xNftrOne

该文被密码保护。 阅读全文

摘要： XXE 漏洞原理及 trick 学习 XXE 原理 XXE 指的是 XML 外部实体注入，主要是 XML 解析时未对外部实体加以限制，放任攻击者将恶意代码注入到 XML 中，导致服务器加载恶意的外部实体引发文件读取，SSRF，命令执行等危害操作。 XML 基本语法 XML 是一种用标签描述数据结构的 阅读全文

摘要： PolarisCTF 招新赛 wp&赛后复现 只打了 web，名次不高 其实真的打 ctf 越来越迷茫了，根本分不清楚你的对手到底是什么水平。我感觉难度不低的题目都被做的很快，我是跟着 ai 一起打的，一直到自己能走完整个路径才算做完一道题目。现在 ai 这么强力的环境下，抱着学习的心态在比赛里就是 阅读全文

摘要： F02A：从零开始的 ai agent 学习 - 进阶篇 F02A（From Zero To Agent）是我个人从基本为零的 ai 基础开始独立学习到编写 Agent 的过程记录。 文章更像是一个学习记录而非教程，因此难免会出现一些偏差或错漏，读者多多担待 Stage 3 LangChain 基础 阅读全文

摘要： F02A：从零开始的 ai agent 学习 - 基础篇 F02A（From Zero To Agent）是我个人从基本为零的 ai 基础开始独立学习到编写 Agent 的过程记录。 文章更像是一个学习记录而非教程，因此难免会出现一些偏差或错漏，读者多多担待 从概念开始 LLM 大语言模型（Larg 阅读全文

摘要： 软件系统安全赛2026 初赛writeup 说是软件系统赛，本来以为是 re pwn✌ 发力的比赛，没想到反而是 web 的难度还挺高的 另一道 web 题 auth 没打出来，赛后看另一队的师傅用了一个 http CRLF 打 redis 的思路，没想到 urllib 也能这么打。这里没有做后续复 阅读全文

摘要： DesCTF 2026 部分 wp 跟队里超级小登组队打的，差一点点拿奖。只保留了我自己做的部分 不得不感慨 ai agent 的强大，解题效率有极大的提升 WEB NoteHub 任意账密登录都会给一个 guest 的 token 弱密钥，进行伪造 eyJhbGciOiJIUzI1NiIsInR5 阅读全文

摘要： 春秋云境-Initial Initial 是一套难度为简单的靶场环境，完成该挑战可以帮助玩家初步认识内网渗透的简单流程。该靶场只有一个 flag，各部分位于不同的机器上。 flag1 扫描发现两个开放端口，其中 http 上是一个 thinkphp 服务 扫出洞了，直接工具上马 蚁剑连接后上哥斯拉， 阅读全文

摘要： ISCTF 2025 web 有几道很不错的题目，学习了 PWN部分来自队友： @sea_dream WEB b@bymailto:b@by n0t1ce b0ard CVE-2024-12233 A vulnerability was found in code-projects Online N 阅读全文

摘要： 第五届鹏城杯 初赛 web wp ez_php 抓包发现有 cookie 的校验 直接改成 admin 会报错 看提示感觉是 admin 被过滤了，双写一下就可以绕过去 TzoxMjoiU2Vzc2lvblxVc2VyIjoxOntzOjIyOiIAU2Vzc2lvblxVc2VyAHVzZXJuY 阅读全文