2023-12-05
1.8k 字
6 分钟
fastjson反序列化解析过程调试
fastjson反序列化解析过程调试简单水一下fastjson反序列化解析过程的调试
介绍 fastjson是阿里巴巴开源的java中解析json的一个组件。其功能就是将json字符串与java对象进行相互转化。正如其名,解析j转化速度很快
但fastjson多个版本都爆出反序列化漏洞,因此当遇到json时,可以看是否用了fastjson,再测是否存在漏洞
当json中含有@type字段时,fastjson会将json解析为对应类的对象
本篇文章主要是fastjson在反序列化解析的调试
调式的代码环境:
jdk8
fastjson 1.2.24
导入(pom.
2023-10-03
2.8k 字
10 分钟
2023SHCTF之web的wp
[TOC]
2023 SHCTF web wp[week 1]说明:可能稍微啰嗦了亿点,面向新生,放心慢慢食用,
下面前言可跳过(纯多bb了一下)
前言首先说web的话是应用层,所以会基本看不到底层的东西(包括c语言/c++)。对于ctf的话,web这块的内容,熟悉HTTP协议(知道计算机质之间是如何传递数据的),html.javaScript(前端语言)是必须要会一点,然后入门级的PHP也要会(比java简单多了),然后就是Top10漏洞(其中还会涉及数据库mysql),也要知道一些常用的编码和加解密手段(Unicode、md5、base64),会这些后web也算入门了(看到这,要是我,已经
2023-09-12
1.1k 字
4 分钟
2023MoeCTF之web的wp
[2023 MoeCTF] WEB wp环境有问题,我开始还能用自己ip访问,后面突然不行了,这导致不能抓取本地的包,没关系照样做(^-^)
http签到题一
第一眼还没看懂,这应该满足他的条件即可拿到flag
1和2,分别get和post传参,
3.修改Cookie为character为admin
4.添加字段X-Forward-For: 127.0.0.1
5.修改User-Agent内容为MoeBrowser
Web入门指北签到题二
解密:
666c61673d6257396c5933526d6533637a62454e7662575666564739666257396c51
2023-08-28
2.3k 字
8 分钟
入门flask框架
入门Flask框架Flask是一个用Python语言编写的轻量级Web应用框架,它采用WSGI工具箱和Jinja2模板引擎,该框架使用简单的核心和扩展,没有默认的数据库和窗体验证工具,被称为“微框架”。
核心
WSGI工具箱采用Werkzeug(路由模块),模板引擎采用jinja2
特点
轻量级,只提供一些核心操作
相关知识框架:Web框架是一种用于开发Web应用的软件架构,它提供了一些通用的功能和组件,使得开发者可以更方便、高效、安全地构建Web应用。
模板引擎(Web开发的模板引擎)是为了使用户界面与业务数据(内容)分离而产生的,它可以生成特定格式的文档,用于网站的模板引擎就会生成一个标
2023-08-28
10.3k 字
43 分钟
初探python沙箱逃逸
初探python沙箱逃逸为了不让恶意用户执行任意的 Python 代码,就需要确保 Python 运行在沙箱中。沙箱经常会禁用一些敏感的函数和模块,例如 os
沙箱逃逸就是绕过某些函数,特殊字符串,或模块的限制,达到一个漏洞环境
基础知识命令执行函数与模块在 Python 中执行系统命令的方式有:
os:system,popen
commands:(仅限2.x)getstatusoutput,getoutput
subprocess: getstatusoutput,getoutput
timeit:timeit.sys、timeit.timeit("__import__('os').sys
2023-08-23
23k 字
99 分钟
sql注入漏洞总结
沙上有印,光中有
SQL注入总结基础知识系统函数
system_user()——系统用户名
user()——用户名
current_user()——当前用户名
session_user()——链接数据库的用户名
database()——数据库名
version()——数据库版本
@@datadir——数据库路径
@@basedir——数据库安装路径
@@version_conpile_os——操作系统
字符串连接函数
concat(str1,str2,…)——没有分隔符地连接字符串
concat_ws(separator,str1,str2,…)——含有分隔符地连接字符串
group_co
2023-07-19
49 字
1 分钟
Hello World
第一篇博客 不知道怎么看别人大佬的文章都是好看的博客,也非常系统,然后就想建个自己的博客。成功搭建博客系统。