梦~醒🍇

文件上传中的.user.ini文件

发表于 2025-04-19 | 更新于 2025-04-19 | CTF | web姿势

.user.ini php.ini是php的一个全局配置文件，对整个web服务起作用；而.user.ini和.htaccess一样是目录的配置文件，.user.ini就是用户自定义的一个php.ini，我们可以利用这个文件来构造后门和隐藏后门。实例 php 配置项中有两个配置可以起到一些作用 12auto_prepend_file = <filename> //包含在文件头auto_append_file = <filename> //包含在文件尾这两个配置项的作用相当于一个文件包含，比如 12345// .user.iniauto_prepend_file = 1.jpg// 1.jpg<?php phpinfo();?>// 1.php(任意php文件) 满足这三个文件在同一目录下，则相当于在1.php文件里插入了包含语句require(‘1.png’)，进行了文件包含。另一条配置包含在文件尾，如果遇到了 exit 语句的话就会失效。 .user.ini使用范围很广，不仅限于 Apache 服务器，同样适用 ...

无参数rce详解

发表于 2025-04-16 | 更新于 2025-04-16 | CTF | web姿势

[TOC] 无参数RCE题目特征 123if(';' === preg_replace('/[^\W]+$(?R)?$/', '', $_GET['star'])) { eval($_GET['star']);} 正则表达式 1[^\W]+$(?R)?$ 匹配了一个或多个非标点符号字符（表示函数名），后跟一个括号（表示函数调用）。其中 (?R) 是递归引用，它只能匹配和替换嵌套的函数调用，而不能处理函数参数。使用该正则表达式进行替换后，每个函数调用都会被删除，只剩下一个分号 ;，而最终结果强等于；时，payload才能进行下一步。简而言之，无参数rce就是不使用参数，而只使用一个个函数最终达到目的。 12scandir()可以使用里面不含参数scandir('1')不可以使用，里面含有参数1，无法被替换删除相关函数简要介绍 1234567891011121314scandir() :将返回当前目录中的所有文件和目录的列表。 ...

XYCTF2025wp

发表于 2025-04-14 | 更新于 2025-04-14 | CTF | 比赛wp

[TOC] misc XGCTF 根据题目描述可以知道，需要找到XGCTF中LamentXU师傅出的题这道题是原型链污染的题目然后使用浏览器搜索引擎找到dragonkeep的博客（结合提示推断，会多一个字母）然后进去找到有关原型链污染的题目，进入页面，查看源码，在源码处找到flag的base64编码，然后解码就得到flag flag{1t_I3_t3E_s@Me_ChAl1eNge_aT_a1L_P1e@se_fOrg1ve_Me} 签个到吧根据题目提示：最小的，具有图灵完备性的语言是？和上网查询，发现是Brainfuck代码查询其知识点可以知道，其计算方法大概就是前面的+数量和[<>]里的+数量相乘，得到一个数，就是一个ascll码，这段代码无法直接运行，所以将其进行修改，去掉”-±±±”和"<[-]>"，然后就是这个样子： 1+++++++++++++++++[<++++++>]++++++++++++[<+++++++++>]++++++++++++++++++++++++++ ...

【vulhub漏洞靶场】fastjson反序列化漏洞及fastjson反序列化漏洞复现

发表于 2025-04-01 | 更新于 2025-09-16 | web渗透 | 漏洞复现

[TOC] 漏洞原理啥是json? json全称是JavaScript object notation。即JavaScript对象标记法，使用键值对进行信息的存储。举个简单的例子如下： { "name":"BossFrank", "age":23, "media":["CSDN","bilibili","Github"] } json本质就是一种字符串，用于信息的存储和交换。啥是fastjson? fastjson 是一个有阿里开发的一个开源Java 类库，可以将 Java 对象转换为 JSON 格式(序列化)，当然它也可以将 JSON 字符串转换为 Java 对象（反序列化）。Fastjson 可以操作任何 Java 对象，即使是一些预先存在的没有源码的对象（这就是漏洞来源，下文会解释）。使用比较广泛。 fastjson序列化/反序列化原理 fastjson的漏洞本质还是一个java的反序列化漏洞，由于引进了A ...

