步骤: 1.运行这个: <?php class User { public $db; } class File { public $filename; } class FileList { private $files; public function __construct() { $file = new File(); $file->filename = "/flag.txt"; $this->files = array($file); } } $a = new

目录 刷题记录:[CISCN 2019 初赛]Love Math 思路一 思路二 总结 刷题记录:[CISCN 2019 初赛]Love Math 题目复现链接:https://buuoj.cn/challenges 参考链接:2019CISCN web题赛-JustSoSo;love_math(复现) 2019全国大学生信息安全竞赛ciscn-writeup(4web) CISCN2019Web WP 源码如下: <?php error_reporting(0); //听说你很喜欢数学,不知道

主要考察利用已有函数构造危险函数绕过,实现RCE. 进入题目给出源码: <?php error_reporting(0); //听说你很喜欢数学,不知道你是否爱它胜过爱flag if(!isset($_GET['c'])){ show_source(__FILE__); }else{ //例子 c=20-1 $content = $_GET['c']; if (strlen($content) >= 80) { //[NESTCTF 2019]Love Math2这里限制长度为60,用本题的异

划水做了两个pwn和两个逆向...... 二进制题目备份 Re easyGO Go语言,输入有Please字样,ida搜索sequence of bytes搜please的hex值找到字符串变量,交叉引用查到主函数是sub_495150,IDA断点动态调试发现直接出现了flag...... bbvvmm 用户名方面,Signsrch搜索特征值发现存在sm4加密,然后一个base64加密(加密算法的元素顺序换了) 题目给了Sm4的key 先使用变种base64解密.然后sm4解密得到用户名badr

0x00 知识点 PHP函数: scandir() 函数:返回指定目录中的文件和目录的数组. base_convert() 函数:在任意进制之间转换数字. dechex() 函数:把十进制转换为十六进制. hex2bin() 函数:把十六进制值的字符串转换为 ASCII 字符. var_dump() :函数用于输出变量的相关信息. readfile() 函数:输出一个文件.该函数读入一个文件并写入到输出缓冲.若成功,则返回从文件中读入的字节数.若失败,则返回 false.您可以通过 @readf

简介  原题复现:  考察知识点:无参数命令执行  线上平台:https://buuoj.cn(北京联合大学公开的CTF平台) 榆林学院内可使用信安协会内部的CTF训练平台找到此题 源码审计 代码 1 <?php 2 error_reporting(0); 3 //听说你很喜欢数学,不知道你是否爱它胜过爱flag 4 if(!isset($_GET['c'])){ 5 show_source(__FILE__); 6 }else{ 7 //例子 c=20-1 8 $content = $_GET

目录 刷题记录:[CISCN2019 东北赛区 Day2 Web3]Point System 知识点 1.padding-oracle attack 2.cbc字节翻转攻击 3.FFMpeg文件读取漏洞 总结 刷题记录:[CISCN2019 东北赛区 Day2 Web3]Point System 题目复现链接:https://buuoj.cn/challenges 参考链接:CISCN 2019 东北赛区 Day2 Web3 WriteUp Padding Oracle Attack 拖了一个星

一.备份 修改配置文件 vim /etc/gitlab/gitlab.rb 默认路径为 # gitlab_rails['backup_path'] = "/var/opt/gitlab/backups" #可以自定义为“/data/backups/gitlab” gitlab_rails['backup_path'] = "/data/backups/gitlab" gitlab_rails['backup_keep_time'] = 604800 #代表只保留7天

id=0 id=1 id=2 id=3 发现结果不一样,尝试 : ">4","=4","<4" : 在自己的环境下验证一下: 爆一下数据库: id=(ascii(substr(database(),1,1))>32) ''' @Modify Time @Author ------------ ------- 2019/10/25 19:28 laoalo ''' import requests from lxml import

目录 刷题记录:[CISCN2019 华北赛区 Day1 Web1]Dropbox 一.涉及知识点 1.任意文件下载 2.PHAR反序列化RCE 二.解题方法 刷题记录:[CISCN2019 华北赛区 Day1 Web1]Dropbox 题目复现链接:https://buuoj.cn/challenges 参考链接:ciscn2019华北赛区半决赛day1_web1题解 一.涉及知识点 1.任意文件下载 当时线下就做到这一步 2.PHAR反序列化RCE 总结在这里:Phar反序列化 利用条件:

