- 博客(96)
- 收藏
- 关注
RSS订阅原创 web从浅到深——php强弱比较/字典泄露与越权
本文分析了三个PHP安全漏洞：1）通过备份文件index.php.bak获取源码，利用$_GET[ver]与PHP_VERSION弱比较绕过验证；2）字典泄露导致弱口令攻击，结合前端限制绕过与客户端越权参数（如userlevel），实现权限提升；3）利用MD5魔术哈希（如QNKCDZO）触发松散比较漏洞，使md5('QNKCDZO') == md5('240610708')成立。关键点在于：代码审计需关注参数来源、类型及分支逻辑；修复应避免敏感文件暴露、使用严格比较（如hash_equals）和服务器端校验
2026-09-23 15:51:14
337
原创 web从浅到深——抓包/cookie伪造/js分析
本文分析三道安全题目：1）通过修改Cookie和X-Forwarded-For绕过本地访问限制与身份校验；2）伪造无密钥的Base64+MD5结构的访客Cookie实现中奖；3）解包混淆JS代码，还原用户名密码并利用路径遍历获取flag。核心启示：客户端可控字段不可信，身份验证应依赖服务端存储或带密钥签名；前端逻辑不可靠，需结合完整请求与响应分析漏洞本质。
2026-09-23 12:06:55
351
原创 科来流量分析/结合MCP自动化
通过两份 Weevely 抓包，可以还原攻击者与 WebShell 之间的通信过程。案例一中，攻击者已经开始使用wShell.php，并执行了echowhoamils和pwd等命令。案例二中，不仅捕获到了的上传过程，还还原出了获取主机名、用户名、当前目录以及尝试查询网络配置等操作。在此基础上，将科来的cmdl.exe封装成 MCP Server，使 Codex 可以直接查询本地抓包；再配合目录监控程序，实现新抓包保存后自动生成 HTML 报告。
2026-09-04 10:03:14
296
原创 HTTP Method Enumeration（HTTP 方法枚举/PUT攻击）
通过发送OPTIONS请求来探测服务器支持的 HTTP 方法。这道题直接高亮显示了当前的php源码，无论我们怎么请求，都会被拦截并且返回这段源码标签提示HTTP协议，中间件攻击，所以先检查HTTP方法的配置问题。
2026-08-04 14:44:27
291
1
原创 无字符WebShell-php代码审计
eg：[HUBUCTF 2022 新生赛]HowToGetShell，匹配条件过滤了所有的字母。注：eval非函数不能动态调用，system、exec、shell_exec 都可。异或能用两个非字母字符生成一个字母，源码里全是符号，绕过检测。Payload 3：读取 flag 文件（成功拿到 flag）assert 和 _GET 都有字母，不能直接写。mess 里不能有字母，所以真正的代码不能放里面。我们的变量名通常设置为$_，$__，$___eg：不能直接用字母表达变量。考点二：可变变量$$
2026-08-01 10:22:47
168
1
原创 ctfweb:php/php短标签/.haccess+图片马/XXE
先来看一下这段代码具体的作用首先，stream_wrapper_unregister函数移除了php://输入输出流，也就是我们没法用pgp://filter只r不x了然后是一个高光设计，之后代码用随机函数得到了一个随机十六个字符的文件名，在users下随机创建文件夹，再cd过去，，用于为每个访问者创建独立的临时文件夹，然后将服务器环境信息保存到该目录下的profile文件中，用于记录访问日志，最后，递归删除创建的文件夹直接测试参数?page=flag。
2026-05-10 12:04:25
401
原创 ctfweb:flask+ssti
给了一个输入内容重复回显的页面，先用wappalyzer进行技术栈识别一个基于python的flask，先看有没有ssti漏洞，没有的话尝试session伪造尝试{{7*7}}，没有有效回显尝试{%%}，回显成功，存在ssti漏洞，而且{{}}可能被过滤掉了找可以访问的全局对象——回显包括这个flask的所有全局变量，函数，导入模块，内置函数，看全局对象的原因是为了看__builtins__与os模块是否存在，他们如果都存在的话，证明我们可以用一些命令来探测信息存在包含的字典对象以及os。
