mooyuan的网络安全博客

本文详细讲解CTFHub的Web进阶中LInux的动态装载关卡的渗透全流程。当目标文件/readflag缺少执行权限时，通过调用/lib64/ld-linux-x86-64.so.2加载器直接执行该文件，绕过了权限检查。在CTF实战中，通过Webshell连接靶机，发现/readflag无执行权限后，使用动态链接器成功获取flag值ctfhub{6b89d6f2130ec53f42be5b6f}。该方法利用了动态链接器本身的执行权限，在不修改文件权限的情况下实现了程序执行。

本文分析了CTFHub Web进阶中JWT修改签名算法关卡的利用过程。通过审计PHP源码发现系统存在算法混淆风险：服务器使用RS256算法生成JWT，但验证时信任用户可控的算法字段。攻击者可将算法改为HS256，利用可下载的公钥作为HMAC密钥伪造管理员token。渗透过程包括：1)登录获取初始token；2)分析JWT结构；3)编写Python脚本生成伪造token；4)通过Burp Suite修改请求获取flag。根源在于服务器未严格校验签名算法，导致攻击者可通过算法降级绕过验证。

本文详细讲解CTFHub的Web进阶中Json Web Token的弱密钥关卡的原理以及利用JWT-cracker工具破解弱密钥JWT并获取flag的完整流程。首先通过Docker安装c-jwt-cracker工具，然后使用该工具暴力破解靶场中的JWT令牌，成功获取密钥"cogv"。接着修改JWT中role字段为admin，生成新令牌后在BurpSuite中替换原token发送请求，最终获取到flag。

本文详细解析了CTFHub中JWT敏感信息泄露攻击的原理与实战方法。JWT由Header、Payload和Signature三部分组成，其中Payload仅经Base64编码而未加密，导致敏感信息可能被泄露。攻击步骤包括获取JWT令牌、解码分析Payload寻找FLAG。实战演示了两种获取FLAG的方法：通过BurpSuite解码JWT的Header和Payload部分拼接FLAG，以及使用jwt.io在线工具分析完整token。最终获取的FLAG格式为flag{18925cd54fba7f3d7779ea

本文解析了JSON Web Token(JWT)的技术原理与CTF靶场实战应用。JWT是一种基于JSON的安全令牌，包含Header、Payload和Signature三部分，通过Base64URL编码实现紧凑传输。文章详细介绍了JWT的签名验证机制和工作流程，强调其用于身份认证和信息安全传输的核心功能。在CTFHub靶场实战环节，展示了获取flag的完整过程，最终得到flag值。通过本关卡学习，读者可掌握JWT的基本原理，为后续进阶渗透测试奠定基础。

本文详细讲解CTFHub的Web进阶中disable-functions的iconv关卡、bypass iconv1关卡、bypass iconv2共3关的渗透全流程。通过利用Linux系统iconv函数的环境变量特性(GCONV_PATH)，配合恶意gconv-modules配置文件和.so动态库，成功绕过PHP安全限制实现命令执行。使用蚁剑工具的disable function插件生成反向代理木马(.antproxy.php)，建立新会话连接后通过虚拟终端获取flag。

本文详细讲解了PHP FFI扩展绕过disable_functions的完整攻击流程。通过分析PHP 7.4引入的FFI特性，攻击者可利用FFI直接调用C标准库中的system函数执行系统命令。实战部分演示了在CTFHub靶场中，使用蚁剑工具的FFI插件绕过函数限制，最终成功获取flag的过程。该技术展现了FFI强大功能可能带来的安全隐患，要求PHP开发者在启用FFI时需充分评估安全风险。

本文通过CTFHub的Web进阶题目"Backtrace UAF"，详细分析PHP JsonSerializer组件的UAF的原理与利用过程。1)访问靶场并分析包含eval的源码；2)使用蚁剑连接并发现命令执行受限；3)通过disablefunction插件选择JsonSerializerUAF模式成功绕过限制；4)最终获取flag。

本文详细讲解CTFHub的Web进阶中disable-functions的Json Serializer UAF关卡的渗透全流程，展示利用PHP JSON序列化组件Bug#77843绕过disable_functions限制的渗透方法。通过蚁剑工具连接靶场后，使用disablefunction插件中的JsonSerializerUAF模式成功执行命令获取flag。该风险源于PHP 7.3.3版本中json_encode处理JsonSerializable接口时的引用计数错误，导致释放后使用（UAF）

