吃肉唐僧的博客

用御剑扫描后台当访问admin/home.asp时候，提示还没登录上网搜索aspcms的漏洞参考;https://www.webshell.cc/2944.html用 cookie manger伪造cookiecookies:username=admin; ASPSESSIONIDAABTAACS=IHDJOJACOPKFEEENHHMJHKLG; LanguageA...

将图片另存到本地然后用记事本打开全是乱码，猜测与图片隐写术第一题一样，存在php链接拿到key所以直接搜索php拿到key

进入环境，按下发f12发现密码，拿到key感想刷这些题的时候，因为之前是搞开发转安全的，所以看些代码时候很简单。但是越刷就回想自己当初写的代码如此的垃圾.....危险性很高，所以刷这些简单的题也是有必要的，可以在安全的角度反省自己写代码方式，而不是一味的提高效率与性能。...

手动判断注入点 判断字段 判断表名union select 1,2,3,(select group_concat(table_name) from information_schema.tables where table_schema=database...

下载文件后，发现是img文件img1. img格式是镜像的一种。可以通过制作数据光盘或者使用虚拟光驱(如 WinMount，Deamon Tools 等)安装IMG数据文件。2.img格式是制定css样式表的一种样式，对HTM中的图片属性进行修饰。3.img格式是图片格式的一种，某些旧系统、游戏中照片是用IMG格式存储的，而且是多张照片在一起，Ventura Publisher...

正常访问，get的方式url太长了根据出题思路，修改为post方法提交数据。方法一用bp抓包，然后改变请求get改为post，还需要加上Content-Type这里有个坑：content内容放到最下面，但是只空一行就行了，还有content的内容复制到下面的时候不要复制多空格，否则提示content内容出错（博主就是在这里耗了不少时间.....)方法二...

根据题意，用updatexml构造报错回显' and updatexml(1,concat(0x7e,(select user()),0x7e),1)--+爆库 ' and updatexml(1,concat(0x7e,(select database()),0x7e),1)--+爆表' and updatexml(1,concat(0x7e,(select table_n...

进入环境，f12查看源码找到base64加密的地址http://tool.oschina.net/encrypt?type=3 在线base64解码，得到地址直接访问拿到key

按照题意，正规思路flag.php?type=1%20and%20if(length(database())=12,sleep(5),1)%20--+通告sleep（）函数判断数据长度然后用flag.php?type=1%20and%20if(substr(database(),1,1)='s',sleep(5),1)%20--+用bp字典结合substr函数爆库==&gt...

在文件，审题犯罪嫌疑人肯定是一个用户id，所以只需要找到users文件找先搜索immomo找到陌陌的文件夹进入去找到audio字样，是录音的意思找到文件...

进入环境根据题目提示，猜测这些数字是代表字母表，然后对照字母表拿到key

/new_list.php?id=1 order by 2测试注入点有回显，并且测试有4个字段盲猜表，admin，member，manage，都没有投机取巧的方法没有......老老实实去爆表吧测试回显位置，/new_list.php?id=1 union select 1,2,3,4爆库，用database（）发现mysql的语法在这里不适合用...

首先上网查询微信的手机文件夹名字tencent视频文件一般存在 microMsg找到该用户id,看到video字样，找到文件输入名字拿到key

御剑一顿乱扫挖到后台登录地址卡住了，不知如何入手后来看到别人的解题思路，别人是直接下载了该网站的源码分析，参考链接：https://www.yuag.org/2016/08/23/phpecms1-3-cookies%E6%AC%BA%E9%AA%97%E6%BC%8F%E6%B4%9E%E8%BF%9B%E5%90%8E%E5%8F%B0/phpecms1.3/admi...

下载文件因为sql注入肯定涉及到password字段所以直接搜索http协议与字符“password”一个一个试，很快找到地址为103.45.52.159

有题目可知，不断的ping服务器而ping是要基于icmp作为信息的传递的所以直接过滤icmp找到地址203.39.8.77

打开环境，根据题目提示上网搜索emlog博客的后台地址，一般为/admin但是访问失败，应该是改过路径了用御剑扫描后台（坑点），只扫出以下地址分别访问这些地址都没有后台的，后来看别人的解题思路才发现别人一扫就出来了（换了很多个版本，珍藏版，目录优化版，加强字典版.....均扫不出，一把泪）这里参考https://blog.csdn.net/weixin_43884770...

打开网站，二话不说wwwscan一顿乱扫发现类似后台登陆地址，/dede/login.php不得不说wwwscan比御剑扫出来的东西多.....虽然也不是说御剑差，做了好几题御剑扫不出出来的后台地址，wwwscan一下就扫出来了上网搜索DedeCms后台登录地址漏洞参考链接：https://www.jianshu.com/p/c864af9eb500目前后台发现的漏...

前言 刷了好几道Struts2远程代码执行漏洞，发觉虽然触发不同，但是本质道理一样。所以整合一下目前刷过的Struts2系列漏洞。以后刷了新的再补充。ongl 表达式 Struts2 命令执行的原因都是是通过 Ognl 表达式执行 java 代码，最终实现命令执行。所以应该需要先了解 ognl 表达式 。此处引用http://www.zerokeeper.com/...

