- 博客(50)
- 收藏
- 关注
RSS订阅原创 红日靶场一实操笔记
注：需要win7开启c盘里面的phpstudy的服务。或者扫 nmap -PO 192.168.50.0/24可以看出来win7(ip为192.168.50.128)的靶机开启了80端口和3306端口访问一下80端口，可以发现是一个phpstudy探针，即网站是phpstudy搭建的。同时，这个页面泄露了很多信息：管理员邮箱，服务器版本，php版本，绝对路径等。在此页面的最下面有mysql的登录接口，可以用弱口令root/root登录。可以成功登录至mysql数据库。
2025-04-01 19:20:26
695
原创 流量分析2
先看协议分级，大部分是tcp，里面有http的基于的行文本数据占了很大的比重，看看里面有什么过滤http的流量点击一条流量，里面的内容进去后面有基于行的文本数据，先解hex，再解base64看，得到一个倒序的网页名。将http的数据导出来，按文件大小排序有2kb大小的文件，打开后解密得到有点像base64，但是不是，因为==要在最后，根据前面的信息，按行倒序脚本如下结果是。
2025-03-25 22:34:51
890
原创 2021陇剑杯取证
题目描述一位ios的安全研究员在家中使用手机联网被黑，不仅被窃密还丢失比特币若干，请你通过流量和日志分析后作答：黑客所控制的C&C服务器IP是_____________。按规矩，打开以后先看协议分级，都是tcp过滤tcp的流量，看看流 ，可以直接搜索含有github字符的流量，在tcp的第15个流中，看到了黑客控制了一台服务器。
2025-03-24 14:54:04
791
原创 内存取证之windows-Volatility 3
系统信息：显示操作系统的基本信息。vol -f <内存镜像文件路径> windows.info进程列表：列出所有进程。vol -f <内存镜像文件路径> windows.pslist网络连接：列出网络连接和套接字。vol -f <内存镜像文件路径> windows.netscan文件扫描：扫描内存中的文件对象。vol -f <内存镜像文件路径> windows.filescan注册表分析：列出注册表 hive 文件。
2025-03-20 15:08:47
820
原创 2024盘古石杯取证复现
检材容器密码: 2b26ba7ed35d622d8ec19ad0322abc52160ddbfa支婉婷(受害人)手机报告 (手机报告.zip)义言(嫌疑人)Android 手机镜像 (Pixel.zip)Windows 计算机硬盘镜像 (PC.001)Windows 计算机内存镜像 (memdump.mem)伏季雅(嫌疑人)Android 手机备份 (Samsung.zip)Windows 计算机硬盘镜像 (PC.E01)毛雪柳(嫌疑人)
2025-03-13 14:28:15
706
原创 u盘和硬盘的存储结构
FAT32()，中文名：32位文件分配表。FAT是一种表格，它记录了文件在存储介质上的位置。每个文件或文件夹在磁盘上都有对应的存储位置，而这个位置是通过FAT 表来管理的。FAT表中的每一项都记录了文件的一部分位置和是否被占用等信息。32：数字 32 指的是文件系统中使用的“簇”（cluster）地址的位数。FAT32 使用 32 位来表示簇地址，这意味着它可以寻址更多的存储空间，从而支持更大的磁盘和更大的文件。
2025-03-09 22:31:03
1109
原创 24数证杯wp
答案：2024-10-25 22:57:32分析地址：4CS_Win10.E01-基本信息-登录信息(注：关机时间和注销时间不是一样)或者分析事件日志里面事件号为1074的日志，看看开关机的情况 ，得到的是一样的结果日志1074编号：事件ID 1074是Windows系统日志中的一个常见事件，用于记录计算机的关机或重启操作。
2025-03-04 23:44:47
997
原创 nss刷题4
看看源码，首先是get传参Ping_ip.exe,然后如果请求了_ping参数，就会执行ping命令，执行三次这里里有两个要点，一个是要保证传入的参数是要求的，另一个是要怎样执行命令。第一个点是要把_换为[，保证后面的字符不被转义，然后是拼接命令，用||管道符来拼接命令，作用是当管道符前面的命令成功执行以后，后面的命令才会执行PHP中我们变量名只有数字字母下划线，被get或者post传入的变量名，如果含有空格、+、则会被转化为，如果传入，它被转化为_之后，后面的字符就会被保留下来不会被替换。
2025-02-25 23:22:40
774
原创 nss刷题3
level1：打开环境后什么也，没有，查看源码，看到第一关是MD5值，要get传参web，然后web的值的MD5和它原来值相等，0e开头的字符在php中都是0，传入一个0e开头的值即可payload：?level2:打开·打开页面后什么也没有，抓包发现hint，访问f14g.php上面说不相信flag确实在这里，，查看源代码也没有什么继续抓包，发现新的hintlevel3访问新的页面，得到一串代码可以转接一下参数，就可以绕过长度限制payload:?