本文详细讲解CTFHub的Web进阶中disable-functions的GC UAF关卡的渗透全流程。通过构造特定PHP对象触发GC机制缺陷，在析构函数执行时引发use-after-free条件，从而突破安全防护。实战部分演示了使用蚁剑工具连接靶场、分析源码、通过GCUAF插件绕过限制并获取flag的过程。原理分析部分详细解释了风险成因：GC在处理含特殊析构函数的对象时引用计数判断错误，导致内存释放后仍被访问。该风险存在于PHP5.6-7.x版本，虽已修复但仍具研究价值，展示了PHP内部机制的安全风险。

摘要：本文详细讲解了CTFHub中Web进阶disable-functions关卡的PHP-FPM绕过技术。通过分析PHP-FPM绕过原理（利用FastCGI协议直接通信），展示如何使用蚁剑工具连接Webshell并加载Bypass插件，最终成功执行系统命令获取flag。实战部分包括靶场环境搭建、源码分析、蚁剑连接、虚拟终端操作等全流程，重点演示了通过生成代理脚本绕过disable_function限制的技术方案。

本文详解CTFHub的Web进阶中disable-functions的Mod CGI关卡的原理与渗透全流程。核心原理是利用Apache的mod_cgi模块，通过上传.htaccess文件和CGI脚本绕过PHP的disable_functions限制。实战演示使用蚁剑BypassDisableFunctions插件完成绕过过程：上传.htaccess文件将.ant扩展名注册为CGI脚本，并执行shell.ant文件成功获取flag。文章提供了两种获取flag的方法：直接使用蚁剑虚拟终端和手动访问后门文件。

本文通过CTFHub的Web进阶JWT无签名关卡，展示了如何利用JWT的alg=None安全风险实现权限提升。攻击原理是将签名算法改为none，使服务器跳过签名验证，同时篡改Payload中的role字段为admin。实战步骤包括：捕获原始JWT、修改Header和Payload、拼接无签名token并发送请求，最终成功获取flag。

本文详细讲解了利用ShellShock漏洞(CVE-2014-6271)绕过PHP disable_functions限制的渗透方法。主要内容包括：1) ShellShock漏洞原理，通过putenv设置恶意环境变量并调用error_log触发Bash子进程执行命令；2) 使用蚁剑工具自动化漏洞利用流程，包括连接Webshell、使用Bypass插件、生成代理脚本等；3) 两种实战方法：手动构造环境变量脚本和蚁剑disablefunction插件，最终通过执行系统命令获取flag。

本文详细介绍了通过LD_PRELOAD绕过PHP禁用函数的技术原理及实战应用。该方法利用Linux环境变量优先加载恶意.so文件，劫持系统函数执行流程，当调用mail()等启动新进程的PHP函数时执行自定义命令。实战中使用蚁剑工具的disablefunction插件，自动生成代理脚本和.so文件，成功绕过CTFHub靶场的function限制。最终通过新建连接访问虚拟终端，执行系统命令获取flag。整个过程展示了从原理分析到工具利用的完整渗透测试流程，为安全研究人员提供了绕过PHP安全限制的有效方法。

本文介绍了CTFHub中XSS关键词过滤关卡的渗透实战过程。通过代码审计发现靶场页面存在XSS注入风险，但存在关键词过滤机制。采用大小写混淆技术成功绕过过滤，构造出有效的XSS载荷。利用XSS平台搭建接收服务器，通过反射型XSS攻击获取管理员Cookie，最终成功获得flag值。整个流程详细演示了从XSS风险发现到利用的全过程，重点展示了如何绕过关键词过滤机制和通过XSS平台收集敏感信息。

本文详细讲解CTFHub的XSS-过滤空格关卡的渗透实战全流程。首先通过代码审计分析靶场源码，发现存在XSS风险但会过滤空格字符。接着利用XSS平台创建项目获取攻击载荷，采用注释符绕过空格过滤构造有效payload。最后将包含窃取Cookie功能的XSS链接提交给Bot验证，成功获取管理员Cookie中的flag值。文章涵盖源码分析、载荷构造、平台使用和渗透技巧，为XSS注入实战提供了完整的技术参考。