kali系统java版本下载配置及不同版本切换

发表于 2025-03-31 | 更新于 2025-04-01 | 其他学习笔记 | 其他学习笔记

[TOC] 查看当前 JDK 版本信息 1update-alternatives --config java 当前只有一个17版本安装 JDK版本（以JDK8为例）官网下载jdk8版本的Java： https://www.oracle.com/java/technologies/javase/javase8-archive-downloads.html 将jdk文件移动到/usr/local/ 12tar -zxf jdk-8u212-linux-x64.tar.gz #解压jdk文件, 这里注意修改你自己的文件名称mv jdk1.8.0_212 /usr/local/ #将解压好的文件移动到local目录配置环境变量 1vim /etc/profile 在文件末尾加上以下信息 1234JAVA_HOME=/usr/local/jdk1.8.0_212PATH=$PATH:$HOME/bin:$JAVA_HOME/binexport JAVA_HOMEexport PATH 注册安装jdk8 123 ...

win10系统配置python2和python3共存以及配置pip

发表于 2025-03-30 | 更新于 2025-03-30 | 其他学习笔记 | 其他学习笔记

[TOC] 配置python2和python3 首先，去Python官网找到Python2和3版本对应的安装包下载下面是python2和3的下载地址：https://www.python.org/downloads/windows/ 在E盘下建立两个文件夹，分别为python2和python3，根据自己的情况可以改动，两者在一块并列更方便以后安装和调整环境变量。接下来，就是分别对Python2和3的安装包进行安装安装Python3 在选择路径安装时，记得把下方的“Add Python 3.6 toPATH”勾选上，这样就不用手动配置环境变量了，后续不用再添加环境变量。自定义尽量不装c盘完事下一步，到如下图位置，全部默认选择即可，安装在上面建立的python3文件夹下。安装成功后，cmd控制台输入python，查看是否成功。出现下面证明安装成功。安装Python2 all user 是供使用这台电脑的所有用户使用，是权限问题。just for me是说只供当前用户使用。如果你的电脑上只有建了一个用户，all users和just me 的作用是一样的。所 ...

【vulhub漏洞靶场】tomcat漏洞及漏洞复现

发表于 2025-03-28 | 更新于 2025-09-16 | web渗透 | 漏洞复现

[TOC] tomcat8 kali靶机：192.168.192.132 win10攻击机：192.168.192.129 环境说明 Tomcat支持在后台部署war文件，可以直接将webshell部署到web目录下。其中，欲访问后台，需要对应用户有相应权限。 Tomcat7+权限分为： manager（后台管理） manager-gui 拥有html页面权限 manager-status 拥有查看status的权限 manager-script 拥有text接口的权限，和status权限 manager-jmx 拥有jmx权限，和status权限 host-manager（虚拟主机管理） admin-gui 拥有html页面权限 admin-script 拥有text接口权限漏洞复现靶机进入vulhub-master/tomcat/tomcat8,启动docker 开启环境之后浏览器打开，如果不知道tomcat的后台管理页面为manager的话，在本环境中也可以自己摸索出登录框，点击图中任意三个请求之后也能发现登录框找到登录页面之后尝试tomcat的弱 ...

【vulhub漏洞靶场】redis漏洞（沙盒逃逸）CVE-2022-0543及漏洞复现

发表于 2025-03-26 | 更新于 2025-09-16 | web渗透 | 漏洞复现

[TOC] 漏洞详情受影响的系统仅限于 Debian 系 Linux 发行版（如 Debian、Ubuntu）及其衍生版本。不受影响的系统：CentOS、RHEL 等非 Debian 系发行版不受此漏洞影响（漏洞源于 Debian 维护者在打包 Redis 时的补丁问题，而非 Redis 自身代码问题）。受影响的 Redis 版本范围 redis版本小于等于6.x的都可以尝试。触发条件攻击者需具备 Redis 的未授权访问权限或合法凭证。漏洞原理背景 Redis 允许通过 eval 命令执行 Lua 脚本，但正常情况下这些脚本运行在沙箱中，无法执行系统命令或文件操作。补丁引入的漏洞 Debian/Ubuntu 在打包 Redis 时，通过补丁代码向 Lua 沙箱中注入了一个名为 package 的全局对象。该对象本应在源码中被注释（出于沙箱安全考虑），但补丁错误地重新启用了它。沙盒逃逸过程加载动态库：攻击者可通过 package.loadlib 加载 Lua 系统库（如 liblua5.1.so.0），调用其导出函数（如 luaopen_io）获取 io ...

