ISCC2024web-这题我出不了了

最新推荐文章于 2024-10-11 21:15:26 发布
最新推荐文章于 2024-10-11 21:15:26 发布
阅读量221 收藏 2
点赞数 9
文章标签： web安全 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_64764890/article/details/142004743
版权

1.将这个网页的源码和js代码下载，对其进行分析，发现使用了pg和MySQL模块

2.观察代码中waf防护的功能，发现这段waf的防护能力较弱，以简单固定的黑名单过滤为主，对许多类型的攻击并不能发挥有效的防护作用

3.结合waf的缺陷以及对mysql和PostgreSQL的使用分析，猜测这段代码可能存在Sql-so-hard漏洞，在网上查询相关的信息，发现针对该漏洞构造的payload，使用博客中的构造的payload对目标发起攻击，成功将flag反弹到自己的服务器上

本道题使用了一个关于Sql-so-hard漏洞复现博客的脚本

博客标题：[hitcon2017] Sql-so-hard 复现

作者名称：Pr0ph3t

博客网址：

[hitcon2017] Sql-so-hard 复现 | Pr0ph3t's blog

在使用的过程中，把该博客脚本中post提交的内容换为：

'http://101.200.138.180:32031/register_7D85tmEhhAdgGu92'

将nc命令连接 的ip和端口换成自己的公网服务器的ip以及监听的端口

m0_64764890
关注
ISCC-2024--WP
weixin_65279640的博客
08-20 526
打开题目，有提示是进入页面，查看源代码，发现还有三条提示然后看到主页面中有游戏名字，跟题目名称还没有想好名字的塔防游戏相冲突，因此我们可以判断其为一条信息之后根据题目提示xxx为18位，我们去找这几条信息的特征，发现每句话的大写字母刚好可以组成十八位。加上ISCC{}几位正确答案。打开之后我们发现是代码为了更方便产看信息。我们右键-》查看页面源代码，看到是使用python写的后端代码，之后我们进行代码审计。源码。
ISCC-2024-第21届信息安全与对抗技术竞赛通知
m0_46621218的博客
04-19 3179
信息安全已涉及到国家政治、经济、文化、社会和生态文明的建设，信息系统越发展到它的高级阶段，人们对其依赖性就越强，从某种程度上讲其越容易遭受攻击，遭受攻击的后果越严重。“网络安全和信息化是一体之两翼、驱动之双轮。没有网络安全就没有国家安全。”信息是社会发展的重要战略资源，国际上围绕信息的获取、使用和控制的斗争愈演愈烈，信息安全保障能力是综合国力、经济竞争实力和生存能力的重要组成部分，是世纪之交世界各国奋力攀登的至高点。信息安全与对抗技术竞赛（ISCC），于2004年创建（国内第一），已连续举办。
ISCC2024 Web部分题解
2201_75627590的博客
08-01 2066
ISCC 2024 web部分题解
2024年ISCC练武题部分WriteUp
Aluxian_的博客
05-27 1989
2024年ISCC练武题部分WriteUp
iscc2024 web部分题解
2301_78871310的博客
05-27 243
人们的好比赛
ISCC 2024 部分wp
焦虑的焦虑
05-25 6755
ISCC 2024 部分wp
ISCC2020---部分Web题和MISC题复现！
qidiandexiaowu
11-23 1972
前言：参加了ISCC比赛，对我这萌新造成了万倍的内心暴击，但还是有点收获的，记录下学习心得！（题目难度就不评价了，对萌新不友好） web web1: Where is file? 这道赛题好像在我复现的时候，已经被搞了，emmmmm不让萌新活了。 就看着我们团队大佬的复现了。 题目内容： <?php show_source(__FILE__); echo $_GET['hello']; $file=$_GET['file']; while (strstr($file, "php://")) {
ISCC-2024部分WP
m0_60088863的博客
05-26 988
题目提示：“（1）Flag格式为ISCC{xxx}，其中xxx共有18位，记得数清楚哦！（2）提示在后边哦！”，纯纯脑洞题，开始界面的一行英文，取大写，共9个字母，在这里插入代码片MDWTSGTMM，然后在world.js里搜索“alert”找到这，划红线的取大写字母，共9个，SMSORSSWD,连起来刚好18个字符，ISCC{MDWTSGTMMSMSORSSWD},
ISCC 2024
2301_82000839的博客
05-14 3316
iscc 题解
ISCC2022--Writeup
m0_61596829的博客
06-03 7035
ISCC2022--writeup
ISCC2020-Web题解
Lemon's blog
05-27 2211