本文详细讲解CTFHub的XSS-DOM跳转关卡的渗透实战全流程。通过代码审计发现风险存在于jumpto参数未过滤直接跳转的逻辑中。文章介绍了XSS平台的使用方法，并演示了两种payload注入方式：本地浏览器测试和Bot触发实战。最终成功利用javascript伪协议和jQuery的getScript方法实现XSS攻击，在XSS平台获取到管理员cookie信息。整个渗透过程包含源码分析、payload构造、平台交互等多个环节，为DOM型XSS注入研究提供了完整案例。

本文详细讲解CTFHub的XSS-OM反射型关卡的渗透实战。首先通过代码审计发现前端使用innerHTML直接渲染用户输入，存在DOM型XSS注入风险。随后利用闭合构造payload成功弹窗，验证了XSS注入存在。接着使用XSS平台生成窃取Cookie的恶意脚本，通过反射型XSS获取管理员Cookie。最终在XSS平台接收端成功获取到包含flag的Cookie值，完成渗透测试。

本文介绍了CTFHub存储型XSS渗透实战的全过程。首先详细讲解了XSS平台的使用方法，包括注册账号、创建项目和获取专属XSS载荷。然后通过靶场演示了存储型XSS攻击的完整流程：从探测XSS注入风险、构造恶意载荷、使用XSS平台收集信息，到最终获取管理员Cookie和flag。文章还分析了靶场页面的源代码，指出其存在的安全风险点。整个渗透过程展示了存储型XSS的攻击原理和危害，强调了Web应用中对用户输入进行严格过滤的重要性。

本文介绍了XSS平台的功能及反射型XSS渗透实战。XSS平台由前端界面（管理面板、数据展示、Payload生成器）和后端服务（数据处理、Payload分发、会话管理）组成。实战部分演示了如何通过XSSReflect进行探测，利用SendURLtoBot模拟管理员访问，最终通过XSS平台窃取Cookie获取flag。关键步骤包括：验证存在XSS注入风险、构造恶意URL、提交给Bot执行，在XSS平台查看窃取的Cookie信息（包含flag值）。整个过程展示了反射型XSS攻击的完整流程。

本文讲解“CTFHub平台 SQL注入-过滤空格”关卡的原理和渗透实战，包括6种手工注入方法【注释符(/**/)、括号、URL编码(%09,%0a等)替换法】、sqlmap脚本法。通过实战演示了手工注入步骤：识别注入点、确定列数、查找回显位、获取数据库信息、提取表名和字段，最终获取flag值。同时讲解了使用Python脚本自动化检测有效空格字符，以及如何利用sqlmap工具进行自动化渗透。文章详细分析了不同绕过技术的原理，并提供了完整的Payload示例，帮助读者理解SQL注入绕过空格过滤的技术细节。

本文详细分析了CTFHub平台的SQL注入-Refer注入关卡渗透测试过程。通过修改HTTP请求头的Referer字段，成功利用数值型SQL注入并使用UNION法逐步获取数据库信息：确定列数（2列）、找到回显位、获取数据库名（sqli）、查询表名（oqzyysandt）和字段（lufqushjjw），最终提取出flag值。同时使用sqlmap工具进行自动化渗透，验证了手工注入的结果。该案例揭示了Referer注入的隐蔽性和危害性，强调了请求头字段安全过滤的重要性。

本文详细分析了CTFHub平台的SQL注入-UA注入关卡渗透测试过程。通过手工注入和sqlmap自动化工具两种方法，成功利用User-Agent字段的SQL注入类型并获取数据库信息。手工注入采用UNION法逐步探测，包括确定列数、回显位、数据库名、表名及字段值，最终获取flag值。sqlmap实战通过配置请求文件自动完成渗透，验证了手工注入结果。两种方法均成功提取出flag：ctfhub{b3d1e28de1174c1594a7806a}，展示了UA注入的攻击流程与防御要点。

本文通过手工注入和sqlmap自动化工具两种方法，对CTFHub平台的SQL注入-Cookie注入关卡进行渗透测试。Cookie注入利用HTTP请求中的Cookie字段传递恶意SQL语句，隐蔽性较强。手工注入部分详细演示了从探测注入点、确定列数、获取回显位到最终提取flag的全过程。sqlmap实战则通过配置请求文件，自动识别SQL注入类型并获取数据库信息。两种方法均成功获取flag：ctfhub{0ac6c39de7d4537468d64b68}，验证了该关卡存在Cookie注入风险。