【vulhub漏洞靶场】redis漏洞及redis漏洞复现

发表于 2025-03-25 | 更新于 2025-09-20 | web渗透 | 漏洞复现

[TOC] 漏洞详情影响版本 Redis 2.x，3.x，4.x，5.x Redis默认情况下，会绑定在0.0.0.0:6379(在redis3.2之后，redis增加了protected-mode，在这个模式下，非绑定IP或者没有配置密码访问时都会报错)，如果没有进行采用相关的策略，比如添加防火墙规则避免其他非信任来源ip访问等等，这样将会将Redis服务暴露在公网上，如果在没有设置密码认证(默认为空)的情况下，会导致任意用户在可以访问目标服务器的情况下未授权访问Redis以及读取Redis的数据。攻击者在未授权访问Redis的情况下，利用Redis自身的提供的config命令，可以进行写文件操作，攻击者还可以成功将自己的ssh公钥写入目标服务器的/root/.ssh文件的authotrized_keys 文件中，进而可以使用对应私钥直接使用ssh服务器登录目标服务器。漏洞的产生条件有以下两点: (1) Redis绑定在0.0.0.0:6379,且没有进行添加防火墙规则避免其他非信任来源ip访问等相关安全策略，直接暴露在公网 (2) 没有设置密码认证（默认为空）或者弱密码， ...

【vulhub漏洞靶场】Shiro反序列化漏洞全解析及各漏洞复现

发表于 2025-03-20 | 更新于 2025-09-20 | web渗透 | 漏洞复现

[TOC] 介绍Apache Shiro 1.2.4 反序列化漏洞（CVE-2016-4437） Apache Shiro是⼀款开源安全框架，提供身份验证、授权、密码学和会话管理。Shiro框架直观、易⽤，同时也能提供健壮的安全性。 Apache Shiro 1.2.4及以前版本中，加密的⽤户信息序列化后存储在名为remember-me的Cookie 中。攻击者可以使⽤Shiro的默认密钥伪造⽤户Cookie，触发Java反序列化漏洞，进⽽在⽬标机器上执⾏任意命令。漏洞成因其漏洞的核⼼成因是cookie中的身份信息进⾏了AES加解密，⽤于加解密的密钥应该是绝对保密的，但在shiro版本<=1.2.24的版本中使⽤了固定的密钥。因此，验证漏洞的核⼼应该还是在于我们（攻击者）可否获得这个AES加密的密钥，如果确实是固定的密钥 1kPH+bIxk5D2deZiIxcaaaA== 或者其他我们可以通过脚本⼯具爆破出来的密钥，那么shiro550漏洞才⼀定存在。 Shiro特征⾸先应该判断⼀个⻚⾯的登录是否使⽤了shiro框架进⾏身份验证、授权、密码和会话管理。判断⽅法在 ...

linux、windows密钥暴力破解工具john的使用

发表于 2025-03-19 | 更新于 2025-03-19 | web渗透 | 工具使用

[TOC] 什么是john John the Ripper 是一款大受欢迎的、免费的开源软件。也是一个基于字典的快速破解密码的工具，是一款用于在已知密文的情况下尝试破解出明文的破解密码软件，支持目前大多数的加密算法，如 DES 、 MD4 、 MD5 等。 John the Ripper 支持字典破解方式和暴力破解方式。它支持多种不同类型的系统架构，包括 Unix 、 Linux 、 Windows 、 DOS 模式、 BeOS 和 OpenVMS ，主要目的是破解不够牢固的 Unix/Linux 系统密码。 john一般是kali自带。 john参数表 john 命令的具体参数选项如下表：选项描述 –single single crack 模式，使用配置文件中的规则进行破解 –wordlist=FILE–stdin 字典模式，从 FILE 或标准输入中读取词汇 –rules 打开字典模式的词汇表切分规则 –incremental[=MODE] 使用增量模式 –external=MODE 打开外部模式或单词过滤，使用 [List.External: ...

刷题2025.3.15

发表于 2025-03-15 | 更新于 2025-03-18 | CTF | web-wp

题目来源：NSSCTF平台 [TOC] [SWPUCTF 2021 新生赛]easyupload2.0 考点：文件上传绕过进行文件上传测试，首先上传jpg文件，然后抓包改成php文件，结果提示php文件不能上传。上传htaccess文件也不行，于是改成后缀为phtml。 phtml也会被当成php解析。发现上传成功，用蚁剑连接，找到flag. NSSCTF{76333d4d-efe1-4a18-acf5-09bd35c8ca3b} [SWPUCTF 2021 新生赛]PseudoProtocols 考点：PHP伪协议，文件包含先扫一下目录，发现什么都没有，然后看到需要传参，又要读取hint.php，使用filter伪协议 1php://filter/read=convert.base64-encode/resource=/var/www/html/hint.php 得到一串base64，解码 12345PD9waHANCi8vZ28gdG8gL3Rlc3QyMjIyMjIyMjIyMjIyLnBocA0KPz4=<?php//go to /test2 ...