hengdonghui-CSDN博客

原创 Writeup 4 GFCTF 2021 onceTheGame

设你交出的数组是arr，长度为n（等于 Public Key），那么对每个位置iarr[i] % i == 0 或者 i % arr[i] == 0举例，n=4 时数组[1,2,3,4]位置 i值 kk % ii % k满足?1100✅2200✅3300✅4400✅再举例[1,4,3,2]位置 i值 kk % ii % k满足?

2026-10-06 19:40:35 124

原创 Writeup 4 N1BOOK SQL注入-2

环节关键点注入点login.php的name参数注入类型字符型、单引号闭合、注释回显方式?tips=1打开调试（源码注释明示），报错回显过滤提示源码msg_box2“账号或者密码不合法” 暗示存在黑名单利用函数updatexml(1, concat(0x7e, (子查询), 0x7e), 1)绕过过滤select双写为数据流向库note→ 表fl4g→ 列flagFlagRambo2026年10月06日🎉🎉🎉。

2026-10-06 09:46:01 170

原创 Writeup 4 N1BOOK SQL注入-1

1. id=1 → 基准，正常2. id=1' → 报错/空白3. id=1' --+ → 正常 → 字符型→ 报错 → 数字型4. 数字型再测：id=1 and 1=1 / id=1 and 1=2id=1'报错，id=1' --+正常 → 字符型id=1' --+还是报错 → 数字型数字型用验证。

2026-10-05 18:08:59 287

原创 Writeup 4 MTCTF 2021 hamburgerRSA

这道题的核心是十进制字符串拼接导致的高位/低位泄露PPQQ是pq十进制字符串的拼接的高位和低位，基本只由p*q的高位和低位决定取n前 18 位和后 18 位，中间只需爆破极少位数（2~3 位），就能恢复p*q分解p*q得到pq，再按题目规则拼出PPQQ，最后用PPQQ解密关键点不要用p*q和解密，要用PPQQ和中间位数要固定，用zfill补齐验证pq都是素数，避免多解干扰FlagRambo2026年10月05日🎉🎉🎉。

2026-10-05 12:32:43 154

原创 Writeup 4 红帽杯 2021 WebsiteManger

项目内容注入点image.php?id=注入类型布尔盲注真响应id=2，19548 字节假响应id=5，0 字节判断阈值1000空格绕过/**/and绕过&&（URL 编码%26%26limit绕过file://是URL 协议（伪协议）的一种。curl不只能请求http://协议作用http://请求 HTTP 服务https://请求 HTTPS 服务file://读取服务器本地文件dict://与字典服务器交互，可探测端口gopher://发送任意 TCP 数据流，可打内网服务。

2026-10-05 10:37:33 183

原创 Writeup 4 第五空间智能安全大赛 2021 Web EasyCleanup

Session 是服务器端用来存储用户会话信息的一种机制。当用户访问 PHP 页面时，PHP 可以为该用户创建一个唯一的 Session ID，并将相关数据存储在服务器端的 Session 文件中。文件上传进度追踪。当浏览器向服务器上传文件时，PHP 可以将本次上传的详细信息（如上传进度、文件信息等）存储在 Session 中，以便前端通过 AJAX 轮询获取上传进度。PHP 提供了includerequire等函数，用于在当前脚本中引入其他文件。如果这些函数的参数用户可控且未经过严格过滤。

2026-10-04 10:00:03 328

原创 Writeup 4 SDCTF 2022 - Six Bites

关键点说明密钥长度题目提示 “six bites” → 6 字节加密方式重复密钥 XOR攻击方法已知明文攻击（Known-plaintext attack）已知明文sdctf{（SDCTF 原题格式）恢复密钥密文前 6 位 XOR 明文前 6 位解密循环 XOR 整个密文。

2026-10-04 07:38:24 176

原创 Writeup 4 虎符 2021 决赛 · Web · hatenum

这道题的核心是"SQL 注入 + 布尔盲注 + 双向爆破"。从最初的||1#密码绕过，到exp()溢出盲注，再到双向爆破出 code，最后用admin\登录成功——一步一个坎儿，每一步都充满陷阱，步步惊心。关键转折点发现在字符串内部，并不是注释 → 用转义发现exp(710)不报错 → 用--data-raw保持字面量发现rlike匹配错位 → 双向爆破，交叉验证最终 FlagRambo2026年10月03日🎉🎉🎉。

