作者:ZERO    所属团队:Arctic Shell 参考资料: http://archimesan.me/2017/12/21/php%E5%BC%B1%E7%B1%BB%E5%9E%8B%E6%BC%8F%E6%B4%9E/ https://www.cnblogs.com/Mrsm1th/p/6745532.html https://blog.spoock.com/2016/06/25/weakly-typed-security/ 0x1::弱类型与强类型 通常语言有强类型和弱类型两种,

其实不是很爱搞Linux,但是因为CTF必须要接触一些,漏洞利用方面也是因为CTF基本都是linux的pwn题目. 基本的题目分类,我认为就下面这三种,这也是常见的类型. 下面就分类来说说 0x0.栈溢出 栈溢出一般都是CTF中,PWN类别的第一题.基本思想就是覆盖栈中返回地址啦,这个谁都知道.这种题一定会有NX保护,怎么跳是问题.常见的是leak出一个函数的got表,leak方法题中一定会给出的,然后看看有没有给出libc.如果有libc就能算system()和/libc/sh的地址了,直接溢

0×00 背景 近期在研究学习变量覆盖漏洞的问题,于是就把之前学习的和近期看到的CTF题目中有关变量覆盖的题目结合下进一步研究. 通常将可以用自定义的参数值替换原有变量值的情况称为变量覆盖漏洞.经常导致变量覆盖漏洞场景有:$$使用不当,extract()函数使用不当,parse_str()函数使用不当,import_request_variables()使用不当,开启了全局变量注册等. 本篇收集了几个CTF中的题目作为例子,对$$,extract(),parse_str()的问题进行总结. 0×

目录 0x00 first 前几天joomla爆出个反序列化漏洞,原因是因为对序列化后的字符进行过滤,导致用户可控字符溢出,从而控制序列化内容,配合对象注入导致RCE.刚好今天刷CTF题时遇到了一个类似的场景,感觉很有意思,故有本文. 0x01 我打我自己之---序列化问题 关于序列化是什么就不再赘述了,这里主要讲几个跟安全相关的几个点. 看一个简单的序列化 <?php $kk = "123"; $kk_seri = serialize($kk); //s:3:"123

Linux Pwn入门教程系列分享如约而至,本套课程是作者依据i春秋Pwn入门课程中的技术分类,并结合近几年赛事中出现的题目和文章整理出一份相对完整的Linux Pwn教程. 教程仅针对i386/amd64下的Linux Pwn常见的Pwn手法,如栈,堆,整数溢出,格式化字符串,条件竞争等进行介绍,所有环境都会封装在Docker镜像当中,并提供调试用的教学程序,来自历年赛事的原题和带有注释的python脚本. 课程回顾>> Linux Pwn入门教程第一章:环境配置 Linux Pwn入门教程

Linux Pwn入门教程系列分享如约而至,本套课程是作者依据i春秋Pwn入门课程中的技术分类,并结合近几年赛事中出现的题目和文章整理出一份相对完整的Linux Pwn教程. 教程仅针对i386/amd64下的Linux Pwn常见的Pwn手法,如栈,堆,整数溢出,格式化字符串,条件竞争等进行介绍,所有环境都会封装在Docker镜像当中,并提供调试用的教学程序,来自历年赛事的原题和带有注释的python脚本. 课程回顾>> Linux Pwn入门教程第一章:环境配置 Linux Pwn入门教程

题目链接:http://web.jarvisoj.com:9882/ 目的很明确获取/home/ctf/flag.txt的内容 一般读取目标机的本地文件都会用到file协议. 思路: 那么思路一:文件包含: 思路二:ssrf漏洞,这个成功率不大: 思路三:xxe漏洞,再没看源码的情况下试了一下,发现可以. 验证: 访问题目链接 随便输入,输入url发现都没有什么回显或者跳转 那么直接burp抓包 我们把content-type改成application/xml的类型,然后下方就可以写入xml代码

1.变量覆盖: ①:针对extract函数的变量覆盖漏洞: <?php @error_reporting(E_ALL^E_NOTICE); require('config.php'); if($_GET['show_source'] === '1') { highlight_file(__FILE__); exit; } $user = null; // connect to database if(!empty($_POST['data'])) { try { $data = json_dec

题目源码: 文件包含漏洞的话,看一下 你么可以使用php://input 伪协议,执行代码(参考了大佬WP)这里使用了POSTMAN, 目录下还有一个dle345aae.php文件,呢么用cat命令打开,并且输出文件内容(反单引号在linux中表示命令) 还有一种方法是用php://filter(php伪协议,作为中间流可以读取)直接读取dle3456aae.php的源码,然后再base64解码

题目:http://98fe42cede6c4f1c9ec3f55c0f542d06b680d580b5bf41d4.game.ichunqiu.com/login.php 题目内容: 网站要上线了,还没测试呢,怎么办? 经过测试在点击Mini-Zone的时候会有如下数据包. GET /index.php HTTP/1.1Host: 98fe42cede6c4f1c9ec3f55c0f542d06b680d580b5bf41d4.game.ichunqiu.comUpgrade-Insecure