2026-05-08 09:16:06
366
原创 SWPUCTF 2025 秋季新生赛wp2
猜测是一个读取数据库文件的功能读一下，得到，说明存在LFI有/bin/bash，确定是linux系统，读一下nginx配置文件，得到网站根目录是/var/www/html，入口文件时index.php然后用 php://filter 读取 index.php 源码，php://filter是php的输入输出流，可以读取文件内容而不执行。配合会把文件转成 base64 编码返回，避免被 PHP 解析。解码后就能看到完整源码去解码。
2026-05-05 23:06:50
454
原创 winXP栈溢出漏洞深度学习
（因为返回地址再flag和EBP后面，要覆盖返回地址，必须先把前52个字节填满，90=NOP（空操作），CPU执行到这里什么都不做，继续往下）输入44个‘1’，填充44个字节没因为fscanf会自动在末尾加上\0，这个\0会覆盖flag的最低位，把flag从1变成0，表示验证通过了。在压到3，2参数部分的时候，要对字符串进行处理，要先把字符串写入栈内存，再把字符串的地址作为参数进行传递。调用它就能显示一个窗口。因为栈的生长方向是从高地址到低地址的，也就是先声明的变量在高地址，后声明的变量在低地址。
2026-04-30 14:16:44
465
原创 dc9打靶报告
我们来分析一下脚本内容，大致是把第一个打开的文件给加到第二个后面，因为这个脚本是以root运行的，所以我们可以利用它来修改系统文件——/etc/passwd。存在文件包含漏洞，通过参数file可以读取任意文件，刚开始nmap的时候，可以知道负责ssh的22端口没开，我们现在要通过端口敲门把他打开。逐个进去看，都没有什么有用信息，到了janitor之后多了一个有secrets的目录，进去看看。有用户和密码，再往里爆一层，我们只导出用户名和密码。爆出来三个字符段——密码，id，名字。
2026-02-03 17:00:08
640
原创 dc8靶机报告
环境：攻击机kali ip：192.168.145.128先arp-scan -l 扫描存活主机，得到靶机ip：192.168.145.190扫端口，发现开放了80——http协议，apache服务，drupal7的cms还有一个22端口的远程连接看一眼网页发现url里面有?nid=1/2/3参数可控制，测试是否存在sql注入点，试一下?nid=1'，有回显sql报错用sqlmap跑（可以尝试droopescan扫用户）枚举所有的数据库。
2026-02-02 16:37:09
376
原创 dc7打靶报告
开放端口：22(SSH)、80(HTTP)——cms是drupal 8，服务器是Apache。左下角有一个add content ，我们试试能不能写个马进去，发现文本格式没有php的。cat一下mbox发现几个root发的邮件，有一个定时任务。再回去artical编辑那里，发现文本形式可以选择php了。因为之前开放了22端口，直接用这组密码远程连接试试。执行该脚本时，就能获得一个root shell。ls发现有一个mbox，一个backups。看看存储库里的每个文件，方向对了。Drupal网站备份数据库。
2026-01-30 10:26:37
439
原创 dc6打靶报告
Activity Monitor插件存在命令注入，searchsploit扫一下看有没有执行脚本。发现开放端口：22（SSH）、80（HTTP），并提示域名。然后创建一个user列表文件，把刚刚我们扫到的用户名存进去。修改脚本中几个地方——靶机地址，攻击ip，攻击机开放端口。浏览器打开45274.html并提交，获得反向Shell。环境：kali ip：192.168.145.128。——从graham提权至root。→ 获得jens Shell。→ 获得root Shell。发现jens可执行nmap。
2026-01-28 15:01:09
259
原创 dc5靶机报告
后面包含了firstname,lastname,cuntry等参数，我们试一下写入可。在靶机的shell里下载exp脚本，给执行权限，./dc5.sh执行提权。再刷新一遍，bp抓包，看到我们刚才测试的文件路径，把这个改成一句话木马。分析回显，我们可以看到操作系统是linux3-4的，开了三个端口。80：http协议，nigux1.6.2的服务。复制到kali终端的tmp文件下，保存整个脚本。我们尝试访问一下，可以发现木马被成功写入。提权成功，在root下找到flag文件。参数，看是否存在文件包含。
