![](https://img-blog.csdnimg.cn/20201014180756927.png?x-oss-process=image/resize,m_fixed,h_64,w_64)
编码加密
文章平均质量分 68
编码加密
bfengj
vegetable web dog
展开
-
[CISCN2019 华东南赛区]Double Secret
前言没做出来,不难的题目,还是思维挺局限的。WP首先进入环境,Welcome To Find Secret。访问secret,会显示:Tell me your secret.I will encrypt it so others can’t see传一下secret参数,发现会有新的回显,就像是被加密了一样:接下来就很重要了,多输点东西,会让它报错:我也是第一次知道这个报错的页面会有源码泄露:逻辑就是对传入的secret进行RC4加密,然后模板渲染。这是flask的模板,而且用了原创 2021-03-06 13:06:26 · 919 阅读 · 0 评论 -
关于php://filter在file_put_contents中的利用
前言今天遇到了一道PHP文件包含的题目:<?php$filename=$_GET['filename'];$content=$_POST['content'];file_put_contents($filename,'<?php exit();'.$content);highlight_file(__FILE__);是一道比较老的题目了,但是里面的知识点和利用的姿势还是非常值得学习的。我花了点时间学习了很多大师傅们的文章,把学习得到的姿势记录下来。当然还有如下的变形:<原创 2021-01-24 21:53:50 · 1227 阅读 · 1 评论 -
[HarekazeCTF2019]encode_and_encode
知识点json_decode解析字符串的时候编码转换绕wafWP这题盯着源码看了大概1个多小时愣是没看出什么门道,主要还是做题的时候有点困精力不集中,睡了一觉再看这题直接就秒了,用的是今年西湖论剑easyjson的姿势,果然还是要多睡觉!!!首先进入环境,点一下源码直接审:<?phperror_reporting(0);if (isset($_GET['source'])) { show_source(__FILE__); exit();}function i原创 2020-12-26 20:32:01 · 289 阅读 · 1 评论 -
[ASIS 2019]Unicorn shop 1
知识点unicode和uft-8WP进入后就是购买东西的页面,f12看源码可以看到一些提示,我光注意提示了,没注意提示的前面的东西,比如这个:就没有注意到uft-8这个东西。根据题目的提示,这题应该和unicode有关,自己也大致猜到了应该是要找一个unicode的字符可以表示数字,而且数值大到足够买东西。但是我试第一个的发现购买不了,前三个都是这样。然后我就以为我的思路出了问题,是不是要注意其他的东西。然后就卡住了。。。还是太菜了。看了一下WP,学到了很多东西。原来第四个和前三个不一样,原创 2020-11-17 22:05:12 · 1241 阅读 · 1 评论 -
[HCTF 2018]admin 1
前言这题的三种方法都是姿势盲区。。。。第三种方法只给个介绍。。因为好像复现的话不能成功,但是学习学习这种方法的思想。姿势总结flask session伪造unicode欺骗条件竞争方法一:flask session伪造我做题目的时候一直以为这题应该是SQL注入。。。在登录那里被卡了好久。。最后发现屁用都没有。。首先!我们先注册一个再登录,在change password那里查看源码,可以看到有提示:但是我并没有看到。。。这题也深深的教会了我,虽然页面可能有点多,源码还是要好好看看。。原创 2020-10-20 20:56:42 · 6979 阅读 · 7 评论 -
“百度杯”CTF比赛 十月场 fuzzing
前言这题并没有什么特别难的地方,考察的点也不算很深,自己主要还是知识面太窄和思考问题太死板上面。WP首先进入环境,提示there is nothing。f12查看源码,用dirsearch扫,试试备份文件也找不到什么,只能Burp抓包看看,发现了相应头里有提示:hint: ip,Large internal network这和ip有关,自己一开始也以为是x-forwarded-for,试了127.0.0.1然后没什么用,然后就卡住了。其实这样还是自己知识面的问题,自己对于内网的了解实在太少了。这原创 2020-10-05 21:26:21 · 708 阅读 · 0 评论 -
2017第二届广东省强网杯线上赛 broken
WP进入环境后提示我们:Hi, a CTFer. You got a file, but it looks like being broken.我们点击file进去看看,发现居然是jsfuck。因为提示看起来损坏了,所以大概率放到工作台上运行不了。我们运行了一下,果然报错:这时候我们点击VM52:3来看一看:我们注意那个红色叉号的位置。我们发现第一个[可能没有对应的]。因此我们加上,再运行一下:发现弹出了flag is not here。这时候我们可能想到会有302跳转,但是经过抓包后发现原创 2020-09-10 09:26:37 · 433 阅读 · 0 评论 -
2017第二届广东省强网杯线上赛 who are you?
这是涉及编码、抓包和文件上传和preg_match的漏洞的一个题目。原创 2020-09-09 12:21:51 · 333 阅读 · 0 评论 -
CTF Web方向常见编码
主要讲解CTF Web方向中常见的rot13、Base64、ASCII、URL、JSFUCK等编码。原创 2020-09-09 10:53:05 · 1304 阅读 · 0 评论