拼接操作测试一下效果简单准备的原始数据表没有开启这个模式的时候这里并没有出现字符串的拼接效果开启这个模式后可以从上图看到,数据表中的数据被带出来了,下面这张图更清晰因此,假定上面那道题支持开启这个模式的话,就可以遍历数据库字…

刷题记录：[SUCTF 2019]EasyWeb(EasyPHP)

目录刷题记录:[SUCTF 2019]EasyWeb(EasyPHP) 一.涉及知识点 1.无数字字母shell 2.利用.htaccess上传文件 3.绕过open_basedir/disable_function的几种方法刷题记录:[SUCTF 2019]EasyWeb(EasyPHP) 题目复现链接:https://buuoj.cn/challenges 参考链接:SUCTF-2019 2019 SUCTF Web writeup 2019-SUCTF-web记录一.涉及知识点 1.…

SpringMVC基于代码的配置方式（零配置，无web.xml）直接继承WebMvcConfigurerAdapter

基于配置文件的web项目维护起来可能会更方便,但是有时候我们会有一些特殊的需求,比如防止客户胡乱更改配置,这时候我们需要给配置隐藏到代码中. 1.创建一个动态web项目(无需web.xml) 2.右键项目添加几个package: com.easyweb.config (保存项目配置) com.easyweb.controller (保存springMvc controller) 3.在 com.easyweb.config 新建一个类 WebApplicationStartup ,这个类实现We…

java web框架发展的新趋势--跨界轻型App

“跨界(cross over)在汽车界已然成风,将轿车.SUV.跑车和MPV等多种不同元素融为一体的混搭跨界车型,正在成为汽车设计领域的新趋势.从个人而言,当包容.多元的审美要求和物质要求越来越强烈时,跨界代表了一种新锐的生活态度与审美方式的融合.有人说,这是我们内心深处的渴望,也是我们在短暂一生中尽量多尝试应用不同体验的方式———驾驶跨界车,演绎着一种新颖的生活方式.” 目前互联网开始渗透到各行各业中,各互联网之间的整合也是此起彼伏.大量整合.渗透互联网如新浪和高德地图,支付宝和基金,支付宝和…

SpringMVC基于代码的配置方式（零配置，无web.xml）

基于配置文件的web项目维护起来可能会更方便,可是有时候我们会有一些特殊的需求,比方防止客户胡乱更改配置,这时候我们须要给配置隐藏到代码中. 1.创建一个动态web项目(无需web.xml) 2.右键项目加入几个package: com.easyweb.config (保存项目配置) com.easyweb.controller (保存springMvc controller) 3.在 com.easyweb.config 新建一个类 WebApplicationStartup .这个类实现We…

[WUST-CTF]Web WriteUp

周末放假忙里偷闲打了两场比赛,其中一场就是武汉科技大学的WUST-CTF新生赛,虽说是新生赛,题目质量还是相当不错的.最后有幸拿了总排第5,记录一下Web的题解. checkin 进入题目询问题目作者昵称,在题面里可以看到是52HeRtz,但是发现题目输入框只能输入3个字符,并且按钮是灰色的直接F12审查元素去掉maxlength以及disable两个属性,输入作者昵称即可弹出作者的博客地址,跟进去在作者博客首页可以看到一部分Flag: 根据提示“远古的博客”,找到一篇1970年的文章,文…

[原题复现+审计][SUCTF 2019] WEB CheckIn(上传绕过、.user.ini)

简介原题复现:https://github.com/team-su/SUCTF-2019/tree/master/Web/checkIn 考察知识点:上传绕过..user.ini 线上平台:https://buuoj.cn(北京联合大学公开的CTF平台) 榆林学院内可使用信安协会内部的CTF训练平台找到此题过程拿到题老方法各种绕过尝试经过测试得知有:后缀名检测(php,php1.php5.phtml不行).文件内容不能有<? .必须是图片类型.低啊用了这个函数exif_imag…

buuctf刷题之旅—web—EasySQL

打开环境,发现依旧是sql注入 GitHub上有源码(https://github.com/team-su/SUCTF-2019/tree/master/Web/easy_sql) index.php源码 <?php session_start(); include_once "config.php"; $post = array(); $get = array(); global $MysqlLink; //GetPara(); $MysqlLink = mysqli_conn…

C# Web应用调试开启外部访问

在用C#开发Web应用时有个痛点,就是本机用VS开启Web应用调试时外部机器无法访问此Web应用.这里将会介绍如何通过设置允许局域网和外网机器访问本机的Web应用. 目录 1. 设置内网访问 2. 设置外网访问 1. 设置内网访问在设置之前,本机环境如下: 操作系统:win7 IDE:Visual Studio 2010 应用:ASP.net 想要实现局域网内其他机器访问本机web应用包含以下4步: 第一步:设置启动方式为IIS Express Visual Studio 运行Web应用时,默…

网页提交中文到WEB容器的经历了些什么过程....

