2021祥云杯Web全解

2021祥云杯Web全解 前段时间和队友@Firebasky一起AK了祥云杯的Web题目,感觉这次比赛Web题质量还不错 自己做了Node.Js、Typescript和一个PHP,下面是全部的WP Crawler_z给了附件 routes/index.js没啥好说的,sighin和sighup功能,然后看到登陆后的/user路由,写在了routes/user.js 这里能更新个人信息 ...
CTF

大赛上的Java题复现

大赛上的Java 题复现 之前没学Java,都是把遇到的Java题直接放掉,现在回头来看看 先把BUU上的Java CTF复现完 网鼎杯2020青龙组 filejava考点:文件读取、Excel-XXE 打开发现一个UploadServlet 上传后返回链接/DownloadServlet?filename=3b439bcb-1a40-4617-8b8f-f473968d7d17_1.tx...
CTF

深入学习RMI反序列化

深入学习RMI反序列化RPCRPC(Remote pricedure call),即远程过程调用 它是一个计算机协议,允许一台服务器的程序调用另一台服务器的子程序,它使得程序员在进行远程调用时就像调用本地函数一样,无需关注具体交互细节。 RPC的速度优于HTTP(二进制传输),但它的通用性不如HTTP,故RPC适用于内部服务间通信,HTTP适用于客户端与服务器之间的通信 应用RPC多用于大型...
WEB

AntCTF&D^3CTF 2021 WEB WP

AntCTF&D^3CTF 2021 WEB WP 不愧是蚂蚁SRC和三电联合主办的CTF,质量很顶(太菜了,被虐de太惨了 Pool Calc考点 简单Node.Js代码审计、简单的反编译、Python Pickle反序列化、PHP Swoole反序列化RCE、JavaRMI反序列化 这是一道需要拿到主机(Node服务)和三个docker flag的合成题,有点可惜,本来做到深...
CTF

Java安全相关基础知识总结

Java安全相关基础知识总结JVM运行机制 java作为当今最热门的语言之一,具有一次编译 随处运行的特点。而Java拥有的有这种跨平台特性离不开Java特有的JVM JVM,全称Java virtual machine,即Java虚拟机,它是模拟出的一个虚拟计算机,用于解析Java程序编译产生的class文件,而JVM针对每个操作系统都有其对应的解释器,故Java能够做到一次编译 随处运...
WEB

Apache-Commons-Collections3.1反序列化分析

Apache-Commons-Collections3.1反序列化漏洞分析 Apache Commons是Apache一个开源的通用项目 Commons的目的是提供可重用的、开源的Java代码 Commons由三部分组成:Proper(一些已发布的项目)、Sandbox(一些正在开发的项目)和Dormant(一些刚启动或者已经停止维护的项目) 环境搭建在IDEA新建Maven项目 1Fil...
WEB

JAVA反序列化

JAVA反序列化序列化与反序列化什么是序列化与反序列化 Java序列化是指把Java对象转换为字节序列的过程便于保存在内存、文件、数据库中,而Java反序列化则就是把字节序列恢复为Java 对象的过程 序列化与反序列化的用处 Java反序列化与反序列化可以使Java对象脱离运行环境,有效的实现多平台之间的通信、对象持久化存储。 如RMI(远程调用Remote Method Invocatio...
WEB