XXE 基础汇总 什么是XMLXML即 可扩展标记语言(Extensible Markup Language),是一种标记语言,其标签没有预定义,您需要自行定义标签,是W3C的推荐标准。其于HTML的区别是: HTML 被设计用来显示数据 XML 被设计用来传输和存储数据 XML文档结构包括: XML声明 DTD文档类型定义(可选) 文档元素 典型的XML文档 1234567891011<!--XML 2020-02-13 Web #Web
Wust闲得蛋疼春节瞎欢乐赛_官方WriteUp Wust闲得蛋疼春节瞎欢乐赛 官方WriteUp前言因为疫情的原因,大家在家闲着(大家内心:并不)也是闲着,不如就搭建一个平台,找一些签到题来训练一下新人,至少让新人知道比赛的流程还有一些注意事项,一些基本的操作等,题目来源于各种开源代码,包括南邮的校赛和suctf的题目。 WebWeb签到题顾名思义,就是Web的签到题,但我没有想到比隔壁稍微复杂一点的签到题更少人解出来,有点出乎意料。以后这种就 2020-02-08 CTF #CTF #WriteUps
Android移动安全 2020年xman冬令营-哈尔滨营,以“移动安全”为主题,内容主要为移动应用安全渗透测试,移动应用程序逆向,移动恶意应用分析,Android内核漏洞分析,物联网Iot设备漏洞挖掘。概述、该文档仅作为学习笔记。 第一天梆梆安全张宁老师,以安卓逆向基础为主,内容从安卓系统架构与运行机制到安卓逆向常用工具与hook技术、以及安卓四大组件相关安全问题。 第二天腾讯玄武实验室m4bln老师,以安卓逆向为主 2020-01-23 移动安全 #CTF #Android
基于upload-labs的文件上传汇总 前端 js 校验1234567891011121314151617function checkFile() { var file = document.getElementsByName('upload_file')[0].value; if (file == null || file == "") { ale 2019-11-17 CTF #CTF #Web
png文件组成 png图片由3个以上的数据块组成。 PNG定义了两种类型的数据块,一种是称为关键数据块(critical chunk),这是标准的数据块,另一种叫做辅助数据块(ancillary chunks),这是可选的数据块。关键数据块定义了3个标准数据块(IHDR,IDAT, IEND),每个PNG文件都必须包含它们. 数据块结构 CRC(cyclic redundancy check)域中的值是对Chun 2019-11-14 CTF #CTF #Web
Web WriteUps for Jarvis OJ PORT51link: <http://web.jarvisoj.com:32770/> 打开链接看到: Please use port 51 to visit this site. 在本机或服务器上输入命令: 1curl --local-port 51 http://web.jarvisoj.com:32770 12curl 命令参数使用:-l, --local-port R 2019-10-28 CTF #CTF #WriteUps
Web WriteUps for SUCTF2019 SUCTF 2019CheckIn题目是一个文件上传的题目, 先随便上传一个马上去,发现显示: 猜测使用了 exif_imagetype() 函数,这样我们可以加文件头如 GIF89a 即可绕过。 然后再上传个图片马,一句话为 <?php @eval($_POST[hz]);?>,发现提示: 也就是过滤了 <?,我们换script马<script language= 2019-08-26 CTF #CTF #WriteUps
CTF中Web的docker环境以及dockerfile编写 Dockfile Docker builds images automatically by reading the instructions from a Dockerfile – a text file that contains all commands, in order, needed to build a given image. Dockerfile是一个包含用于组合映像的命令的文 2019-08-22 CTF #CTF #Web #Docker
Web In CTF Web In CTF常见套路 爆破,包括md5、爆破随机数、验证码识别等 绕WAF,包括花式绕Mysql、绕文件读取关键词检测之类拦截 花式玩弄几个PHP特性,包括弱类型,strpos和===,反序列化 destruct、\0截断 各种找源码技巧,包括git、svn、xxx.php.swp、*www*.(zip|tar.gz|rar|7z)、xxx.php.bak 文件上传,包括花式文件后缀 .p 2019-07-14 CTF #CTF #Web
远古的 blog 人生何处不窘迫 也许周星驰从来就不需要被人看懂。他只负责表达。 你看到什么,就是什么。 当你觉得自己看懂了周星驰,其实是通过周星驰的作品看懂了自己。 我一直在找一个词,来概括周星驰大多数作品里的主角的共性,现在找到一个:窘迫。 什么是窘迫? 能力追不上梦想, 脚步跟不上灵魂, 计划赶不上变化。 具体一点: 要钱,钱没有。 谈情,情失意。 先说钱。 其实当一个人穷惯了之 1970-01-01