2025-01-18 01:16:38
978
原创 nss刷题
1.打开环境，上面叫我们传图片，测试了一下，传什么都不能通过2.提示里面个给了一个文件，访问一下3.得到一个www.zip文件，是一个python的脚本，也就是页面运行的框架。
2024-12-28 17:19:34
407
原创 日志分析$
在进行攻击时，源码泄露比较常见的有以下几种：攻击者通过目录扫描工具（如dirsearch）找到并获取敏感文件位置，导致网站信息/源码泄露。：如.git、.svn、.hg等版本控制目录被错误地部署到线上环境，导致源代码泄露。
2024-12-25 23:49:56
291
原创 流量分析$
1. 应用层协议这些协议用于网络应用之间的通信。用于万维网（Web）的基础协议。主要用于浏览器与服务器之间的交互（如网页加载）。80HTTP 的加密版本，通过 TLS/SSL 提供安全性。用于保护敏感数据的传输（如登录页面、支付信息）。443用于在客户端和服务器之间传输文件。有两种模式：主动模式和被动模式。21将域名解析为 IP 地址，或反向解析 IP 地址为域名。常见于网络启动时的域名查询。53用于发送电子邮件。25用于访问电子邮件，支持邮件的同步与管理。143。
2024-12-25 23:47:28
988
原创 24isctf复现
看提示说是一个游戏，然后路径也是国内的，先百度识图，再去找圣地巡礼的文章，最终也是找到了几篇巡礼的文章，不过glagame确实有点小众，我问了很多二次元和游戏圈的朋友都不知道，还是只能硬遍历，游戏恋爱绮潭，现实中是鸣笛1988商业街，游戏里是充能国安路，难怪不好找，游戏里的和现实景色也不是很相似。Switch：这里按道理来说是要传2，执行case2，才会有flag，但是因为拼接，读的是2.php，flag不在2.php，而是在flag.php，目录扫描就可以，因此传flag。
2024-11-26 08:50:37
989
原创 23isctf
1.打开环境，上面有一句话木马，直接蚁剑上flag1：蚁剑连接上就可以直接看见，FLAG1:Yunxi{d0c0flag2:在根目录下就有 797a-4697-flag3： 在主页面有一个start.sh里面有提示信息start.sh的内容解释如下打开终端，执行命令echo $FLAG3。
2024-11-07 22:22:44
501
原创 msic小试牛刀
1.打开压缩包，得到一个文件。2.放进010分析，里面有两串字符 ，分别解码3.解码结果分别为密文：6374665f4e4953415f32303232明文：ctf_NISA_2022密文：6e6973615f32303232明文：nisa_20224.将文件用binwalk分离 ，得到一个压缩包，里面有一个flag.txt文件5.打开压缩包需要密码 ，上面解出来的两个密码中的ctf_NISA_2022，打开文件得到flag。
2024-10-23 19:14:51
324
原创 24强网拟态
2.得到两个新的zip包，用010编辑器打开flag.zip，可以看到flag的文件头是png格式的头，改一下后缀名。1.是一个流量分析的文件，先用wireshake打开，发现里面有一个flag.zip文件，用binwalk分离源文件。3.看flag.png文件，可以看到flag。
2024-10-21 23:32:02
262
原创 ARP欺骗学习记录
这个参数（在用法说明的末尾）实际上应该是一个具体的 IP 地址，表示你想要欺骗的网关或其他重要网络设备的 IP 地址。：这个选项用于连续发送 ARP 响应包，而不是只发送一次。：指定要欺骗的目标主机的 IP 地址。ARP 欺骗包将被发送到这个 IP 地址对应的设备。它是作为要发送 ARP 欺骗包的目标 IP 地址而存在的，并且应该与。：指定要使用的网络接口。你需要选择一个与网络中的其他设备处于同一局域网段的接口。：这个选项用于控制 ARP 响应中发送的源 MAC 地址。然而，在你提供的用法说明中，
2024-10-08 19:21:14
280
原创 电子取证初试
1.打开vc检材容器，选择文件，选择一个磁盘，然后输入容器的密码（2b26ba7ed35d622d8ec19ad0322abc52160ddbfa），
2024-09-27 21:03:17
316
原创 24秋开学考
3.有两个页面一个labs1一个labs2 ，当在第一个页面上传1.jpg，在第二个页面上传1.jpg时，给了我们一个目录,在测试其他时没有什么，应该是只允许上传图片格式。在强制转换为字符串后不相等，但它们的MD5加密值却相等 ,则这个式子为flase,属于强类型绕过。s=1,出现具体的版本，5.0.23。2.传了一个phpinfo.gif，说什么在目录里。上传一个.php的格式，上面说是非法的文件格式。1.弱比较，数组绕过。
2024-09-07 18:16:15
361
原创 CTFSHOWRCE（web入门）
