<?xml version="1.0" encoding="utf-8" ?><rss version="2.0"><channel><title><![CDATA[大方子]]></title><description><![CDATA[新疆师范大学在读研究生，在这记录自己的成长。]]></description><link>https://blog.youkuaiyun.com/nzjdsds</link><language>zh-cn</language><generator>https://blog.youkuaiyun.com/</generator><copyright><![CDATA[Copyright &copy; nzjdsds]]></copyright><item><title><![CDATA[【PolarCTF】PHP_Deserialization]]></title><link>https://blog.youkuaiyun.com/nzjdsds/article/details/168435211</link><guid>https://blog.youkuaiyun.com/nzjdsds/article/details/168435211</guid><author>nzjdsds</author><pubDate>Mon, 19 Oct 2026 13:56:12 +0800</pubDate><description><![CDATA[这样就可以触发class Day的__toString魔术方法，但是由于其中使用了str_replace进行过滤，我们可以将$filename="/flag"进行双写为/flaflagg来绕过str_replace的过滤。在class Night中使用echo 输出了$atguments[0]，这个操作可以触发__toString的魔术方法，那么我们可以将night_arg赋值为class Day的实例。]]></description><category></category></item><item><title><![CDATA[【PolarCTF】phar]]></title><link>https://blog.youkuaiyun.com/nzjdsds/article/details/168020465</link><guid>https://blog.youkuaiyun.com/nzjdsds/article/details/168020465</guid><author>nzjdsds</author><pubDate>Thu, 15 Oct 2026 14:27:55 +0800</pubDate><description><![CDATA[当我们调用$str_array['kfc']->vm50，但是$str_array['kfc']并没有vm50这个属性时。那么可以借助class A的echo "A->" . $this->a . "destruct!由于class C中并没有名为vm50的变量，那么这个vm50就会进入到__get方法。为了让var_dump($$f)输出flag，那么我们就需要让$f=flag。那么就可以把class B的实例化对象赋值给$this->a。那么魔术方法__get($kfc)的参数$kfc就是vm50。]]></description><category></category></item><item><title><![CDATA[【PolarCTF】safe_include]]></title><link>https://blog.youkuaiyun.com/nzjdsds/article/details/164304507</link><guid>https://blog.youkuaiyun.com/nzjdsds/article/details/164304507</guid><author>nzjdsds</author><pubDate>Wed, 02 Sep 2026 21:06:10 +0800</pubDate><description><![CDATA[的修改只是在内存中的，只有在整个请求之后及session_write_close 时，才会修改本地的缓存文件，但是我们include是在之前的，并且保持着会话，所以在我们使用蚁剑进行连接的时候里面还是第一轮的一句话木马代码。这里肯定会有一个疑问，下面这段代码虽然可以进行文件包含，但是后面又进行了一次赋值，不是会破坏session里面的xxs内容，导致一句话木马失效吗？这题考察的就是session文件包含，polarctf有一题就叫《session文件包含》那么第一轮我们可以通过xxs来打入一句话木马。]]></description><category></category></item><item><title><![CDATA[【PolarCTF】鎏金哇开呀库裂!]]></title><link>https://blog.youkuaiyun.com/nzjdsds/article/details/164301093</link><guid>https://blog.youkuaiyun.com/nzjdsds/article/details/164301093</guid><author>nzjdsds</author><pubDate>Wed, 02 Sep 2026 17:02:19 +0800</pubDate><description><![CDATA[使用file命令识别下，的确是png文件拖入随波逐流，发现png后面还有数据，而且是很明显的zip文件头使用foremost分离出来一个zip压缩包。]]