神秘组织的邮件-2 点击提交数字会发生改变，因为这次的赛制有一个关联，通过上一题 得出的flag是加键乘除，又提示要联系起来，就想起了之前做有一道秋名山车神那道题，只不过这个题需要将运算符手动添加，脚本如下： import requests from bs4 import BeautifulSoup import re import time if __name__ == '__main__': time_start=time.time() url = 'http://101.201.126
ISCC-2022 部分wp
qaq517384的博客
06-07 3198
目录Web冬奥会Misc单板小将苏翊鸣2022冬奥会藏在星空中的诗-1ReverseAmy's Code Web 冬奥会 $info[“year”]=2022，if比较的赋值，永真 0项值为0绕过array_search()函数，其他随意 payload： ?Information={"year":"a","items":[0,["1","2","3"],"1"]} Misc 单板小将苏翊鸣 改图片高度得到二维码，扫码回答问题 15942为压缩包密码 解压得到flag 2022冬奥会 吉祥物（压缩包密码）
ISCC 2018 WEB WriteUp
lacoucou的专栏
05-25 1947
1.php是世界上最好的语言  [分值:150]题目描述:                                            php是世界上最好的语言 听说你用php？ 题目地址: http://118.190.152.202:8005/题目内容：关键是在 md5(&amp;password)这里，搜索一下，找到：https://blog.csdn.net/vspiders/...
2016 ISCC CTF 比赛 WEB类第一题
aj_shang的博客
06-06 3549
网站链接：http://101.200.145.44/web1/index.php.txt 当点击这里之后，后出现下图 1.点击source，出现源码，发现user==flag 2.注入sql语句 $sql = "select user from user where pw= ' $pass ' " 在密码栏中输入的值是$pass,将其替换为' or us
江苏省2024网络安全知识竞赛 新颖有创意
tinzoom的专栏
10-08 328
每队可以选择一组题进行回答，每组3题，答对第1题得10分，答对后可以选择继续答第2题，也可以中止答题，第2题得20分，答对再20分，如果答错，前面第1题的得分也没有，得0分，第三题30分，答题方式同前。每队选择一个主题进行回答，时间3分钟，答完由4个专家评委和50个大众评委共同打分，专家评委权重67%，大众评委权重33%。四轮下来取排出前三名，如果出现同分，进行加时赛，加时赛为抢答题，一题定胜负。抢答题分两个部分，前8题出题后开始抢，后8题先抢答题权再出题目。8个队同时平板答题，大屏显示各队答题情况。
【网络安全】将两个 Self-XSS 转变为可利用的 XSS
最新发布
等风来
10-11 76
一段时间后，我发现在任何字段中输入任何错误的内容，例如在Phone Number字段中输入 LingLongSec 然后提交表单，便可直接实现XSS，而不发生重定向。那么如何实现真实的危害呢？在提交表单时，我拦截了请求，再将该POST请求修改为GET请求，我发现服务器能够正确解析该请求，现在只需将一些参数置空即可。
网络安全（黑客技术）2024年三个月自学手册
2401_85026116的博客
10-11 1303
网络安全可以基于攻击和防御视角来分类，我们经常听到的 “红队”、“渗透测试” 等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。走安全行业的工程方向的，技术上面其实有很大的重叠性，抛开甲乙方、岗位名称、岗位职责等因素来看，作为学技术的，也根据以往我们给学员推荐就业和入职情况来看，只要好好掌握以下几种技术（网络协议与安全设备、Linux操作系统、Web服务部署/开发、主流渗透测试/安全工具、一门及以上的编程语言）中的2到3个，都可以较好的胜任工作需求。
2024年网络安全进阶手册：黑客技术自学路线
2401_85026965的博客
10-11 795
网络安全可以基于攻击和防御视角来分类，我们经常听到的 “红队”、“渗透测试” 等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。走安全行业的工程方向的，技术上面其实有很大的重叠性，抛开甲乙方、岗位名称、岗位职责等因素来看，作为学技术的，也根据以往我们给学员推荐就业和入职情况来看，只要好好掌握以下几种技术（网络协议与安全设备、Linux操作系统、Web服务部署/开发、主流渗透测试/安全工具、一门及以上的编程语言）中的2到3个，都可以较好的胜任工作需求。
ISCC2024计算flask的pin值
05-03
ISCC2024是一种用于对数字内容进行哈希的算法，它可以生成一个固定长度的哈希值。而pin值是一个与硬件相关的特殊值，用于保证运行在特定硬件上的程序不被恶意修改或运行在未授权的硬件上。 由于ISCC2024是一种数字...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值