进入环境之后，二话不说用wwwscan对着靶机一段乱扫真的又出来了喔！！虽然时间有点久（御剑又扫不出来.....）后台地址/manager/login.php，登录之后因为第七题的用户有admin，所以账号猜测为admin根据题目要求，尝试了admin，root等弱密码无果因为验证码会刷新，用brup爆破无果后来看了一篇writeup：https://www.j...

下载文件后，发现img文件用ftk打开当点到root目录时，发现了一个mysql_history历史操作文件找到操作语句：update users.users set pw ='55fb7f853995f' where id=423;...

字符型，其实与数字型得注入思路没什么区别，只不过需要注意构造单引号和后面加注释就行了id=tingjigonggao' order by 1-- 测试 字段个数，发现有4个试过盲猜表，admin，manger，失败老老实实暴库，先测回显位置 id=tingjigongga' union select '1','2','3','4' --/new_l...

下载文件之后，发现是镜像文件这次略微不同，需要挂载这个镜像文件才可以挂载出来的盘符出来了寻找history.ies 的 index.dat直接用记事本打开index.datip地址一般是1字开头，直接寻找找到参考链接;https://www.cnblogs.com/17bdw/p/9094659.html...

用ftk挂载镜像找到SAM文件，因为几乎所有window的用户创建都会在这个文件里将SAM文件拷贝到kali里，用chntpw 工具来爆破具体参考链接：https://ywnz.com/linuxjc/90.html爆出用户名，一个个试就行了...

原理 因为当想构造单引号 ‘ 的时候，被转义成 \' ，无法构造sql查询语句。解决核心思想 当数据库编码为GBK的时候，在构造的单引号前加上%df，因为反斜杠的编码为%5c，%df%5c可以构造成一个繁体字"逮"，单引号可以成功逃逸。/new_list.php?id=1%df%27，单引号成功逃逸/new_list.php?id=1%df' order by ...

登录进去之后,发现余额为1，但是买两本书需要20元。用bp抓包修改金额数据成功

安卓手机wifi密码一般放在WPA_SUPPLICANT.CONF中下载文件的目录如下直接搜索 文件打开文件，拿到wifi密码在这里说明一下参数的意思：ssid为wifi的名字，psk为wifi的密码，key_mgmt 为密钥加密的类型。...

/new_list.asp?id=2 and 1=2 ,返回页面没报错/new_list.asp?id=2 order by 1 ,测试有多少个字段，知道order by 4还有页面回显这里有个坑，一开始走正常的流程测回显位置 /new_list.asp?id=2 and 1=2 union select 1,2,3,4 ，用 union select 连...

F12下载图片，用记事本方式打开图片，发现里面隐藏了一个地址访问地址，获取key

一开始使用order by，union select ,and 字段，发现返回并没有变化。推测这些字段是已经过滤掉了后来，上网查询后发现 ，不但这些字段过滤，还有空格和‘=’也被过滤掉了所以‘=’可以用Like 替代，空格用/**/，url 要编码转义在这里有个坑，花了我不少时间一般url都是用在线url解码,例如：https://tool.chinaz.com/tool...

上网搜索，陌陌的文件夹名叫immomo看见users文件夹,这里都是用户id，试第一个就成功了

点击访问用bp修改请求头部User-Agent:Mozilla/5.0 (iPad; U; CPU OS 4_3_3 like Mac OS X; en-us) AppleWebKit/533.17.9 (KHTML, like Gecko) Version/5.0.2 Mobile/8J2 Safari/6533.18.5修改Accept-Language为 en-US...

order by 1 ,有回显，存在注入点new_list.asp?id=1 and exists(select * from admin)测试是否存在admin，纯靠猜......存在admin表，接下来测回显位置 /new_list.asp?id=1 union select 1,2,3,4 from admin接下来猜字段值，and exists ...

打开页面选择‘错误’，然后f12看网络中的响应报头

/new_list.php?id=1 and 1=1，判断id的类型值是数字类型/new_list.php?id=1 order by 4，测出数据库有4个字段，第5个不回显测出页面回显位置 2和3/new_list.php?id=1 and 1=2 union select 1,2,3,4爆库/new_list.php?id=1 and 1=2 uni...

先猜后台，/admin然后bp抓包，根据自己推测的用户名密码字典进行爆破

右键点开查看源代码，发现注释<!--<a href="index.php?url=#">I</a>-->index.php?url=#跳转的是登录页面，登录信息是提交到login.php中的，只要直接访问index.php?url=login.php就可以登录了...

在这里，当提交留言的时候，删除，左下角会出现id测试注入 ,尝试order by ，失败测试and，页面正常回显试着用报错注入，and (updatexml(1,concat(0x7e,(select database()),0x7e),1))发现有注入点，数据库是pikaqiu，在这里提醒大家不要用id=61~65进行注入，构造一个不存在的最好（如博主用的是...

用order by测试字段数字段为4测试回显位置 /new_list.php?id=1 and 1=2 union select '1','2','3','4'暴库 /new_list.php?id=1 and 1=2 union select '1',(select current_database()),'3','4'爆表 ，这里有两种方法...

下载文件之后，搜索immomo文件找到users文件，找到用户id找到large目录下的图片文件