></description><category></category></item><item><title><![CDATA[【PolarCTF】你想逃也逃不掉]]></title><link>https://blog.youkuaiyun.com/nzjdsds/article/details/164184785</link><guid>https://blog.youkuaiyun.com/nzjdsds/article/details/164184785</guid><author>nzjdsds</author><pubDate>Sun, 30 Aug 2026 10:00:18 +0800</pubDate><description><![CDATA[区别在于《Unserialize_Escape》的长度是会从小变大，而这题长度是从大变小。这题与《Unserialize_Escape》类似，考察的也是反序列化长度逃逸。]]></description><category></category></item><item><title><![CDATA[【PolarCTF】苦海]]></title><link>https://blog.youkuaiyun.com/nzjdsds/article/details/164030070</link><guid>https://blog.youkuaiyun.com/nzjdsds/article/details/164030070</guid><author>nzjdsds</author><pubDate>Mon, 24 Aug 2026 18:09:35 +0800</pubDate><description><![CDATA[把对象当作一个字符串来使用的时候，PHP 会自动调用 __toString()在读取一个对象不存在 / 不可访问的属性时自动触发。触发方式：把对象像函数一样加括号 () 调用。当对象当作函数直接调用时执行。]]></description><category></category></item><item><title><![CDATA[【PolarCTF】ezjava]]></title><link>https://blog.youkuaiyun.com/nzjdsds/article/details/163999671</link><guid>https://blog.youkuaiyun.com/nzjdsds/article/details/163999671</guid><author>nzjdsds</author><pubDate>Sun, 23 Aug 2026 17:10:21 +0800</pubDate><description><![CDATA[Main-Class: org.springframework.boot.loader.JarLauncher Start-Class: com.xxx.你的项目主启动类。BOOT-INF/classes：你写的代码编译后的class文件，yml/properties配置、静态资源、模板文件。META-INF：jar自带的元信息目录，最重要的文件是MANIFEST.MF清单文件。BOOT-INF：存放的是自己的项目代码和所有第三方依赖jar。我们进行测试下，发现可以成功执行我们输入的表达式。]]></description><category></category></item><item><title><![CDATA[【PolarCTF】生产环境下的lvm]]></title><link>https://blog.youkuaiyun.com/nzjdsds/article/details/163922696</link><guid>https://blog.youkuaiyun.com/nzjdsds/article/details/163922696</guid><author>nzjdsds</author><pubDate>Thu, 20 Aug 2026 17:03:18 +0800</pubDate><description><![CDATA[LVM：LVM 是 Linux 下的磁盘虚拟化管理机制。普通磁盘分区：分区大小创建时就定死，扩容缩容麻烦；LVM 在磁盘和文件系统中间增加一层抽象，把多块硬盘 / 分区合并成一个 “存储池”，再从池里灵活切分空间，可以动态扩容、缩容、做快照。然后开机我们输入下面命令，来查看当前虚拟机上的逻辑卷，可以看到我们刚刚挂载的虚拟磁盘。我们找个虚拟机，新增一个磁盘，然后选择【使用现有虚拟磁盘】将vmdk文件进行挂载。在日常中我们还要卸载同时将快照设置为inactive模式。首先我们激活这个磁盘快照。]]></description><category></category></item><item><title><![CDATA[【PolarCTF】Unserialize_Escape]]></title><link>https://blog.youkuaiyun.com/nzjdsds/article/details/163914996</link><guid>https://blog.youkuaiyun.com/nzjdsds/article/details/163914996</guid><author>nzjdsds</author><pubDate>Thu, 20 Aug 2026 12:28:00 +0800</pubDate><description><![CDATA[通过这题我们可以看到想要获取flag，必须要password为123456，但是我们没办法控制password的内容，因为是写死的。2、PHP反序列化是“信任长度前缀”的，遇到s:N时，就会读取N的长度，读完N个字符后就会期待下一个字符必须是 " 才算这个字符串结束。由于有一个filter函数会把x变成yy，那么我们把payload发送到服务端就会变成。3、这里password是写死的，不接收外部的数据传递，所以我们没办法直接控制。首先我们写让password为123456的payload。]]