2026-01-25 12:10:22
453
原创 dc4打靶报告
command进去，发现不同的选项run了之后，select后面会对应一些命令行，所以可以推测run了之后终端会执行对应的命令行。几个名字下都是空，jim用户里有东西，继续进到backups里面还有一个old-passwords.bak文件。这里，说明用户 charles 可以无需密码，以 root 权限执行 /usr/bin/teehee 命令。注意：前面观察ls的时候，数据包里面传输的命令行把空格都换成了加号+所以run的时候抓包看一下，找到了命令行的地方。所以我们的bash命令是这样的。
2026-01-17 18:14:43
269
原创 打靶工具流程复盘记录（更新中...）
内网：2. nmap -sS -Pn -T2 发现的IP3. 如果有80/443：whatweb IP4. 根据whatweb结果选专用工具外网：1. amass enum -passive -d 域名2. 对发现的子域名：nmap -sS -Pn -T2 子域名IP3. 对Web服务：whatweb + 专用扫描器开始信息收集↓内网？→ arp-scan找IP外网？→ amass找域名↓nmap -sS -Pn -T2 扫端口↓有80/443？
2026-01-15 16:21:02
1045
1
原创 dc3靶机报告
只开了一个80端口，服务是http，服务是Apache/2.4.18 (Ubuntu)，操作系统是Linux 3.2 - 4.9，进入第一个，这个Beezes3 detail and files，它是joomla的模板编辑入口，可以查看，编辑模板，上传文件。注意，这里用的是https网址，所以我们需要加上一个无需检查证书直接下载的参数——--no-check-certificate。第四个：http://192.168.145.182/images/banners/
2026-01-14 11:51:50
537
原创 tomato渗透报告
一：环境：攻击机：kali：192.168.145.128靶机：tomato：192.168.145.182工具：二：渗透过程arp-scan -l扫一下，发现疑似靶机 ip 192.168.145.182简单扫一下，观察开放端口，确定该ip是攻击目标注意：这个命令后面对应的SERVE只是对应nmap内部的服务映射表，并不一定是攻击目标的端口服务所以我们再侵略性扫一下看回显，分析一下得到的信息：目标为Linux，内核版本号是3.2-4.9。
2026-01-02 10:29:53
564
原创 常用web打点漏洞梳理(持续学习中..)
我理解的CSRF———Cross-site request forgery（跨站请求伪造），攻击者通过恶意链接等手段，诱导用户访问恶意页面，进而实现攻击目标。前者输出list.txt文件的所有内容，管道符抓住cat命令的全部输出，grep命令是过滤器，只筛选包含单词important的行，并显示出来。，让服务器以为这个修改密码的请求是来自它自己网站的合法请求，而不是来自攻击者构造的恶意页面。（1）：先用正常文件名，用bp拦截，修改成所需文件名再放包。元数据：描述数据的数据，比如照片的拍摄时间，相机型号。
2025-11-27 15:04:26
783
原创 dc系列——dc2
其中etc目录中包含了几乎所有系统服务和程序的配置文件，hosts是本地域名解析文件，当浏览器拿到一个域名，会优先去本地查找域名解析，观察其对应ipvim编辑器添加映射补充：（cat /etc/passwd可查看用户列表）
2025-11-27 12:17:25
1148
原创 Linux 软件包管理教程
Rocky Linux8 -YUM/DNF包管理列出所有启用的仓库列出所有仓库，包括禁用的配置仓库添加 EPEL 仓库启用或禁用仓库 dnf config-manager -- (disable/enable) repository-name软件包搜索和查询搜索软件包:查看软件包详细信息列出所有可安装的包:列出已安装的包:查找提供特定文件的包:查看包的依赖关系软件包安装安装单个软件包安装多个软件包从本地rpm文件安装重新安装软件包安装软件包组列出可用的组。
