摘要:1.EZcms 这道题思路挺明确,给了源码,考点就是md5哈希扩展+phar反序列化 首先这道题会在上传的文件目录下生成无效的.htaccess,从而导致无法执行上传的webshell,所以就需要想办法删除掉.htaccess 这里主要记录一点,利用php内置类进行文件操作, exp为: 通过反序列 阅读全文
posted @ 2019-09-21 18:03 tr1ple 阅读 (15) 评论 (0) 编辑
摘要:0x01.环境准备: Apache Commons Collections 3.1版本,下载链接参考: https://www.secfree.com/a/231.html jd jui地址(将jar包转化为java源码文件): https://github.com/java-https://www 阅读全文
posted @ 2019-09-20 16:53 tr1ple 阅读 (103) 评论 (0) 编辑
摘要:鸽了很久,还是记录一下 比赛的时候搞了很长时间,终于和mlt师傅搞出来了,竟然只有我们一队是预期解== 题目就给了一个php文件,整个逻辑也比较简单,首先删除当前目录下非index.php的文件,然后include(‘fl3g.php’),之后获取filename和content并写入文件中。其中对 阅读全文
posted @ 2019-09-10 23:41 tr1ple 阅读 (41) 评论 (0) 编辑
摘要:补java的坑,开始! 1.Intellij一些快捷键 intell常用快捷键: ctrl+n 快速查找定位类的位置 ctrl+q 快速查看某个类的文档信息 shift + F6 快速类、变量重命名 ctrl + i 在当前类实现接口的方法 ctrl + o 复写基类的方法 ctrl+shift+空 阅读全文
posted @ 2019-09-04 21:29 tr1ple 阅读 (19) 评论 (0) 编辑
摘要:这篇主要记录一下这道题目的预期解法 做这道题首先要在自己的vps搭建一个rouge mysql,里面要填写需要读取客户端的文件名,即我们上传的phar文件路径 先搭一个rouge mysql测试看看: 首先尝试读一个/etc/passwd看看 此时只需要在服务器启动rouge mysql即可 此时可 阅读全文
posted @ 2019-08-22 23:07 tr1ple 阅读 (74) 评论 (0) 编辑
摘要:1.web1-chkin 首先发现服务器中间件为nginx,并且fuzz上传过滤情况,是黑名单,带ph的全部不能上传切对文件内容中包含<?进行过滤,并且服务器对文件头有exif_type的判断,直接通过xbm格式绕过,传.htaccess和.user.ini是可以的,又因为此题为nginx,所以通过 阅读全文
posted @ 2019-08-22 09:39 tr1ple 阅读 (188) 评论 (0) 编辑
摘要:前几天看了redpwn的一道web题,node.js的web,涉及知识点是javascript 原型链污染,以前没咋接触过js,并且这个洞貌似也比较新,因此记录一下学习过程 1.本机node.js环境安装 题目都给了源码,所以本地就可以直接安装package.json依赖并本地模拟调试 首先subl 阅读全文
posted @ 2019-08-19 17:15 tr1ple 阅读 (98) 评论 (0) 编辑
摘要:1.PHP中代码执行的危险函数 call_user_func() 第一个参数 callback 是被调用的回调函数,其余参数是回调函数的参数。 传入call_user_func()的参数不能为引用传递 call_user_func($_GET['1'],$_GET['2']); codeexec.p 阅读全文
posted @ 2019-08-19 10:05 tr1ple 阅读 (82) 评论 (0) 编辑
摘要:跟SUS_2019的大哥们一起打的比赛,记录一下 web web1 web签到,像这种前端游戏,一般逻辑都在js里面所以直接看cqg.js,无脑赋值socre=15,出来flag web2 burp启动,数据xml格式,猜测xxe,直接system读文件,可以读到,那么接下来读取源码试试,刚开始读i 阅读全文
posted @ 2019-08-16 20:30 tr1ple 阅读 (134) 评论 (0) 编辑
摘要:1.one line tool 这道题主要是命令注入,利用escapeshellarg 和 escapeshellcmd前后使用时通过注入单引号来导致逃逸出一个单引号 从而导致可以参数注入 这里主要用到nmap的两个参数-iL 和-oN 以任意格式输出,-oX不行,这样不会把/flag的内容输出,必 阅读全文
posted @ 2019-08-13 21:36 tr1ple 阅读 (138) 评论 (0) 编辑