></description><category></category></item><item><title><![CDATA[【PolarCTF】upload tutu]]></title><link>https://blog.youkuaiyun.com/nzjdsds/article/details/163907617</link><guid>https://blog.youkuaiyun.com/nzjdsds/article/details/163907617</guid><author>nzjdsds</author><pubDate>Thu, 20 Aug 2026 09:51:47 +0800</pubDate><description><![CDATA[这里使用fastcoll来碰撞生成2个md5值一样的文件。当我上次两张不一样的图的时候会出现MD5不一致。当我上次两个一样的图的时候会出现如下提示。那么盲猜后端就是校验MD5值。上传后成功获取flag。]]></description><category></category></item><item><title><![CDATA[【HackMyVM】SuidyRevenge]]></title><link>https://blog.youkuaiyun.com/nzjdsds/article/details/163776721</link><guid>https://blog.youkuaiyun.com/nzjdsds/article/details/163776721</guid><author>nzjdsds</author><pubDate>Sat, 15 Aug 2026 12:11:21 +0800</pubDate><description><![CDATA[note.txt有权限限制，但是运行suidyyyyy直接变为suidyyyyy的权限，查看了note.txt的内容。那么我看下kali自带的webshell，可以看到也有一个simple-backdoor.php。检查sudo版本信息，发现版本是1.8.27，会存在CVE-2021-3156漏洞。查看SUID文件，发现有一个/home/suidy/suidyyyyy。看下执行了什么历史命令，发现su root命令，尝试切换也是不行的。说是有violent的私钥文件，但是不知道放在哪。]]></description><category></category></item><item><title><![CDATA[【Bugku】xxmmll]]></title><link>https://blog.youkuaiyun.com/nzjdsds/article/details/163641307</link><guid>https://blog.youkuaiyun.com/nzjdsds/article/details/163641307</guid><author>nzjdsds</author><pubDate>Mon, 10 Aug 2026 16:47:51 +0800</pubDate><description><![CDATA[直接扫到部署的docker-compose配置文件，拿到flag。在返回包中出现xxmmll.php。访问，很明显的XXE提示。输入下面内容读取flag。]]></description><category></category></item><item><title><![CDATA[【Bugku】坏掉的上传页]]></title><link>https://blog.youkuaiyun.com/nzjdsds/article/details/163640928</link><guid>https://blog.youkuaiyun.com/nzjdsds/article/details/163640928</guid><author>nzjdsds</author><pubDate>Mon, 10 Aug 2026 16:32:56 +0800</pubDate><description><![CDATA[访问发现是记录上传文件的记录，可以找到我们的文件上传在了哪。用tscan扫下目录，发现一个config.php。打开网页，点击浏览按钮是点不动的，估计被破坏了。打开发现是这个，有一个database.db。跳回到网站上，并且提示【文件上传成功】尝试上传一个webshell。然后打开尝试上传一个图片。直接getshell。]]></description><category></category></item><item><title><![CDATA[【PolarCTF】flask_pin]]></title><link>https://blog.youkuaiyun.com/nzjdsds/article/details/162900799</link><guid>https://blog.youkuaiyun.com/nzjdsds/article/details/162900799</guid><author>nzjdsds</author><pubDate>Wed, 15 Jul 2026 11:58:44 +0800</pubDate><description><![CDATA[Flask PIN是Flask调试控制台的访问密码。仅在debug=True下调式模式才能生效。当程序报错时，错误页面会出现交互式 Python shell 入口，必须输入 PIN 才能解锁。PIN码是9位数字，用-分割，例如 123-456-789PIN需要6个环境特征值拼接加盐MD5计算，6个环境特征值如下公开参数（报错页面可泄露）1、username：运行 Flask 进程的系统用户名（root/ubuntu/Administrator）2、modname：固定为 flask.app。]]