<?xml version="1.0" encoding="utf-8" ?><rss version="2.0"><channel><title><![CDATA[2403_88102829的博客]]></title><description><![CDATA[]]></description><link>https://blog.youkuaiyun.com/2403_88102829</link><language>zh-cn</language><generator>https://blog.youkuaiyun.com/</generator><copyright><![CDATA[Copyright &copy; 2403_88102829]]></copyright><item><title><![CDATA[web从浅到深——php强弱比较/字典泄露与越权]]></title><link>https://blog.youkuaiyun.com/2403_88102829/article/details/166485436</link><guid>https://blog.youkuaiyun.com/2403_88102829/article/details/166485436</guid><author>2403_88102829</author><pubDate>Wed, 23 Sep 2026 15:51:14 +0800</pubDate><description><![CDATA[本文分析了三个PHP安全漏洞：1）通过备份文件index.php.bak获取源码，利用$_GET[ver]与PHP_VERSION弱比较绕过验证；2）字典泄露导致弱口令攻击，结合前端限制绕过与客户端越权参数（如userlevel），实现权限提升；3）利用MD5魔术哈希（如QNKCDZO）触发松散比较漏洞，使md5('QNKCDZO') == md5('240610708')成立。关键点在于：代码审计需关注参数来源、类型及分支逻辑；修复应避免敏感文件暴露、使用严格比较（如hash_equals）和服务器端校验]]></description><category></category></item><item><title><![CDATA[web从浅到深——抓包/cookie伪造/js分析]]></title><link>https://blog.youkuaiyun.com/2403_88102829/article/details/166471465</link><guid>https://blog.youkuaiyun.com/2403_88102829/article/details/166471465</guid><author>2403_88102829</author><pubDate>Wed, 23 Sep 2026 12:06:55 +0800</pubDate><description><![CDATA[本文分析三道安全题目：1）通过修改Cookie和X-Forwarded-For绕过本地访问限制与身份校验；2）伪造无密钥的Base64+MD5结构的访客Cookie实现中奖；3）解包混淆JS代码，还原用户名密码并利用路径遍历获取flag。核心启示：客户端可控字段不可信，身份验证应依赖服务端存储或带密钥签名；前端逻辑不可靠，需结合完整请求与响应分析漏洞本质。]]></description><category></category></item><item><title><![CDATA[科来流量分析/结合MCP自动化]]></title><link>https://blog.youkuaiyun.com/2403_88102829/article/details/164360137</link><guid>https://blog.youkuaiyun.com/2403_88102829/article/details/164360137</guid><author>2403_88102829</author><pubDate>Fri, 04 Sep 2026 10:03:14 +0800</pubDate><description><![CDATA[通过两份 Weevely 抓包，可以还原攻击者与 WebShell 之间的通信过程。案例一中，攻击者已经开始使用wShell.php，并执行了echowhoamils和pwd等命令。案例二中，不仅捕获到了的上传过程，还还原出了获取主机名、用户名、当前目录以及尝试查询网络配置等操作。在此基础上，将科来的cmdl.exe封装成 MCP Server，使 Codex 可以直接查询本地抓包；再配合目录监控程序，实现新抓包保存后自动生成 HTML 报告。]]></description><category></category></item><item><title><![CDATA[HTTP Method Enumeration（HTTP 方法枚举/PUT攻击）]]></title><link>https://blog.youkuaiyun.com/2403_88102829/article/details/163472901</link><guid>https://blog.youkuaiyun.com/2403_88102829/article/details/163472901</guid><author>2403_88102829</author><pubDate>Tue, 04 Aug 2026 14:44:27 +0800</pubDate><description><![CDATA[通过发送OPTIONS请求来探测服务器支持的 HTTP 方法。这道题直接高亮显示了当前的php源码，无论我们怎么请求，都会被拦截并且返回这段源码标签提示HTTP协议，中间件攻击，所以先检查HTTP方法的配置问题。]]></description><category></category></item><item><title><![CDATA[无字符WebShell-php代码审计]]></title><link>https://blog.youkuaiyun.com/2403_88102829/article/details/163079661</link><guid>https://blog.youkuaiyun.com/2403_88102829/article/details/163079661</guid><author>2403_88102829</author><pubDate>Sat, 01 Aug 2026 10:22:47 +0800</pubDate><description><![CDATA[eg：[HUBUCTF 2022 新生赛]HowToGetShell，匹配条件过滤了所有的字母。