南宁市第二届网络与信息安全技术竞赛——web200

最新推荐文章于 2024-08-18 14:30:00 发布
最新推荐文章于 2024-08-18 14:30:00 发布
阅读量973 收藏
点赞数
分类专栏： ctf 网络安全 文章标签： 信息安全 web
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/csu_vc/article/details/78314685
版权

这道题一开始只给了一个页面，提示u have to echo to the server。
这里写图片描述
仔细想了想，感觉可能是想让我们传参数把，有过经验的大佬不要嘲笑，也许你们一眼可以看出来使node.js的漏洞，但是毕竟我还是小白。
自然用小白的分析思路啦，首先用burp查看了中间是否有隐藏信息，或者是否发生了重定向，对包的头部信息仔细看了一下发现了几个不常见属性，比如发送包里
这里写图片描述

If-None-Match，它和ETags(HTTP协议规格说明定义ETag为“被请求变量的实体值”，或者是一个可以与Web资源关联的记号)常用来判断当前请求资源是否改变。类似于Last-Modified和HTTP-IF-MODIFIED-SINCE。但是有所不同的是Last-Modified和HTTP-IF-MODIFIED-SINCE只判断资源的最后修改时间，而ETags和If-None-Match可以是资源任何的任何属性，不如资源的MD5等。

ETags和If-None-Match的工作原理是在HTTP Response中添加ETags信息。当客户端再次请求该资源时，将在HTTP Request中加入If-None-Match信息（ETags的值）。如果服务器验证资源的ETags没有改变（该资源没有改变），将返回一个304状态；否则，服务器将返回200状态，并返回该资源和新的ETags。

ETag如何帮助提升性能？
聪明的服务器开发者会把ETags和GET请求的“If-None-Match”头一起使用，这样可利用客户端（例如浏览器）的缓存。因为服务器首先产生ETag，服务器可在稍后使用它来判断页面是否已经被修改。本质上，客户端通过将该记号传回服务器要求服务器验证其（客户端）缓存。

其过程如下：
1.客户端请求一个页面（A）。
2.服务器返回页面A，并在给A加上一个ETag。
3.客户端展现该页面，并将页面连同ETag一起缓存。
4.客户再次请求页面A，并将上次请求时服务器返回的ETag一起传递给服务器。
5.服务器检查该ETag，并判断出该页面自上次客户端请求之后还未被修改，直接返回响应304（未修改——Not Modified）和一个空的响应体。

当然，这并不是这道题的内容，只是我当时遇到了不熟悉才查了下资料学习一波，记录一下而已。

后来发现了发送包里的 x-powered-by 里有express然后搜索了一波，发现这是node.js里的一个框架。于是自然就查了一下是否有对应的漏洞可以利用，顺便学习一波，提高自己
原文地址
http://www.websecgeeks.com/2017/04/pentesting-nodejs-application-nodejs.html
i春秋上有对应的版本
https://bbs.ichunqiu.com/thread-24807-1-1.html?from=beef

这里的Eval()函数很危险 存在远程代码执行（利用服务器端JavaScript注入）【JavaScript任意代码执行】
eval()是一个危险的函数，任何输入都可以通过它执行，形成一种远程命令执行场景，程序可以越权执行。它从输入参数中