摘要:1.WarmUp 思路很清晰,文件包含,漏洞点在代码会二次解码,只需注入一个?就可以使用../../进行路径穿越,然后去包含flag,flag路径在hint.php里面有 2.easy_tornado 题目就给了这些信息,flag路径已知,render应该是跟模板注入相关,hint.txt给的应该是 阅读全文
posted @ 2019-08-11 13:50 tr1ple 阅读 (172) 评论 (0) 编辑
摘要:补坑加1,这几天快速刷一下sqllabs 来巩固下sql注入基础吧,也算是把很久以前没刷的过一遍,do it! 第一部分: LESS1: 直接报错,有回显的注入, http://localhost/sqli-labs-master/Less-1/?id=1' order by 3--+ 就可以确定字 阅读全文
posted @ 2019-08-10 11:01 tr1ple 阅读 (61) 评论 (0) 编辑
摘要:LESS31: 双引号直接报错,那么肯定可以报错注入,并且也过滤了一些东西,^异或没有过滤,异或真香 -1" and (if(length(database())=8,1,0)) and "1 这个payload可以 LESS32: 发现'被转移了,尝试宽字节绕过,\反斜杠是%5c,前面拼接成%df 阅读全文
posted @ 2019-08-10 11:01 tr1ple 阅读 (39) 评论 (0) 编辑
摘要:LESS54: 只有10次尝试,dump处secret key 直接union 查就可以,括号为单引号闭合 LESS55: 尝试出来闭合的方式为)括号,后面操作与54相同 LESS56: 尝试出来括号闭合方式为'),其它与54相同 LESS57: 括号闭合方式为"双引号,其他与前面相同 LESS58 阅读全文
posted @ 2019-08-10 10:50 tr1ple 阅读 (24) 评论 (0) 编辑
摘要:虽然是N1CTF原题,但是自己没遇见过,还是做的题少,记录一下吧== 1.源码泄露,直接可以下到所有源码,然后代码审计到一处insert型注入: 这里直接带入insert里面,跟进去看看 insert函数对values进行正则替换,先调用get_columnsp 这里把数组分成以` , `连接的字符 阅读全文
posted @ 2019-08-08 16:52 tr1ple 阅读 (91) 评论 (0) 编辑
摘要:快速了解MongoDB 基础概念   MongoDB 是由C++语言编写的,是一个基于分布式文件存储的开源数据库系统。MongoDB 将数据存储为一个文档,数据结构由键值 对组成。MongoDB 文档类似于 对象。字段值可以包含其他文档,数组及文档数组。 常用MongoDB语句分 阅读全文
posted @ 2019-08-06 16:25 tr1ple 阅读 (19) 评论 (0) 编辑
摘要:记录一些ctf题目中近期遇到的一些文件操作trick,不定时更新 1.move_uploaded_file 一般用来保存上传的文件,第二个参数一般是最终保存的文件名,针对此函数,若在一定条件下$new_name完全可控,即可以穿越路径,可以对已经存在的文件进行覆盖。 假设正常文件内容如下: exp. 阅读全文
posted @ 2019-08-05 16:12 tr1ple 阅读 (30) 评论 (0) 编辑
摘要:补坑+1。 有预留的后门,并且给了phpinfo,因此可以从phpinfo中先搜集一波信息: 这里禁用了很多命令执行的函数,所以应该要bypass_disablefunction,先读一下flag在哪,但是这里有openbase_dir限制,因此能够还必须绕过它,这里system默认忽略openba 阅读全文
posted @ 2019-07-31 23:41 tr1ple 阅读 (42) 评论 (0) 编辑
摘要:因为都有源码,所以这里直接从源码开始分析: 1.Easy web 这道题本来的意思应该是通过注入来load_file读取config.php来泄露cookie的加密密钥,从而伪造身份进行登陆再上传shell 这里本来addslashes以后就基本没法注入,但是这里却多了两行替换,所以能够继续注入, 阅读全文
posted @ 2019-07-30 21:22 tr1ple 阅读 (176) 评论 (0) 编辑
摘要:攻击场景: 实际上就是通过主从特性来 同步传输数据,同时利用模块加载来加载恶意的用来进行命令执行的函数,从而进行rce redis之前的攻击方法有 1.写shell 但是对于网站根目录而言,redis不一定据有写权限 2.root权限写crontab或者ssh文件 高版本redis运行时为非root 阅读全文
posted @ 2019-07-28 13:07 tr1ple 阅读 (49) 评论 (0) 编辑