注：eval非函数不能动态调用，system、exec、shell_exec 都可。异或能用两个非字母字符生成一个字母，源码里全是符号，绕过检测。Payload 3：读取 flag 文件（成功拿到 flag）assert 和 _GET 都有字母，不能直接写。mess 里不能有字母，所以真正的代码不能放里面。我们的变量名通常设置为$_，$__，$___eg：不能直接用字母表达变量。考点二：可变变量$$]]></description><category></category></item><item><title><![CDATA[ctfweb:php/php短标签/.haccess+图片马/XXE]]></title><link>https://blog.youkuaiyun.com/2403_88102829/article/details/160893914</link><guid>https://blog.youkuaiyun.com/2403_88102829/article/details/160893914</guid><author>2403_88102829</author><pubDate>Sun, 10 May 2026 12:04:25 +0800</pubDate><description><![CDATA[先来看一下这段代码具体的作用首先，stream_wrapper_unregister函数移除了php://输入输出流，也就是我们没法用pgp://filter只r不x了然后是一个高光设计，之后代码用随机函数得到了一个随机十六个字符的文件名，在users下随机创建文件夹，再cd过去，，用于为每个访问者创建独立的临时文件夹，然后将服务器环境信息保存到该目录下的profile文件中，用于记录访问日志，最后，递归删除创建的文件夹直接测试参数?page=flag。]]></description><category></category></item><item><title><![CDATA[ctfweb:flask+ssti]]></title><link>https://blog.youkuaiyun.com/2403_88102829/article/details/160869205</link><guid>https://blog.youkuaiyun.com/2403_88102829/article/details/160869205</guid><author>2403_88102829</author><pubDate>Fri, 08 May 2026 09:16:06 +0800</pubDate><description><![CDATA[给了一个输入内容重复回显的页面，先用wappalyzer进行技术栈识别一个基于python的flask，先看有没有ssti漏洞，没有的话尝试session伪造尝试{{7*7}}，没有有效回显尝试{%%}，回显成功，存在ssti漏洞，而且{{}}可能被过滤掉了找可以访问的全局对象——回显包括这个flask的所有全局变量，函数，导入模块，内置函数，看全局对象的原因是为了看__builtins__与os模块是否存在，他们如果都存在的话，证明我们可以用一些命令来探测信息存在包含的字典对象以及os。]]></description><category></category></item><item><title><![CDATA[ctfweb：基于sqlite注入/next.js页面进入]]></title><link>https://blog.youkuaiyun.com/2403_88102829/article/details/160834600</link><guid>https://blog.youkuaiyun.com/2403_88102829/article/details/160834600</guid><author>2403_88102829</author><pubDate>Thu, 07 May 2026 16:25:15 +0800</pubDate><description><![CDATA[1：基于sqlite的sql注入2：next.js。]]></description><category></category></item><item><title><![CDATA[SWPUCTF 2025 秋季新生赛wp2]]></title><link>https://blog.youkuaiyun.com/2403_88102829/article/details/160759393</link><guid>https://blog.youkuaiyun.com/2403_88102829/article/details/160759393</guid><author>2403_88102829</author><pubDate>Tue, 05 May 2026 23:06:50 +0800</pubDate><description><![CDATA[猜测是一个读取数据库文件的功能读一下，得到，说明存在LFI有/bin/bash，确定是linux系统，读一下nginx配置文件，得到网站根目录是/var/www/html，入口文件时index.php然后用 php://filter 读取 index.php 源码，php://filter是php的输入输出流，可以读取文件内容而不执行。配合会把文件转成 base64 编码返回，避免被 PHP 解析。解码后就能看到完整源码去解码。]]></description><category></category></item><item><title><![CDATA[​​​​SWPUCTF 2025 秋季新生赛wp-1]]></title><link>https://blog.youkuaiyun.com/2403_88102829/article/details/160740084</link><guid>https://blog.youkuaiyun.com/2403_88102829/article/details/160740084</guid><author>2403_88102829</author><pubDate>Sun, 03 May 2026 21:18:52 +0800</pubDate><description><![CDATA[1：服务器请求头的hppsessid值2：pwn-nc3：upx程序加壳+手动脱壳。]]