最低0.47元/天 解锁文章
csu_vc
关注
专栏目录
CTF —— 网络安全大赛（这不比王者好玩吗？）
Jinmindong
09-21 2670
CTF —— 网络安全大赛（这不比王者好玩吗？）
CTF是什么？一文带你读懂网络安全大赛
xx16755498979的博客
06-10 2720
现在的CTF比赛一般由专业队伍承担比赛平台、命题、赛事组织以及拥有自动化积分系统。参赛队伍需提交参赛申请，并且由DEF CON会议组织者们进行评选。比赛侧重于对计算机底层和系统安全的核心能力。
网络安全领域含金量最高的5大赛事，每个网安人的梦！
最新发布
2401_85026116的博客
08-18 288
做网络安全一定要知道的5大赛事，含金量贼高，如果你能拿奖，国内大厂随你挑，几乎是每个有志网安人的梦！这些比赛不仅提供了一个展示和测试技能的平台，还有机会与来自全球的顶级安全专家交流和学习。参加这些赛事可以提高网络安全技能，并在行业中建立声誉。参加比赛对技术要求很高，我自己也参加很多CTF比赛，总结出来了很多赛事经验，可以给大家分享。最后给大家附上我自己整理的网安最新最全的学习路线图，具体细分的技术都已明确写出：网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知
CTF —— 网络安全大赛
ZL_1618的博客
09-19 509
前言随着大数据、人工智能的发展，人们步入了新的时代，逐渐走上科技的巅峰。⚔科技是一把双刃剑，网络安全不容忽视，人们的隐私在大数据面前暴露无遗，账户被盗、资金损失、网络诈骗、隐私泄露，种种迹象表明，随着互联网的发展，网络安全需要引起人们的重视。互联网安全从其本质上来讲就是互联网上的信息安全。从广义来说，凡是涉及到互联网上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全的研究领域。‍ ‍ ‍ 网络安全需要一群网络安全技术人员的维护。而CTF，就是这些人技术竞技的比赛。
网络管理-信息化-小学语文教师信息化教学能力现状调查——以广西五市为例.pdf
07-13
小学语文教师信息化教学能力现状调查——以广西五市为例，是一项深入探究广西地区小学语文教师在信息化教学领域的实际状况和面临挑战的研究。该研究选取南宁、柳州、玉林、桂林和梧州五个城市的小学语文教师作为样本...
广西南宁市2021届高三语文下学期第二次适应性测试试题（PDF）.pdf
12-19
广西南宁市2021届高三语文下学期第二次适应性测试试题（PDF）.pdf
南宁市第三十三中学林小良摸着石头过河——高二选修课《先秦诸子选读》教学模式实践与探索.pdf
10-06
本文主要讨论的是南宁市第三十三中学林小良老师在高二选修课《先秦诸子选读》的教学实践中所进行的模式探索。文章着重阐述了教学目标、教学理念以及具体的课堂实践策略。 1. **教学目标**： - 明确通过学习《先秦...
打造科技“新星”——南宁市第二十八中学机器人兴趣小组建设侧记.pdf
08-14
打造科技“新星”——南宁市第二十八中学机器人兴趣小组建设侧记.pdf
网络安全业务竞赛
11-13
竞赛题目#include <cstdio> #include <cstring> #include <ctype.h> #include <cstdlib> #include <cmath> #include <climits> #include <ctime> #include <iostream> #include <algorithm> #include <deque> #include <vector> #include <queue> #include <string> #include <map> #include <stack> #include <set> #include <numeric> #include <sstream> #include <iomanip> #include <limits> #define CLR(a) memset(a, 0, sizeof(a)) using namespace std; typedef long long ll; typedef long double ld; typedef unsigned long long ull; typedef pair <int, int> pii; typedef pair <ll, ll> pll; typedef pair<string, int> psi; typedef pair<string, string> pss; const double PI = 3.14159265358979323846264338327; const double E = exp(1); const double eps = 1e-6; const int INF = 0x3f3f3f3f; const int maxn = 1e6 + 5; const int MOD = 1e9 + 7; int main() { int n; cin >> n; vector <int> v; int num; for (int i = 0; i < n; i++) { scanf("%d", &num;); v.push_back(num); } cin >> n; for (int i = 0; i < n; i++) { scanf("%d", &num;); v.erase(v.begin() + num - 1); } vector <int>::iterator it; for (it = v.begin(); it != v.end(); it++) { if (it != v.begin()) printf(" "); cout << *it; } cout << endl; } --------------------- 作者：Dup4 来源：CSDN 原文：https://blog.csdn.net/dup4plz/article/details/79666083 版权声明：本文为博主原创文章，转载请附上博文链接！