自从今年强网杯出了一道协议分析的题目之后,最近的比赛协议逆向题也是层出不穷,这些题有的是自己实现的协议,有些是改编自已有的协议,编程也涉及到go、rust等语言,分析这类题目对逆向水平的要求比较高,我们从一道CTF逆向题入手来探索协议分析类逆向题的基本思路和技巧。
文章主要记录了fs.readFileSync的一些比较特别的利用方法
volatility yyds!
最近总结了一下 Django 框架曾经出现的 SQL 注入漏洞,总共有七个 CVE ,分别都简单分析复现并写了文章,总体来说会觉得比较有意思,在这里分享一下。本篇文章是下篇。
就最近的NewStarCTF中的第三周和第四周的WEB题目进行详细分析,进行不同知识点的学习。
本文是一个Blockchain的简单入门教学,通过最近的NewStarCTF中的三道区块链题目进行详细讲解分析。
本文分析laravel5.4反序列化
本文分析laravel5.1的反序列化链子
利用AFL对jsoncpp库进行编译测试,并尝试采用自构造字典、多核并行测试,持久模式等多种特色,利用了四个核进行并行测试,共计完成测试1亿余次。运行总时间约24小时,每个进程fuzzer的轮数约为平均90轮。Totalpath约为3000左右。map density约为2% / 4%。count coverage约为5bits/tuple。 Cpu的利用率约为150%,平均每个进程发现20个unique crash。
通过juniper防火墙系统junos模拟复现已知CVE并进行漏洞检测与挖掘,利用自动漏扫工具与人工分析发现一处1day漏洞,实现权限提升与登录认证
2022年中国工业互联网安全大赛北京市选拔赛暨全国线上预选赛-Writeup
对于2022美团ctf决赛中的一个mako框架的反序列化漏洞分析,使用的是wsl2+phpstorm+xdebug的环境进行调试分析
ByteCTF2022-Writeup
最近总结了一下 Django 框架曾经出现的 SQL 注入漏洞,总共有七个 CVE ,分别都简单分析复现并写了文章,总体来说会觉得比较有意思,在这里分享一下。
Thymeleaf是SpringBoot中的一个模版引擎,简单来说就类似于Python中的Jinja2,负责渲染前端页面。当使用不当的时候就会导致SSTI漏洞。
经过初赛与半决之后我们来到了蓝帽的决赛, 今年的蓝帽杯决赛采用了AWDP的方式, 这次比赛我们很幸运的获得了前十的名次, 在这里与师傅们分享一下我们此次比赛的WP
快来学习如何解决phar的压缩包的脏数据添加问题, 看完这篇文章之后对phar的waf检测和脏数据的问题再也不用挠头了
美团CTF2022-Writeup
为了提升应用的安全性,JFinal 较新的版本默认不能对 .jsp 文件直接进行访问,也就是在浏览器地址栏中无法输入 .jsp 文件名去访问 jsp 文件,但是可以通过 renderJsp(xxx.jsp) 来访问 jsp 文件。但是实际上在某些场景下可以进行Bypass。