2026-10-03 15:50:21 176

原创 Writeup 4 红帽杯 2021 Web Find_It

知识点说明robots.txt烟雾弹提示的文件名可能是假名，真入口是index.phpVim swap 文件机制编辑时自动生成，正常退出删除，异常退出保留swap 文件泄露存储在 Web 目录时，可通过 URL 直接下载源码命名规则→→代码审计突破flag 被写入hack.php，用显示自身源码黑名单绕过含source但不含黑名单词fileRambo2026年10月03日🎉🎉🎉。

2026-10-03 09:54:42 196

原创 Writeup 4 津门杯 2021 Web hate_php

知识点说明PHP 短标签等价php echo，绕过字符限制的常用手段反引号PHP 中执行 shell 命令的运算符Linux 通配符?匹配任意单字符，可替代字母绕过过滤Linux 通配符匹配任意多字符，常用于匹配目录下所有文件eval()注入用户可控输入进入eval，等同于任意代码执行正则绕过思路过滤字符越少，可用于构造 payload 的"积木"越多CTF 提交格式本题为，非flag{...}preg_match只过滤了字母数字_$@，但未过滤 Shell 通配符?

2026-10-03 08:47:44 217

原创 Writeup 4 NUAA 2017 robots

APK（Android Package）是 Android 应用的安装包，本质上是一个ZIP 压缩包文件/目录作用应用配置（权限、Activity 等）Dalvik 字节码（Java/Kotlin 编译后的代码）lib/Native 库（C/C++ 编译的.so文件）res/资源文件（布局、图片、字符串等）assets/原始资源文件（数据库、配置文件等）META-INF/签名信息APK├── assets/test（SQLite 数据库）

2026-10-02 18:31:33 215

原创 Writeup 4 强网杯 2019 强网先锋打野

这是一道经典的图片 LSB 隐写（Least Significant Bit Steganography）题目。附件解压后得到一张 BMP 图片使用zsteg工具扫描图片的 LSB 数据直接在输出中找到明文 flagzsteg是一个PNG/BMP 隐写检测工具，用 Ruby 编写，专门用于检测图片中的 LSB 隐写数据。题目：强网杯 2019 强网先锋打野类型：Misc / 图片隐写关键工具zsteg解题关键附件是 24 位 BMP 图片用zsteg扫描 LSB在b1,msb,bY。

2026-10-02 15:36:40 182

原创 Writeup 4 CSS CTF Semester 2 2026 - Dead Faction Servers

这是一道OSINT + Git 历史分析题目。起点bobdev508是一个 GitHub 用户名。目标：flag 被拆成两半，分别藏在两个不同的地方。陷阱：大部分线索是诱饵（decoy），真正的 flag 藏在隐藏分支和被删除的文件里。关键技巧使用git clone拉取仓库（比网页更快、更完整）使用发现隐藏分支使用查看被删除的文件使用 Base64 解码完整复制远程仓库到本地包括所有分支、commit 历史、文件版本。

2026-10-01 15:23:30 167

原创 Writeup 4 CSS CTF Semester 2 2026 - Lamp Drill

编码：黑圆 = 1，白圆 = 0（提示 2）逻辑门：顶部示例确认是AND 门（只有 1,1 输出 1）数据提取：从 SVG 中按 y 坐标分组提取圆形节点计算：每行 16 个输入 → 8 个 AND 输出 → 1 字节 ASCII结果：3 行得到css→css最终 FlagRambo2026年国庆节🎉🎉🎉。

2026-10-01 14:24:48 255

原创 Writeup 4 CSS CTF Semester 2 2026 Cryptography Chrono I

维吉尼亚密码是一种多表替换密码，由法国外交官布莱斯·德·维吉尼亚（Blaise de Vigenère）在 16 世纪提出。它是对凯撒密码的扩展——凯撒密码所有字母用同一个偏移量，而维吉尼亚密码每个字母使用不同的偏移量，偏移量由密钥决定。由于同一字母在不同位置会被加密成不同密文，维吉尼亚密码在历史上曾被称为“不可破解的密码。