本文通过两种方法（手注法+脚本法）对“CTFHub平台 SQL注入-MySQL结构”关卡进行渗透实战。首先介绍了MySQL系统数据库(information_schema、mysql、performance_schema)在注入攻击中的关键作用，以及常用内置函数(database()、version()等)。然后分步骤演示了手工注入方法：从识别注入点、确定列数、定位回显位，到获取数据库名、表名和字段名，最终提取目标数据。文章同样使用sqlmap工具自动化完成注入的完整流程，系统讲解参数的设置并对结果进行分。

本文详细介绍了CTFHub平台SQL时间盲注关卡的渗透过程。首先通过输入测试字符确认存在数值型SQL注入，由于页面无反馈信息，采用时间盲注技术，利用SLEEP函数配合IF条件语句判断数据库信息。手工注入阶段逐步获取数据库名(sqli)、表名(news和flag)、列名(flag)及最终flag值。同时展示了使用sqlmap工具自动完成渗透的方法，通过--techT参数指定时间盲注技术，成功获取相同结果。整个渗透过程展示了时间盲注的技术特点和执行流程。

本文详细介绍了CTFHub平台的SQL布尔盲注关卡渗透过程。首先通过1=1恒真语句确认存在SQL注入风险，由于页面只返回query_success/query_error的布尔响应，采用布尔盲注技术。手工注入部分，逐步探测出数据库名(sqli)、表名(news,flag)、列名(flag)及目标数据(ctfhub{b832...})。同时展示了使用sqlmap工具自动化渗透的方法，通过--dump参数成功获取flag值。整个渗透过程突出了布尔盲注在无直接错误回显情况下的应用技巧。

本文详细讲解了CTFHub平台SQL注入-报错型注入关卡的攻防实战过程。首先介绍了报错注入的基本原理，即通过构造特殊SQL语句触发数据库错误，从错误信息中获取敏感数据。随后详细演示了三种报错注入方法：updatexml法、extractvalue法和floor法，逐步获取数据库名(sqli)、表名(flag和news)、字段名(flag)及最终flag值。最后展示了使用sqlmap自动化工具完成注入的全过程。文章通过对比UNION注入与报错注入的区别，强调了报错注入在无数据回显场景下的优势。

本文讲解CTFHub的“SQL注入-字符型注入”关卡的原理和完整渗透实战过程。首先介绍了字符型注入的原理：当Web应用直接将用户输入的数值参数拼接到SQL查询时，若未做有效过滤就会产生风险。随后展示了手工注入的完整步骤：1)通过ORDER BY确定字段数；2)使用UNION SELECT定位回显点；3)依次获取数据库名、表名、列名；4)最终提取flag值。同时演示了使用sqlmap工具自动化注入的过程，包括--current-db、--dump等参数的使用。两种方法均成功获取到flag：ctfhub{22b

本文详细讲解了CTFHub"SQL注入-整数型注入"关卡的攻防过程。首先介绍了整数型注入的原理：当Web应用直接将用户输入的数值参数拼接到SQL查询时，若未做有效过滤就会产生安全风险。随后展示了手工注入的完整步骤：1)通过ORDER BY确定字段数；2)使用UNION SELECT定位回显点；3)依次获取数据库名、表名、列名；4)最终提取flag值。同时演示了使用sqlmap工具自动化注入的过程，包括--current-db、--dump等参数的使用，两种方法均成功获取到flag。

本文通过CTFHub的HG泄露渗透实战，详细剖析了Mercurial版本控制系统因.hg目录暴露导致的安全风险。当开发人员错误配置将.hg目录部署到线上时，攻击者可利用DVCS-Ripper工具远程下载并重建代码仓库，获取项目源码及历史记录。实战中通过目录扫描发现.hg目录，使用rip-hg.pl脚本成功提取仓库内容，结合hg log命令分析提交历史确定flag文件位置，最终通过直接访问URL获取flag值。文章系统展示了从源码泄露到利用的完整过程，揭示了版本控制信息泄露的安全隐患及防护重要性。