打开发现是海洋cms,那就搜索相关漏洞 找到一篇介绍海洋cms的命令执行漏洞的文章:https://www.jianshu.com/p/ebf156afda49 直接利用其中给出的poc /search.php searchtype=5&searchword={if{searchpage:year}&year=:e{searchpage:area}}&area=v{searchpage:letter}&letter=al{searchpage:lang}&yuyan

渗透环境: 主机:192.168.32.152 靶机:192.168.32.1 命令执行漏洞 命令执行漏洞概念:当应用需要调用一些外部程序去处理内容的情况下,就会用到一些执行系统命令的函数.如PHP中的system,exec,shell_exec等,当用户可以控制命令执行函数中的参数时,将可注入恶意系统命令到正常命令中,造成命令执行攻击. 漏洞成因:脚本语言优点是简洁,方便,但也伴随着一些问题,如速度慢,无法解除系统底层,如果我们开发的应用需要一些除去web的特殊功能时,就需要调用一些外部程序.

主机:192.168.32.152 靶机:192.168.32.159 中间件PUT漏洞 包括apache,tomcat,IIS等中间件设置支持的HTTP方法(get,post,head,delete,put等)每一个开放了HTTP方法都有其对应功能,PUT方法可以直接从客户机上传文件到服务器,如果中间件开放了HTTP中的PUT方法,那么就可以利用上传webshell到服务器对应目录 扫描靶机端口: 然后常规方法nikto -host  ,dirb探测敏感文件,owasp zap扫web漏洞,都

题目: 基础: 所需基础知识见变量覆盖漏洞[1]  分析: 现在的$a=’hi’,而下面的函数需满足$a=’jaivy’才可以输出flag,那么需要做的事就是想办法覆盖掉$a原来的值. 那么出现的提示是,外部get一个参数,赋值为$$key = $value,即通过外部赋值这句覆盖前面的$a的值,当外部输入为:a=jaivy时,该语句为:$a = jaivy,则与一开始目标对应,满足条件. Payload: 如有错误,请及时指正,谢谢!

拿到题,先f12查看代码 发现情况直接进行访问 最后试了发现flag.js可以访问  服务器返回了如下图所示的乱码 很显然有可能是git泄露  话不多说,直接利用https://github.com/gakki429/Git_Extract这个工具下载泄露的文件 在这要强调一下  我在这入坑了  本题考查的是对git/logs/HEAD文件的利用,而githack并没有对其中的hash提取,因此遗漏了部分的object,要用Git_Extract来实现 用diff对flag.js和flag.js

https://www.cnblogs.com/bmjoker/p/9025351.html 原   作 者:bmjoker出 处:https://www.cnblogs.com/bmjoker/p/9025351.html版权声明:署名 - 非商业性使用 - 禁止演绎,协议普通文本 | 协议法律文本.

题目: 所需基础知识: 分析: 思路:由于目的是要拿$flag的值,所以可以得出最终会输出两个变量,而$flag的值在红框那行,被我们自己post的值给覆盖,所以flag值肯定不会在这出来,那么只剩下$_200变量,我们必须在flag被自己post的值覆盖前,将flag值传给别人,输出,才能得到flag值,即_200 = flag. 运行到这时,外部get的值为:_200=flag. 赋值后,$_200=$flag,刚好将flag的值覆盖掉原来的_200的值. Payload: 如有错误,请及时

简介 最近在刷CTF题,主攻Web,兼职Misc Shiyanbar 0x01 简单的登陆题 简单概括: 考点: %00截断正则 CBC字节翻转攻击 难度: 难 WP:https://blog.csdn.net/include_heqile/article/details/79942993 解题过程: F12查看响应头,发现返回tips 访问test.php文件得到源代码: <?php define("SECRET_KEY", '***********'); define(&qu

2019.2.11 南京邮电的ctf平台: 地址http://ctf.nuptzj.cn/challenges# 他们好像搭新的平台了...我注册弄了好半天... 1. 签到题,打开网址: 查看一下页面源代码: 2. 这道题很熟悉,就是找 md5后开头为0e的 然后传参就行了: 比如 ?a=s878926199a nctf{md5_collision_is_easy} 3. 这里查看页面源代码: 这里最大长度是10 肯定不够 改成12什么的,足够我们输入 zhimakaimen nctf{fol

2019.2.10 过年休息归来,继续做题. bugku的web题,地址:https://ctf.bugku.com/challenges 1. http://123.206.87.240:8002/web16/ 提示是备份,不由自主想到bak.这里可以扫路径或者自己多试试: http://123.206.87.240:8002/web16/index.php.bak 就是备份,直接保存下来. 打开后是一段源代码: 大概意思就是,获取key1和key2,但是会过滤掉你输入的key. 然后如果两个