qq_41513009的博客

如果遇到pip安装后使用不了的各种问题（例如AttributeError: module ‘pwnlib’ has no attribute “int" 等等），尝试不使用jupyterbook，可能就可以解决。虽然说的不是这个问题，但是我尝试直接不使用jupyter notebook，发现竟然可以用了。这个问题困扰了我很久，直到看到这个issue。

文件包含漏洞的产生原因是通过php的函数引入文件时，由于传入的文件名没有经过合理的校验，从而操作了预想之外的文件，就可能导致意外的文件泄露（file://）甚至恶意的代码注入（php://input）通过天眼的告警详情中的url和响应体可以判断文件包含漏洞，比如url中是否存在目录遍历…/以及响应体中是否泄露了敏感的文件，查看天眼->分析中心->日志检索，uri:(‘…可能需要说的是文件上传的检测手段（根据哪些特征检测）以及对应的绕过方法。（2）web服务器的文件被用户浏览导致信息泄露。

没办法，大海捞针，测试一下这个CVE：CVE-2020-1472（https://github.com/SecuraBV/CVE-2020-1472）然后利用工具：https://github.com/shack2/javaserializetools/releases，尝试利用这个漏洞：https://github.com/dirkjanm/CVE-2020-1472，成功置空DC密码。存在cve-2016-0638，存在cve-2017-10271，存在cve-2017-3506等。

之前扫描到的子域名store.hat-valley.htb需要凭证登录，观察到网站使用了nginx，现在通过bean用户在目录中找到/etc/nginx/conf.d/.htpasswd，得到用户名为admin，又由于用户中只有bean是admin权限，因此尝试使用bean的密码登录。除此之外发现一些api路由，包括/api/all-leave, /api/submit-leave, /api/login, /api/staff-details, and /api/store-status.

漏洞的成因是 Starlette 错误地把分号当成参数的分割符，分号后面的字符串将被当成query_params.keys()，因此如果参数设置成view?/会被当成query_params.keys()拼接到filename之前，最终代码中的path就会变成。这里涉及到CVE-2021-23336:https://github.com/encode/starlette/issues/1325。但是这只是一个假的flag，我们需要使用burp爆破目录读取文件，发现在/proc/1/environ中。

打开README.md发现这是一个Laminas项目，依照官方教程：https://docs.laminas.dev/tutorials/，找到新创建的应用为./module/Album，其中配置文件为./module/Album/config/module.config.php，包含路由映射和控制器等信息。控制器文件为./module/Album/src/Controller/AlbumController.php。将shell.phar重命名为test.jpg并上传，得到保存的文件路径。

二次反序列化的目的是为了将一个受限的反序列化转换为一个不受限的反序列化。如果Java中有一个类的方法可以自己实现反序列化那么就能满足了我们的需求，而java.security.SignedObject#getObject()可以很好的满足我们的需求。这里就可以调用HashMap#put–HashMap#hash()–key.hashCode() 再往下就是我们熟悉的利用链了，而ROME中的EqualsBean类中重写了hashCode()方法,里面会调用EqualsBean#beanHashCode()

从上面的签名过程我们可以看到最关键的地方就在于随机数k，对于一个固定的椭圆曲线，一个确定的k就意味着一个确定的r，所以如果有两个相同的私钥签署的签名出现了相同的r就代表着在生成随机数时取到了相同的k，看到这里想必你也明白了我们题目的交易签名的问题出在哪了，这两笔交易的r值相同，代表在它们签名时使用的随机数k是相同的，而这就是我们恢复私钥的关键。PubkeyScript是一张记录了交易记录的指令列表，它控制了下一名使用者如何解锁已接收的比特币并传送。，接下来就是签名的过程，要签名的消息为。

某个三层壳保护的FormBook样本提取

BUU Crypto[45-48]

BUU Misc[41-44]

BUU Crypto[41-44]

BUU Misc[33-40]

BUU Misc[1-32]

CTF MISC halfface重新打开文件，发现hint.txt：查一下OTk5OQ，发现是base64编码，解码得到9999999999符合密码的格式解密y.zip得到：base64解码（要用urlsafe)，写入图片，得到：用zsteg查看隐写信息，发现xml元数据用tweakpng打开发现看到这个括号就明显是flag了，使用exiftool查看

BUU Crypto[37-40]

L3HSEC秋季赛部分wp

BUU Crypto[33-36]

一些APT软件