1.打开环境，上面给了一句php的话，意思是get传参url有文件包含漏洞2.get传参运用伪协议，post传参命令执行看目录。3.上面有一个文件ctf_go_go_go,访问这个文件就有flag。
2024-09-04 20:39:01
725
原创 ssti初步
一个用python编写的轻量级web应用框架。Flask基于Werkzeug WSGI工具包和Jinja2模板引擎特点：良好的文档、丰富的插件、包含开发服务器和调试器、集成支持单元测试、RESTful请求调度、支持安全cookies、基于Unicode，python可以用flask直接启动一个web服务页面。主要作用是：生成请求的响应，包括处理业务逻辑和返回响应内容（把业务逻辑和表现内容放在一起，会增加代码的复杂度和维护成本），因此我们使用flask模版。
2024-08-26 21:42:39
823
原创 php反序列化入门
序列化是将对象或数组转化为方便存储、传输的字符串，php使用serialize()函数将对象序列化；序列化只作用于对象的成员属性，不序列化成员方法。
2024-06-01 15:16:28
1250
原创 md5强弱碰撞
php中的"=="和"===="在进行比较时，数字和字符串比较或者涉及到数字内容的字符串，则字符串会被转换为数值并且比较按照数值来进行。按照此理，我们可以上传md5编码后是0e的字符串，在比较时php语言会将0e开头的数据认为是科学记数法，而后面的数据会被当做0。
2024-05-28 22:07:11
1647
原创 流量分析入门
通过捕捉网络中流动的数据包，查看里面的数据和协议，流量分析和各种数据的统计来发现网络运行中的问题，在ctf中一般是一个包含流量数据的 PCAP 文件。
2024-05-27 20:47:37
726
原创 nssctf——web
1.打开环境后，这里说要900多天会有flag，这是不可能的2.f12查看源码，然后在html中查找flag （在最上方的栏目中，或者按ctrl+f）
2024-05-16 22:47:19
992
原创 ssrf初步
全称：Server-Side Request Forgery（中文：服务器端请求伪造）攻击者从服务端发起请求，让服务器连接任意外部系统，从而泄露敏感数据。主要利用各种协议的请求伪造，例如php协议，gopher协议（ssrf中最强的）
2024-05-08 21:58:54
717
原创 密码口令初步
2.先clear ，再把password等号后面添加进来（add），然后载入load中的弱口令板块，然后开始攻击，完成以后排序，lenth（长度）不一样那个就是，response下的raw就可以查看网页的代码，里面就有。1.打开环境，去里面网上找默认口令并匹配，最后发现是id：eyougw；password： admin@(eyou),输入验证码，就可以得到flag。1.打开环境，发送到bp的instruder板块，一般id默认为admin，也可以用bp找出来，这里就是。一，弱口令（ctfhub）
2024-05-08 17:04:47
1359
1
原创 信息泄露.
目录遍历：没有过滤目录相关的跳转符号（例如：../），我们可以利用这个目录找到服务器中的每一个文件，也就是遍历。tipe：依次点击文件就可以找到flag。
2024-05-03 22:46:14
928
1
原创 upload-labs后续（14-）
在图片中加入木马，然后上传让浏览器解析，达到上传木马的目的制作图片马：可以在notepad++或者winhex中打开文件，在文件头中加入图片的文件头，再在文件末尾加入木马即可。图片文件头如下：1.Png图片文件包括8字节：89 50 4E 47 0D 0A 1A 0A。即为 .PNG。2.Jpg图片文件包括2字节：FF D8。3.Gif图片文件包括6字节：47 49 46 38 39|37 61。即为 GIF89(7)a。4.Bmp图片文件包括2字节：42 4D。即为 BM。
2024-04-28 21:13:48
899
原创 upload-labs通关
在这里面我们使用一句话木马时使用php里的一个函数phpinfo（），该函数能显示出网页具体的php版本和有关的信息。
2024-04-25 21:07:42
1242
1
原创 xss和sql注入的异同点
2.sql：sql语句的拼接，需要用到一些数据库，列，段名等，都不是固定的，只不过有的出现的次数比较多，eg：information_schema信息架构是我们常见的，但它是mysql5.0以上版本才有的，不是全都有。1.xss：攻击者通过某些方法，将恶意脚本或命令嵌入（用夹带一词也行）到用户访问的页面中，当正常用户访问页面时，触发嵌入的恶意脚本/命令，从而达到获取cookie和种马等目的。，站在数据库的角度没有语法错误的语句都是正常语句，所以都会执行，然后就可获取本无法获取的数据。
2024-04-19 16:51:44
420
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人