先准备一个网页 <html><meta http-equiv="Content-Type" content="text/html; charset=gbk" /> <title>测试编码</title> <body> <form id="form1" name="form1" method="post" action="http:/…

闲来无聊，研究一下Web服务器的源程序

web服务器是如何工作的 1989年的夏天,蒂姆.博纳斯-李开发了世界上第一个web服务器和web客户机.这个浏览器程序是一个简单的电话号码查询软件.最初的web服务器程序就是一个利用浏览器和web服务器软件之间的联系,将存储在硬盘上的文件传递给远程的读者. web服务器软件主要是提供web服务的软件,为浏览器提供http数据的支持. 它无非就是把硬盘上的文件以http数据流的形式提供给web服务器,这就是它的基本用途.这个基本用途就是作为web服务器软件的发明人蒂姆.博纳斯-李发明web服…

java: web应用中不经意的内存泄露

前面有一篇讲解如何在spring mvc web应用中一启动就执行某些逻辑,今天无意发现如果使用不当,很容易引起内存泄露,测试代码如下: 1.定义一个类App package com.cnblogs.yjmyzz.web.controller; import java.util.Date; public class App { boolean isRun = false; public App() { isRun = true; } public void start() { while (is…

对抗密码破解 —— Web 前端慢 Hash

(更新:https://www.cnblogs.com/index-html/p/frontend_kdf.html ) 0x00 前言天下武功,唯快不破.但在密码学中则不同.算法越快,越容易破. 0x01 暴力破解密码破解(严格地说应该是账号口令的破解),就是把散列值还原成明文口令.这貌似有不少方法,但事实上都得走一条路:暴力穷举.(也许你会说还可以查表,瞬间就出结果.虽然查表不用穷举,但表的制造过程仍然需要.查表只是将穷举提前了而已) 因为散列计算是单向的,是不可逆的,所以只能穷举.穷举…

使用 Nodejs 搭建简单的Web服务器

使用Nodejs搭建Web服务器是学习Node.js比较全面的入门教程,因为要完成一个简单的Web服务器,你需要学习Nodejs中几个比较重要的模块,比如:http协议模块.文件系统.url解析模块.路径解析模块.以及301重定向问题,下面我们就简单讲一下如何来搭建一个简单的Web服务器. 作为一个Web服务器应具备以下几个功能: 1.能显示以.html/.htm结尾的Web页面 2.能直接打开以.js/.css/.json/.text结尾的文件内容 3.显示图片资源 4.自动下载以.apk/.…

一步步开发自己的博客 .NET版（11、Web.config文件的读取和修改）

Web.config的读取对于Web.config的读取大家都很属性了.平时我们用得比较多的就是appSettings节点下配置.如: 我们对应的代码是: = ConfigurationManager.AppSettings[“OAuth_QQ_ClientId”]; = ConfigurationManager.AppSettings[“OAuth_QQ_CallbackUrl”]; = ConfigurationManager.AppSettings[“OAuth_QQ_ClientScr…

Web性能优化：What? Why? How?

为什么要提升web性能? Web性能黄金准则:只有10%~20%的最终用户响应时间花在了下载html文档上,其余的80%~90%时间花在了下载页面组件上. web性能对于用户体验有及其重要的影响,根据著名的`2-5-8`原则: 当用户在2秒以内得到响应,会感觉系统的响应非常快当用户在2-5秒之内得到响应,会感觉系统的响应速度还可以当用户在5-8秒之内得到响应,会感觉系统的响应非常慢,但还可以接受当用户在8秒之后都没有得到响应,会感觉系统糟透了,甚至系统已经挂掉:要么打开竞争对手的网站,要么…