2025-11-24 15:20:11
827
原创 Rocky Linux 8 网络配置
重新删除后让NetworkManager自动检测，用命令: nmcli connection show 来检测是否创建成功。可以通过修改BOOTPROTO = (static/dhcp)来切换静态IP和使用dhcp动态ip地址。查看ip，发现变回了192.168.145.181。重启和启用网络接口：nmcli connection up/down ens33。重启：firewall-cmd --reload。先在主机上查看dns地址，子网掩码，网关等信息。ip addr show 或 ip a。
2025-11-17 23:55:37
1205
原创 dc系列靶机——dc1
IP扫描手段，smb协议，伪终端，哈希密码加盐，/etc/passwd文件与/etc/shadow文件，bin/bash，有suid的find提权
2025-11-02 17:21:51
587
原创 红日靶场web服务器渗透
随后写入一句话木马，由于该语句在运行时会报错，会被写入日志中，而日志又为php文件，所以我们通过AntSword来连接。・不能，攻击者可能采用端口欺骗（比如用 80，443 端口等），协议伪装（比如看起来像 DNS 域名查询或浏览网页）基本确定，用Nmap 半开扫描，侵略扫描（此时kali开了root权限，-A直接包含-sT，-sV，-O）发现永恒之蓝存在，为高风险等级，优先攻击它以拿到system权限，然后提取哈希凭证，再进行内网横向移动。先用arp-scan扫，更快，也可用 nmap -sn ....
2025-10-31 14:23:41
876
原创 从MSF载荷生成到Windows防火墙绕过
这里我们的攻击机是kali——192.168.145.128，目标机是win7——192.168.145.160。reverse_tcp则是靶机等待攻击者连接（但第一步是靶机主动发起连接，然后等待)所以：b_op.exe运行后，目标机（win7）的5555端口开启监听。bind_tcp是靶机主动连接攻击机的ip与端口，建立shell连接。进入任务管理器把刚才的b_op.exe和r_op.exe结束进程。ps：shell就像一个攻击机遥控受害机的遥控器。win7打开恶意文件之后回显成功。
2025-10-28 20:40:34
364
原创 web基础入门补充
特点：有SSL/TLS加密层，传输数据之前，客户端与服务器先进行安全握手，建立加。适用以下几个场景——网页浏览（HTTP），电子邮件（SMTP），文 件传输（FTP）：因为用的是 HTTPS，浏览器和服务器会进行 SSL/TLS 握手，建立加密通道。服务器遇到了一个未曾预料的情况，无法完成请求（通常是后端代码 bug）。作用：在ip协议的基础上，让数据传输变得有序，可靠，并纠正错误。作用：寻址和路由，定义了数据包从源头到目的地的传输路径。作为网关或代理的服务器，从上游服务器收到了无效响应。
2025-10-14 10:47:37
389
原创 REI——远程文件包含
在里面写入所需的php代码，然后ctrl-x→y→Enter保存，再用curl查看一下是否能成功访问。漏洞本质：攻击者通过包含恶意远程文件，在目标服务器上执行任意代码。ctrl-x→Y→Enter保存，我们再查看一下，保存成功可访问。首先在kali上启动web服务，并且准备一下我们的攻击文件。，使得win10中pphp安全配置允许远程文件包含。并且确保win10中php.in配置中的参数为。攻击效果：远程代码执行，提权，敏感数据。通了，下一步我们实施远程文件包含攻击。在kali的浏览器里面访问。
2025-10-14 08:13:47
215
原创 Apache2
一：概念通常称为Apache，是世界上最流行的开源web服务器软件，负责接收用户的http请求，并且返回对于内容也就是把我们的计算机变成一台能提供网页服务的服务器，linux和win都能运行二：基础操作三：验证Apache是否工作浏览器访问http://localhost，看是否出现Apache的默认页面，这里以kali为例如果启动失败可以检查端口占用（80端口可能被其他程序占用）
2025-10-13 11:03:17