#include <cstdio> #include <cstring> #include <ctype.h> #include <cstdlib> #include <cmath> #include <climits> #include <ctime> #include <iostream> #include <algorithm> #include <deque> #include <vector> #include <queue> #include <string> #include <map> #include <stack> #include <set> #include <numeric> #include <sstream> #include <iomanip> #include <limits> #define CLR(a) memset(a, 0, sizeof(a)) using namespace std; typedef long long ll; typedef long double ld; typedef unsigned long long ull; typedef pair <int, int> pii; typedef pair <ll, ll> pll; typedef pair<string, int> psi; typedef pair<string, string> pss; const double PI = 3.14159265358979323846264338327; const double E = exp(1); const double eps = 1e-6; const int INF = 0x3f3f3f3f; const int maxn = 1e6 + 5; const int MOD = 1e9 + 7; int main() { int n; cin >> n; vector <int> v; int num; for (int i = 0; i < n; i++) { scanf("%d", &num;); v.push_back(num); } cin >> n; for (int i = 0; i < n; i++) { scanf("%d", &num;); v.erase(v.begin() + num - 1); } vector <int>::iterator it; for (it = v.begin(); it != v.end(); it++) { if (it != v.begin()) printf(" "); cout << *it; } cout << endl; } --------------------- 作者：Dup4 来源：CSDN 原文：https://blog.csdn.net/dup4plz/article/details/79666083 版权声明：本文为博主原创文章，转载请附上博文链接！
第三届南宁市网络安全技术大赛部分wp
谭宇
12-16 242
1、shamir重要数据损坏(Crypto) 题干 shamir典型门限秘密共享，要形成（3，5）门限，则产生一个二次多项式 根据题目获得对应的三组（f(x)，x）轻易的解出方程。 a = 5，b = 23, M = 2018 而M就为加密的信息，flag为2018提交成功。 2、misc2(MISC) 题干 ...
ISCC2023全国大学生网络信息安全竞赛
qq_57423018的博客
06-08 5088
信息安全已涉及到国家政治、经济、文化、社会和生态文明的建设，信息系统越发展到它的高级阶段，人们对其依赖性就越强，从某种程度上讲其越容易遭受攻击，遭受攻击的后果越严重。“网络安全和信息化是一体之两翼、驱动之双轮。没有网络安全就没有国家安全。”信息是社会发展的重要战略资源，国际上围绕信息的获取、使用和控制的斗争愈演愈烈，信息安全保障能力是综合国力、经济竞争实力和生存能力的重要组成部分，是世纪之交世界各国奋力攀登的至高点。
首届新疆网络安全知识技能竞赛(团体赛)
天跃
09-19 2773
小白也是第一次参加这样的团体赛，整个过程就看神仙打架了23333，虽然输的很惨但是还是觉得有必要把这次比赛学习到的东西分享一下，和大家一起学习一下。 1.如来十三掌 夜哆悉諳多苦奢陀奢諦冥神哆盧穆皤三侄三即諸諳即冥迦冥隸數顛耶迦奢若吉怯陀諳怖奢智侄諸若奢數菩奢集遠俱老竟寫明奢若梵等盧皤豆蒙密離怯婆皤礙他哆提哆多缽以南哆心曰姪罰蒙呐神。舍切真怯勝呐得俱沙罰娑是怯遠得呐數罰輸哆遠薩得槃漫夢盧皤亦醯...
第四届网络与信息安全技术大赛总结
weixin_34289744的博客
08-26 503
为什么80%的码农都做不了架构师？>>> ...
物流信息化：规划、转型与热点问题——以南宁园区为例
物流信息化与园区建设(南宁)的PPT讨论了中国物流行业的关键议题，由中国物流与采购联合会的戴定一在2009年12月25日在南宁进行分享。讲座内容涵盖了以下几个核心部分： 1. 物流振兴规划： - 对"中国制造"的反思强调...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值