目录 刷题记录:[CISCN2019 华北赛区 Day2 Web1]Hack World 一.前言 二.正文 1.解题过程 2.解题方法 刷题记录:[CISCN2019 华北赛区 Day2 Web1]Hack World 一.前言 离国赛已经过去好久了,到现在才看复现,这道题当时做的时候没有什么头绪,现在来看答案发现其实没有很难,就是经验还不足 二.正文 题目复现链接:https://buuoj.cn/challenges 参考链接:ciscn2019华北赛区半决赛day2_web1题解 1.解

PHAR:// PHP文件操作允许使用各种URL协议去访问文件路径:如data://,php://,等等 include('php://filter/read=convert.base64-encode/resource=index.php'); include('data://text/plain;base64,xxxxxxxxxxxx'); 前者使用到了过滤器来进行读写文件,后者使用data协议进行文件的读写. phar://也是流包装的一种,关于phar的结构: 1.stub 一个供pha

太难了QAQ 先看看phar是啥https://blog.csdn.net/u011474028/article/details/54973571 简单的说,phar就是php的压缩文件,它可以把多个文件归档到同一个文件中,而且不经过解压就能被 php 访问并执行,与file:// ,php://等类似,也是一种流包装器. phar结构由 4 部分组成 stubphar 文件标识,格式为 xxx<?php xxx; __HALT_COMPILER();?>: manifest压缩文件的属性等信

0x01 前言 通常我们在利用反序列化漏洞的时候,只能将序列化后的字符串传入unserialize(),随着代码安全性越来越高,利用难度也越来越大.但在不久前的Black Hat上,安全研究员Sam Thomas分享了议题It’s a PHP unserialization vulnerability Jim, but not as we know it,利用phar文件会以序列化的形式存储用户自定义的meta-data这一特性,拓展了php反序列化漏洞的攻击面.该方法在文件系统函数(file_

0x00知识点 phar是什么: 我们先来了解一下流包装 大多数PHP文件操作允许使用各种URL协议去访问文件路径:如data://,zlib://或php://.例如常见的 include('php://filter/read=convert.base64-encode/resource=index.php'); include('data://text/plain;base64,xxxxxxxxxxxx'); phar://也是流包装的一种 phar原理 ****可以理解为一个标志,格式为x

知识点:题目已经告知列名和表明为flag,接下来利用ascii和substr函数即可进行bool盲注 eg: id=(ascii(substr((select(flag)from(flag)),1,1))<128) 0x01 看了网上的源码发现: <?php $dbuser='root'; $dbpass='root'; function safe($sql){ #被过滤的内容 函数基本没过滤 $blackList = array(' ','||','#','-',';','&','+

补一下这道题,顺便发篇博客 不知道今年国赛是什么时候,菜鸡还是来刷刷题好了 0X01 考点 SQL注入.盲注.数字型 0X02自己尝试 尝试输入1 赵师傅需要女朋友吗???随便都能有好吧 输入2 ???黑人问号 输入3 提交空 输入union都被过滤.... 每次sql注入就很迷茫,然后fuzz测试一把... 发现好多都被过滤了 后来找到赵师傅的视频看了一下 有写 :通过1^1^1这个知识点绕过 1^(if((ascii(substr((select(flag)from(flag)),1,1))

解题思路 打开发现是很简单的页面,告诉了表名和列名,只需知道字段即可 尝试一下,输入1,2都有内容,后面无内容.输入1'让他报错,发现返回bool(false) 大概思路就是布尔型注入了,通过不断返回正确值,猜测对应字段 fuzz 通过fuzz发现,482长度的被禁了,472长度的可以使用,也就是说禁用了空格,union,or,and等 那就有点难办了,联合注入被禁,报错注入被禁 首先我们先不看过滤,应该选择的sql语句位为 select ascii(substr((select flag fr

打开题目, 我们开始尝试注入, 输入0回显Error Occured When Fetch Result. 输入1回显Hello, glzjin wants a girlfriend. 输入2回显Do you want to be my girlfriend? 输入大于2的数回显:Error Occured When Fetch Result. 但是有趣的是,我们输入1/1结果回显了Hello, glzjin wants a girlfriend. 于是我们判断它是数字型注入 然后我们继续测试,

记一道布尔注入的题,存在过滤字符. 从题目看应该是一道注入题.提示存在flag表flag列. 输入1和2的返回结果不一样,可能是布尔注入. 简单用万能密码尝试了一下.提示SQL Injection Checked.显然是存在过滤的.FUZZ测试: 好像并没有过滤掉很多的东西.ascii和substr都存在,但是空格被过滤了. 绕过空格的方法: 1.注释绕过 /**/ /*!*/ 2.括号绕过 3.HTML编码绕过 常用的URL编码中,会把空格编码成%20,所以通过浏览器发包,进行的URL编码中,