></description><category></category></item><item><title><![CDATA[winXP栈溢出漏洞深度学习]]></title><link>https://blog.youkuaiyun.com/2403_88102829/article/details/160621600</link><guid>https://blog.youkuaiyun.com/2403_88102829/article/details/160621600</guid><author>2403_88102829</author><pubDate>Thu, 30 Apr 2026 14:16:44 +0800</pubDate><description><![CDATA[（因为返回地址再flag和EBP后面，要覆盖返回地址，必须先把前52个字节填满，90=NOP（空操作），CPU执行到这里什么都不做，继续往下）输入44个‘1’，填充44个字节没因为fscanf会自动在末尾加上\0，这个\0会覆盖flag的最低位，把flag从1变成0，表示验证通过了。在压到3，2参数部分的时候，要对字符串进行处理，要先把字符串写入栈内存，再把字符串的地址作为参数进行传递。调用它就能显示一个窗口。因为栈的生长方向是从高地址到低地址的，也就是先声明的变量在高地址，后声明的变量在低地址。]]></description><category></category></item><item><title><![CDATA[dc9打靶报告]]></title><link>https://blog.youkuaiyun.com/2403_88102829/article/details/157686845</link><guid>https://blog.youkuaiyun.com/2403_88102829/article/details/157686845</guid><author>2403_88102829</author><pubDate>Tue, 03 Feb 2026 17:00:08 +0800</pubDate><description><![CDATA[我们来分析一下脚本内容，大致是把第一个打开的文件给加到第二个后面，因为这个脚本是以root运行的，所以我们可以利用它来修改系统文件——/etc/passwd。存在文件包含漏洞，通过参数file可以读取任意文件，刚开始nmap的时候，可以知道负责ssh的22端口没开，我们现在要通过端口敲门把他打开。逐个进去看，都没有什么有用信息，到了janitor之后多了一个有secrets的目录，进去看看。有用户和密码，再往里爆一层，我们只导出用户名和密码。爆出来三个字符段——密码，id，名字。]]></description><category></category></item><item><title><![CDATA[dc8靶机报告]]></title><link>https://blog.youkuaiyun.com/2403_88102829/article/details/157612010</link><guid>https://blog.youkuaiyun.com/2403_88102829/article/details/157612010</guid><author>2403_88102829</author><pubDate>Mon, 02 Feb 2026 16:37:09 +0800</pubDate><description><![CDATA[环境：攻击机kali ip：192.168.145.128先arp-scan -l 扫描存活主机，得到靶机ip：192.168.145.190扫端口，发现开放了80——http协议，apache服务，drupal7的cms还有一个22端口的远程连接看一眼网页发现url里面有?nid=1/2/3参数可控制，测试是否存在sql注入点，试一下?nid=1'，有回显sql报错用sqlmap跑（可以尝试droopescan扫用户）枚举所有的数据库。]]></description><category></category></item><item><title><![CDATA[dc7打靶报告]]></title><link>https://blog.youkuaiyun.com/2403_88102829/article/details/157507034</link><guid>https://blog.youkuaiyun.com/2403_88102829/article/details/157507034</guid><author>2403_88102829</author><pubDate>Fri, 30 Jan 2026 10:26:37 +0800</pubDate><description><![CDATA[开放端口：22(SSH)、80(HTTP)——cms是drupal 8，服务器是Apache。左下角有一个add content ，我们试试能不能写个马进去，发现文本格式没有php的。cat一下mbox发现几个root发的邮件，有一个定时任务。再回去artical编辑那里，发现文本形式可以选择php了。因为之前开放了22端口，直接用这组密码远程连接试试。执行该脚本时，就能获得一个root shell。ls发现有一个mbox，一个backups。看看存储库里的每个文件，方向对了。Drupal网站备份数据库。]]></description><category></category></item><item><title><![CDATA[dc6打靶报告]]></title><link>https://blog.youkuaiyun.com/2403_88102829/article/details/157427756</link><guid>https://blog.youkuaiyun.com/2403_88102829/article/details/157427756</guid><author>2403_88102829</author><pubDate>Wed, 28 Jan 2026 15:01:09 +0800</pubDate><description><![CDATA[Activity Monitor插件存在命令注入，searchsploit扫一下看有没有执行脚本。发现开放端口：22（SSH）、80（HTTP），并提示域名。然后创建一个user列表文件，把刚刚我们扫到的用户名存进去。修改脚本中几个地方——靶机地址，攻击ip，攻击机开放端口。浏览器打开45274.html并提交，获得反向Shell。环境：kali ip：192.168.145.128。——从graham提权至root。→ 获得jens Shell。→ 获得root Shell。发现jens可执行nmap。]]