2026-10-01 11:47:50 258

原创 Writeup 4 2020 - 之江杯 - Modbus

Modbus 过滤→ 全是功能码 66（用户自定义，对应“程序上传”）统计流分布→ 集中在流 0 和流 1追踪流 → TCP Stream → 流 1搜索 flag 特征字符串拼接 → 转换 → flagRambo2026年国庆节🎉🎉🎉。

2026-10-01 08:07:01 136

原创 Writeup 4 2020 - 之江杯 - 工控组态分析

本题是工控CTF的入门题，难度不高，核心是选对工具gk→ 改后缀为.zip→ 解压得到工程.PCZ→ 用力控恢复运行工程 → 点击“文件→打开” → 拿到 flag最终 flagRambo2026年9月30日。

2026-09-30 18:19:44 109

原创 Writeup 4 2020 - 之江杯 - 工控现场的恶意扫描

1、用Wiresharkt4.pcaptcp，回车3、右键点击分组列表中任意一个流量包，选择：追踪流 ->TCP Stream4、在弹出的窗口中，点击右下角“流”的向上的箭头，直到数字变成7；或者，直接在框中输入7；6、在中解码（Hex。

2026-09-30 10:08:31 143

原创 Writeup 4 2020 - 之江杯 - 异常的工程文件

步骤操作结论1解压并观察目录结构确认为工控组态工程文件2定位到3提取出完整 flag。

2026-09-29 20:07:39 148

原创 Writeup 4 2020 - 之江杯 - 病毒文件恢复

特征项说明勒索信文件名[随机字符]-DECRYPT.txt，如加密文件后缀随机大写字母组合，如.NXGSZAGBX勒索信标题加密算法不加密文件.dll.exe.sys.msi等系统文件传播方式RaaS 模式，通过暗网分发活动时间2018 年初出现，2019 年 6 月停止运营。

2026-09-29 20:04:41 162

原创 Writeup 4 2020 - 之江杯 - 注册表分析

WiFi其中ProfilesManagedCategory。

2026-09-29 20:02:02 149

原创 Writeup 4 2020 - 之江杯 - 异常的流量分析

步骤操作结论1主要协议为Modbus TCP2统计Modbus功能码功能码循环是干扰项3检查TCP data帧全为02，是从站地址，非payload4strings搜索发现Base64图片5提取并Base64解码得到JPEG图片6查看图片得到flag。

2026-09-29 11:18:13 289

原创 Writeup 4 2019 - 工业信息安全技能大赛 - 山东站 - 简单流量分析——ICMP 包的长度隐写

Length这道题是一道经典的 ICMP 包的长度隐写题流量分析：识别异常 ICMP 流量隐写提取：从包的元数据（长度）而不是内容里提取数据编码解码：ASCII → Base64 → 文件内容细节观察：flag 伪装成密码哈希，需要仔细阅读数据藏在 data_len字段，不是 Data 内容只取flag 藏在文件的 ubuntu 用户密码哈希里Rambo2026年9月29日。

2026-09-29 09:29:06 214

原创 Writeup 4 2021 绿城杯 Misc 流量分析

Laravel 是一个流行的 PHP Web 框架。Ignition 是 Laravel 默认安装的错误调试组件（版本 <= 2.5.1），它提供了一个优雅的错误页面，帮助开发者定位问题。漏洞出在 Ignition 的类中。这个“解决方案”允许开发者通过 HTTP 请求将视图模板中未定义的变量标记为可选，从而避免报错。其核心逻辑涉及和对用户传入的viewFile参数进行操作。坑原因解决把secret.7z当成关键压缩包7z 来自外部下载，内容是游戏文件认准 ZIP 头50 4B，忽略 7z 头。

2026-09-28 16:55:50 265

原创 Writeup 4 CTFHub 流量分析 · 协议流量分析 · ICMP 三题

ICMP（Internet Control Message Protocol）是网络层协议，最常见的用途是ping。[以太网头 14B][IP 头 20B][ICMP 头 8B][ICMP Data ...]类型名称说明type 8ping 请求type 0Echo Replyping 回复request 和 reply 的data 字段内容完全相同。分析时只取一种（通常），避免数据重复。ICMP 的data 内容包长度时间间隔序列号等都可以作为隐蔽信道。题目隐蔽信道核心思路。