></description><category></category></item><item><title><![CDATA[【HackMyVM】latestWasALie]]></title><link>https://blog.youkuaiyun.com/nzjdsds/article/details/162638213</link><guid>https://blog.youkuaiyun.com/nzjdsds/article/details/162638213</guid><author>nzjdsds</author><pubDate>Mon, 06 Jul 2026 16:44:56 +0800</pubDate><description><![CDATA[命令作用：使用backupusr的 ED25519 私钥通过 SSH 本地加密通道，以归档模式、详细日志输出，把当前目录全部.txt文件增量同步到本机 /home/backupusr/backup/ 目录下，完整保留文件所有属性。/etc/ld.so.preload是动态链接器全局配置文件，ld 会先读取这个文件，里面写了哪些 .so 库，就会优先加载这些库。可以看到root的那个/root/backup.sh备份的目标就是/opt/registry。]]></description><category></category></item><item><title><![CDATA[【好靶场】一个多租户的学生登录系统2]]></title><link>https://blog.youkuaiyun.com/nzjdsds/article/details/162547620</link><guid>https://blog.youkuaiyun.com/nzjdsds/article/details/162547620</guid><author>nzjdsds</author><pubDate>Fri, 03 Jul 2026 12:18:42 +0800</pubDate><description><![CDATA[可以看到这里school字段是加密的我们在主页上搜索encrypt字段，可以看到加密的接口，以及一个隐藏域存放加密后的学校值这里我们是美国大学，那么我们尝试越权访问好靶场大学，首先我们先获取好靶场大学加密后值这里我们直接通过其他api接口（就是点击好靶场大学这个按钮），直接获取加密后的值我们找到刚刚读取学信信息的数据包，将里面对应的美国学校值换成好靶场的值发送发现还是一样的信息接下来对type字段进行尝试，分别尝试了2、0还是一样。]]></description><category></category></item><item><title><![CDATA[【PolarCTF】你眼中的键盘侠]]></title><link>https://blog.youkuaiyun.com/nzjdsds/article/details/162386431</link><guid>https://blog.youkuaiyun.com/nzjdsds/article/details/162386431</guid><author>nzjdsds</author><pubDate>Sun, 28 Jun 2026 11:32:02 +0800</pubDate><description><![CDATA[将图片拖入到SilentEye中，提取到隐藏信息。]]></description><category></category></item><item><title><![CDATA[【PolarCTF】hide]]></title><link>https://blog.youkuaiyun.com/nzjdsds/article/details/162384736</link><guid>https://blog.youkuaiyun.com/nzjdsds/article/details/162384736</guid><author>nzjdsds</author><pubDate>Sun, 28 Jun 2026 10:48:41 +0800</pubDate><description><![CDATA[]]></description><category></category></item><item><title><![CDATA[【PolarCTF】out]]></title><link>https://blog.youkuaiyun.com/nzjdsds/article/details/162384528</link><guid>https://blog.youkuaiyun.com/nzjdsds/article/details/162384528</guid><author>nzjdsds</author><pubDate>Sun, 28 Jun 2026 10:43:06 +0800</pubDate><description><![CDATA[解压修复后的压缩包，发现是一个jpg图片。直接拖入随波逐流，发现伪加密。属性的备注中直接提示F5隐写。直接使用随波逐流提取。]]></description><category></category></item><item><title><![CDATA[【PolarCTF】费眼睛的flag]]></title><link>https://blog.youkuaiyun.com/nzjdsds/article/details/162382503</link><guid>https://blog.youkuaiyun.com/nzjdsds/article/details/162382503</guid><author>nzjdsds</author><pubDate>Sun, 28 Jun 2026 09:43:53 +0800</pubDate><description><![CDATA[打开excel发现都是空白，但是这个框画的就很明显是二维码。只要把加粗的涂上颜色就是一个二维码。可以看到有的是加租，有的没加租。然后直接扫码得到flag。]]></description><category></category></item></channel></rss>