<?xml version="1.0" encoding="utf-8" ?><rss version="2.0"><channel><title><![CDATA[SanKobe的博客]]></title><description><![CDATA[]]></description><link>https://blog.youkuaiyun.com/SanKobe</link><language>zh-cn</language><generator>https://blog.youkuaiyun.com/</generator><copyright><![CDATA[Copyright &copy; SanKobe]]></copyright><item><title><![CDATA[Fastapi学习笔记(1)]]></title><link>https://blog.youkuaiyun.com/SanKobe/article/details/162047044</link><guid>https://blog.youkuaiyun.com/SanKobe/article/details/162047044</guid><author>SanKobe</author><pubDate>Tue, 16 Jun 2026 22:55:02 +0800</pubDate><description><![CDATA[今天刚开始学习Fastapi，发现在进行类型注解的时候Pydantic Field和FastAPI Query混用也能跑。为什么？两者到底有什么区别？]]></description><category></category></item><item><title><![CDATA[CTFSHOW 愚人杯easy_ssti]]></title><link>https://blog.youkuaiyun.com/SanKobe/article/details/130868630</link><guid>https://blog.youkuaiyun.com/SanKobe/article/details/130868630</guid><author>SanKobe</author><pubDate>Thu, 25 May 2023 15:42:29 +0800</pubDate><description><![CDATA[另外这道题刚开始的源码那块对"f"和"ge"进行了处理，我不知道在其他思路里会不会卡住，我试了下可以在语句的最后直接加上"ge"绕过。在页面上查catch_warning的位置，再查class的位置就能大概查到是第几个类了。是flask的模板，分析一下源码应该就是在/hello目录下有SSTI注入的漏洞。用ls查了一下当前目录，app.py 里也没啥有用信息，和压缩包里是一样的。进入hello目录下并照常走一下判断流程，发现应该是jinja2的模板。猜测了一下，应该是将语句中的"/"当成目录了。]]></description><category></category></item><item><title><![CDATA[BUUCTF [CISCN2019 华东南赛区]Web4]]></title><link>https://blog.youkuaiyun.com/SanKobe/article/details/130853423</link><guid>https://blog.youkuaiyun.com/SanKobe/article/details/130853423</guid><author>SanKobe</author><pubDate>Wed, 24 May 2023 19:17:56 +0800</pubDate><description><![CDATA[注意这里有个坑，目标地址设备是用python2跑的，而我这里是python3,之前我一直用这个当SECRET_KEY,然后一直跑不出flag，百度了一下，python2和python3 random出来的位数是不一样的。最近打比赛遇到了flask_session伪造相关的题目，没学过，又碰巧随机挑了道BUUCTF的题目正好考的flask_session伪造，看完各位师傅的WP后，进行一次自我总结。百度了一下linux下设备网卡地址在/sys/class/net/eth0/address下。]]></description><category></category></item></channel></rss>