374
原创 端口转发实操
在win10里面打开终端,用ipconfig，得到win10的ip地址,192.168.37.132。在kali里面通过植入木马生成exe文件，然后把我们的木马放在win2016里面。从kali开始ping，可以发现37的网段通，20的网段不通。有关kali连不上网的解决办法——手动启动网卡。我们尝试在win10打开phpstudy。得到ip 192.168.37.129。用win7去pingkali也是不通的。艰难第一步，附上乱八七糟的笔记。这里用win10替代win7。
2025-09-09 15:19:33
234
原创 永恒之蓝复现
kali里面用ifconfig扫描，查看网络配置和我们自己的ip地址，这里可以发现是192.168.184.131。我们打开metasploit框架，手动输入下面这几个配置，分别是攻击地址，payload，发起地址，避免重复攻击。正向tcp是靶机主动连接攻击机的ip与端口，连接建立之后，攻击者就获得了靶机的命令执行权限。命令中的-sS（SYN隐形扫描）是半开放扫描技术，只有系统最高权限(root)才能做到。反向tcp则是靶机等待攻击者连接（但第一步是靶机主动发起连接，然后等待）可以发现445端口是开放的。
2025-08-27 08:18:47
232
原创 pikachu——xxe
全程：XML外部实体注入（XML，External Entity）简称：XXE漏洞，是一种标记语言XML文档结构包括XML声明，DTD（文档类型定义），文档元其中DTD是XML文件的语法规则定义文件，DTD漏洞的核心：XXE这个DTD有，可以是内部声明也可以引用外部的文档攻击原理：通过篡改 DTD 引入外部实体，触发恶意操作，因为解析器会默认加载这些实体然后我们来看这一关：先随便输入一点内容，然后bp抓包可以看到是解析xml语言的提交方式。
2025-06-18 09:38:06
228
原创 pikachu——ssrf
局部范围内的私有网络，比如局域网就是一个小范围的内网，有私有IP，并且内网受防火墙的保护，外网无法直接访问全球范围的公共网络，公有ip字母和单词代替数字，依赖dns解析转换成ip才能访问个人理解，是一种服务器访问url的工具，就像输入url获取内容，但该功能对用户提交的url没有严格的过滤，导致攻击者可以让服务器访问本不该访问的内部资源ssrf（服务器端请求伪造）：ssrf的形成大多数是由服务端提供了从其他服务器应用获取数据的功能（比如curl），并且没有对目标地址做出限制。
2025-06-17 21:48:26
467
原创 pikachu——php反序列化
五个魔法函数：__construct()：创建对象时调用__destruct()：对象销毁时调用__toString()：当一个对象被当作一个字符时用__wakeup()：对象序列化之后调用__sleep()：对象序列化之前调用这一关是更基础的魔法函数在本关没有利用到，这里给一个魔法函数典型利用场景pikachu例题：先去找php后端代码，打开unser.php。
2025-06-13 09:13:35
608
1
原创 dvwa14——JavaScript
先按提示尝试输入success，提交失败那用bp抓包一下 ，抓到这些，发现有token验证，说明改对token才能过返回页面f12看一下源码，发现value后面的值像密码，于是试一下md5和rot13的解密试了好几组发现，先用md5解密，再用rot13解密，这一串变成了changeme所以我们逆向把success先用rot13加密，再用md5加密，构造token修改bp里的token，放包。
2025-06-05 21:02:39
591
1
原创 dvwa13——CSP Bypass
个人理解是类似于白名单的东西，通过http头部或者<meta>标签声明，来控制网页可以加载哪些外部资源ps:Meta标签是html文档里的一种标签，用于提供网页的也就是说，CSP禁止所有未被明确允许的内容，只执行符合条件的资源关键指令：script-src：script-src指定哪些来源的JavaScript可以被浏览器加载和执行。
2025-06-05 19:10:59
458
2
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人