2026-09-27 11:24:32 320

原创 Writeup 4 BCS CTF 2026 Three Couriers

步骤操作说明1解析提取三组(n, e, c)2确认e = 3且三组相同从生成脚本可确认3确认三个n两两互素生成脚本已保证4CRT 合并c₁, c₂, c₃得到5判断m³ < N因为明文是短 flag，远小于n6整数开立方根7转字节。

2026-09-27 09:46:58 373

原创 Writeup 4 BCS CTF 2026 300 B.C.

步骤内容1观察密文包含大量符号，推测是 ASCII 可见字符范围的移位2题目描述强调300，计算3确定加密方式为ROT184对密文逐字符减 18 解密5得到 leetspeak 明文，补全pctf{前缀6提交 Flag关键点：CTF 中看到“300”“斯巴达”等数字提示，要立刻联想到 ROT 系列；ROT18 是 ASCII 可见字符（94 个）上的移位，与 ROT47 类似但偏移量不同。Rambo2026年9月26日。

2026-09-26 09:18:08 371

原创 Writeup 4 Off by Null

这道题是堆利用的经典入门题off-by-null 漏洞原理unlink 利用技巧fake chunk 构造GOT 劫持libc 泄露关键收获交互格式很重要read_int读 8 字节，但sendline可以正常工作GOT 覆盖要小心：用sendline让my_read在\n处停止，避免覆盖其他 GOTunlink 后：不是0x602140，往0x602128写数据可以覆盖chunk数组没有 show 也能泄露：改free@got为puts@pltfree。

2026-09-26 09:09:24 422

原创 Writeup 4 CTFHub PWN · BROP

BROP（Blind Return-Oriented Programming，盲返回导向编程）是一种在完全没有目标二进制文件或源码的情况下，仅通过远程连接是否崩溃作为反馈，盲测并构造 ROP 链的攻击技术。用"连接是否断开"作为唯一的信号，逐字节探测远程进程的内存布局，最终 dump 出二进制文件并完成利用。确定溢出偏移buf 大小 + 8（64 位下 rbp 占 8 字节）泄露 libc 地址打印出puts的运行时地址计算 libc 基址计算目标地址system和/bin/sh都加上。

2026-09-25 20:07:25 727

原创 Writeup 4 CTFHub 命令注入 - 综合练习

知识点说明命令注入用户输入直接拼接进exec%0a绕过换行符作为命令分隔符${IFS}内部字段分隔符，替代空格通配符fla*匹配flag，绕过字符串过滤more替代cat常用替代命令exec()函数执行系统命令，输出写进数组避免浏览器二次编码，精确控制请求。

2026-09-25 17:26:09 347

原创 Writeup 4 CTFHub ret2VDSO

步骤操作说明1checksecPIE + NX，常规 ROP 走不通2分析main发现和3判断考点种子预测 + 时间竞争4写 C 程序找未来时间戳和rand()值5编译 C 程序6Python 调用 C 程序7时间同步等到targetTime，发送1和rand8拿到 shellcat flag坑原因解决Python ctypes 算rand()不一致libc 版本不同改用 C 程序算时间戳过期算完隔太久才跑 EXP现算现用发送时机不对程序调用time(0)有延迟在。

2026-09-24 20:20:47 244

原创 Writeup 4 CTFHub PWN Tcache Attack

漏洞位置说明UAFdeletefree后没有把chunk[idx]置 0任意地址读showidx没有范围检查，可以越界读deleteglibc 2.27 的 tcache 没有 double free 检查空 editedit没有编辑功能，无法直接修改已释放 chunk 的fd知识点说明tcacheglibc 2.26+ 的线程本地缓存，每个 bin 最多 7 个 chunkUAFfree后没有置零，可以继续访问已释放的 chunkglibc 2.27 的 tcache 没有检查，可以连续。

2026-09-24 16:54:16 374