></description><category></category></item><item><title><![CDATA[dc5靶机报告]]></title><link>https://blog.youkuaiyun.com/2403_88102829/article/details/157176530</link><guid>https://blog.youkuaiyun.com/2403_88102829/article/details/157176530</guid><author>2403_88102829</author><pubDate>Sun, 25 Jan 2026 12:10:22 +0800</pubDate><description><![CDATA[后面包含了firstname,lastname,cuntry等参数，我们试一下写入可。在靶机的shell里下载exp脚本，给执行权限，./dc5.sh执行提权。再刷新一遍，bp抓包，看到我们刚才测试的文件路径，把这个改成一句话木马。分析回显，我们可以看到操作系统是linux3-4的，开了三个端口。80：http协议，nigux1.6.2的服务。复制到kali终端的tmp文件下，保存整个脚本。我们尝试访问一下，可以发现木马被成功写入。提权成功，在root下找到flag文件。参数，看是否存在文件包含。]]></description><category></category></item><item><title><![CDATA[dc4打靶报告]]></title><link>https://blog.youkuaiyun.com/2403_88102829/article/details/157027804</link><guid>https://blog.youkuaiyun.com/2403_88102829/article/details/157027804</guid><author>2403_88102829</author><pubDate>Sat, 17 Jan 2026 18:14:43 +0800</pubDate><description><![CDATA[command进去，发现不同的选项run了之后，select后面会对应一些命令行，所以可以推测run了之后终端会执行对应的命令行。几个名字下都是空，jim用户里有东西，继续进到backups里面还有一个old-passwords.bak文件。这里，说明用户 charles 可以无需密码，以 root 权限执行 /usr/bin/teehee 命令。注意：前面观察ls的时候，数据包里面传输的命令行把空格都换成了加号+所以run的时候抓包看一下，找到了命令行的地方。所以我们的bash命令是这样的。]]></description><category></category></item><item><title><![CDATA[打靶工具流程复盘记录（更新中...）]]></title><link>https://blog.youkuaiyun.com/2403_88102829/article/details/156980695</link><guid>https://blog.youkuaiyun.com/2403_88102829/article/details/156980695</guid><author>2403_88102829</author><pubDate>Thu, 15 Jan 2026 16:21:02 +0800</pubDate><description><![CDATA[内网：2. nmap -sS -Pn -T2 发现的IP3. 如果有80/443：whatweb IP4. 根据whatweb结果选专用工具外网：1. amass enum -passive -d 域名2. 对发现的子域名：nmap -sS -Pn -T2 子域名IP3. 对Web服务：whatweb + 专用扫描器开始信息收集↓内网？→ arp-scan找IP外网？→ amass找域名↓nmap -sS -Pn -T2 扫端口↓有80/443？]]></description><category></category></item><item><title><![CDATA[dc3靶机报告]]></title><link>https://blog.youkuaiyun.com/2403_88102829/article/details/156761678</link><guid>https://blog.youkuaiyun.com/2403_88102829/article/details/156761678</guid><author>2403_88102829</author><pubDate>Wed, 14 Jan 2026 11:51:50 +0800</pubDate><description><![CDATA[只开了一个80端口，服务是http，服务是Apache/2.4.18 (Ubuntu)，操作系统是Linux 3.2 - 4.9，进入第一个，这个Beezes3 detail and files，它是joomla的模板编辑入口，可以查看，编辑模板，上传文件。注意，这里用的是https网址，所以我们需要加上一个无需检查证书直接下载的参数——--no-check-certificate。第四个：http://192.168.145.182/images/banners/]]></description><category></category></item><item><title><![CDATA[tomato渗透报告]]></title><link>https://blog.youkuaiyun.com/2403_88102829/article/details/156229134</link><guid>https://blog.youkuaiyun.com/2403_88102829/article/details/156229134</guid><author>2403_88102829</author><pubDate>Fri, 02 Jan 2026 10:29:53 +0800</pubDate><description><![CDATA[一：环境：攻击机：kali：192.168.145.128靶机：tomato：192.168.145.182工具：二：渗透过程arp-scan -l扫一下，发现疑似靶机 ip 192.168.145.182简单扫一下，观察开放端口，确定该ip是攻击目标注意：这个命令后面对应的SERVE只是对应nmap内部的服务映射表，并不一定是攻击目标的端口服务所以我们再侵略性扫一下看回显，分析一下得到的信息：目标为Linux，内核版本号是3.2-4.9。]]></description><category></category></item></channel></rss>