Web性能优化：图片优化

程序员都是懒孩子,想直接看自动优化的点:传送门我自己的Blog:http://cabbit.me/web-image-optimization/ HTTP Archieve有个统计,图片内容已经占到了互联网内容总量的62%,也就是说超过一半的流量和时间都用来下载图片.从性能优化的角度看,图片也绝对是优化的热点和重点之一,Google PageSpeed或者Yahoo的14条性能优化规则无不把图片优化作为重要的优化手段,本文覆盖了Web图片优化的方方面面,从基本的图片格式选择.到尚未被广泛支持的…

使用ServiceStack构建Web服务

提到构建WebService服务,大家肯定第一个想到的是使用WCF,因为简单快捷嘛.首先要说明的是,本人对WCF不太了解,但是想快速建立一个WebService,于是看到了MSDN上的这一篇文章 Building Cross-Platform Web Services with ServiceStack,所以这里简要介绍一下如何使用ServiceStack快速建立一个WebService服务. 当然,在开始之前,首先要说明一下ServiceStack是个什么东西. 在国内用ServiceStac…

关于如何提高Web服务端并发效率的异步编程技术

最近我研究技术的一个重点是java的多线程开发,在我早期学习java的时候,很多书上把java的多线程开发标榜为简单易用,这个简单易用是以C语言作为参照的,不过我也没有使用过C语言开发过多线程,我只知道我学习java多线程开发是很难的,直到现在写这篇文章的时候,虽然我对java多线程里的API比以前熟悉更多了,但是如果碰到了生产开发里如何将多线程设计更好,我心里的底气还是不足的,哎,缺乏很有意义的实践,我现在要等待让我实践这部分技术的机会了. 话外话,研究多线程是因为我在一本讲并发编程的书籍里看…

为什么做java的web开发我们会使用struts2，springMVC和spring这样的框架?

今年我一直在思考web开发里的前后端分离的问题,到了现在也颇有点心得了,随着这个问题的深入,再加以现在公司很多web项目的控制层的技术框架由struts2迁移到springMVC,我突然有了一个新的疑问无法得到正确的解释,为什么我们现在做java的web开发,会选择struts2或者springMVC这样的框架,而不是使用servlet加jsp这样的技术呢?特别是现在我们web的前端页面都是使用velocity这样的模板语言进行开发,抛弃了jsp,这样的选择又会给我们java的web开发带来什么…

为你的Web程序加个启动画面

.Net开发者一定熟悉下面这个画面: 这就是宇宙第一IDE Visual Studio的启动画面,学名叫Splash Screen(或者Splash Window).同样,Javar们一定对Eclipse的启动画面不会陌生.不只是IDE,很多桌面程序都会有这个Splash 窗口,在程序进行初始化时显示. 这方面做得最赞的非Adobe旗下的设计类软件莫数了,毕竟是搞艺术出身的啊.博主从PS 8.0用起,每次升级新版本激动的不是新功能,首先是激动新的启动画面.下图是最新CC版PS的Splash Sc…

在一个空ASP.NET Web项目上创建一个ASP.NET Web API 2.0应用

由于ASP.NET Web API具有与ASP.NET MVC类似的编程方式,再加上目前市面上专门介绍ASP.NET Web API 的书籍少之又少(我们看到的相关内容往往是某本介绍ASP.NET MVC的书籍“额外奉送”的),以至于很多人会觉得ASP.NET Web API仅仅是ASP.NET MVC的一个小小的扩展而已,自身并没有太多“大书特书”的地方.而真实的情况下是:ASP.NET Web API不仅仅具有一个完全独立的消息处理管道,而且这个管道比为ASP.NET MVC设计的管道更为复…

bootstrap + requireJS+ director+ knockout + web API = 一个时髦的单页程序

也许单页程序(Single Page Application)并不是什么时髦的玩意,像Gmail在很早之前就已经在使用这种模式.通常的说法是它通过避免页面刷新大大提高了网站的响应性,像操作桌面应用程序一样.特别是在当今的移动时代,单页程序如果放在移动设备上去浏览就能够拥有像native app一样的体验,也许我们web开发者们应该期待这种技术的大力普及,这样不管前端还是后端都是我们的天下啊,让那些Andrioid和IOS开发者们追赶我们吧!好吧,废话不说了,我们会从0开始搭建这样一个单页的web…

【SUCTF2019-web Easyweb】的更多相关文章