本文通过CTFHub的SVN泄露关卡进行渗透，系统分析了.svn目录暴露导致源码泄露的风险。通过DVCS-Ripper工具（rip-svn.pl）对靶场进行渗透测试，完整演示了从目录扫描发现.svn泄露、利用工具重建版本库到提取敏感数据的全流程。重点展示了两种获取flag的方法：递归搜索pristine目录（grep -r "ctfhub"）和手动遍历哈希文件，最终在历史版本中定位到flag，揭示了SVN配置不当引发的安全威胁。

本文以CTFHub的Git index泄露关卡为例，深入分析了.git目录泄露的原理、危害及利用方法。当开发人员误将.git目录部署到生产环境时，攻击者可通过解析其中的版本控制文件（如index、HEAD、objects等）完整还原项目源码。文章详细介绍了渗透流程：首先通过目录扫描发现.git泄露，随后使用GitHack工具（需Python2环境）下载并重建代码库，最终在恢复的目录中找到包含flag的txt文件。实战演示了从信息泄露到获取敏感数据的完整攻击链，强调.git目录防护的重要性。

本文通过CTFHub的信息泄露-Git泄露-Git stash关卡的渗透实战，详细介绍了GitHack工具的使用方法，通过实战演示了两种获取flag的技术路径：1）利用git stash list/pop恢复暂存修改；2）通过git log分析提交历史，结合git diff定位stash目录中的敏感信息。实验证明，开发人员需严格检查生产环境.git目录权限，避免版本控制信息泄露带来的安全风险。

本文通过CTFHub的信息泄露-Git泄露-Git log关卡的渗透实战，详细讲解Git泄露的成因、危害及利用方法。当开发人员误将.git目录部署到线上环境时，攻击者可通过访问该目录获取项目源代码、历史记录等敏感信息。GitHack工具能有效还原.git目录内容，文章通过实战演示了从靶场扫描发现.git泄露到利用GitHack获取flag的全过程，包括两种具体方法：gitlog差异对比和gitreset版本回退。该风险危害严重，开发人员需注意部署时排除.git目录，防止敏感信息泄露。

.DS_Store是macOS系统自动生成的隐藏文件，存储文件夹的自定义属性。若意外上传至服务器，可能泄露目录结构和敏感文件信息。通过ds_store_exp工具可解析远程或本地的.DS_Store文件，提取目录列表。实战演示中，利用该工具扫描靶场网站，发现并成功读取包含flag的txt文件。防御措施包括服务器配置阻止访问和开发时清理此类文件。

本文详细分析了Vim编辑器生成的两种备份文件（交换文件.swp和备份文件~）的区别及安全风险。重点阐述了因Vim异常退出导致的.swp文件残留可能引发的源码泄露问题，并通过CTF靶场实战演示了渗透测试流程：1）使用dirsearch等工具扫描发现.swp文件；2）下载并恢复交换文件内容；3）从恢复的源码中获取flag。最后总结了防御建议，包括及时清理临时文件、配置Web服务器禁止访问备份文件等。文章揭示了开发运维中容易被忽视但危害显著的低技术风险。

本文介绍了.bak备份文件的信息泄露风险及渗透测试实战。.bak文件作为常见的备份文件后缀，可能因开发者疏忽残留在Web目录中，导致源代码和敏感信息泄露。文章首先分析了.bak文件的两种生成方式（手动和自动）及其特性（通用性强、易猜测、危害直接）。通过CTFHub靶场演示渗透过程：使用DirSearch和Dirmap工具扫描发现index.php.bak文件，下载并分析该备份文件获取flag。最后总结了渗透测试的四个关键步骤：信息收集、获取备份文件、代码审计和利用构造。

本文探讨网站源码泄露的安全风险及渗透测试方法。源码泄露源于开发者疏忽（如备份文件残留、压缩包未删除）或服务器配置不当，导致敏感信息暴露。攻击者可通过获取源码分析硬编码凭证、逻辑缺陷等风险点。实战环节通过Burpsuite暴力破解、DirSearch和Dirmap三种工具扫描目标网站，发现并下载www.zip备份文件，从中获取flag完成渗透测试。总结提出系统化渗透流程：目标确认→自动化扫描→验证结果→源码审计→利用信息获取flag。该案例揭示了备份文件管理不当引发的安全威胁及防御必要性。