2021 羊城杯网络安全大赛 WEB WriteUp
[toc]
Checkin_Go跟这个题挺像的：[WMCTF2020]GOGOGO
随便登录即可：
其中有两个功能，一个是 buyFlag，但是 flag 的价格是 200000，而我们当前的余额为 0，所以我们无法购买。第二个是 addPrice 但是必须是管理员 admin 才可以。
题目给出了源码：
main.go
123456789101112131415161718192021222324252627282930package mainimport ( "github.com/gin-contrib/sessions" "github.com/gin-contrib/sessions/cookie" "github.com/gin-gonic/gin")func main() { gin.SetMode(gin.ReleaseMode) r := gin.Default() storage := cookie.NewStore(randomChar(16)) // 初始化 session r ...
2021 第二届 “祥云杯” 网络安全大赛 WEB WriteUp
[toc]
WEBezyii
题目内容：yii最新版里有一个很巧妙的链子，我已经从999999个文件里，拿出了部分，不会还找不到吧？
题目给了源码：
index.php
123456789101112<?phpinclude("closure/autoload.php");function myloader($class){ require_once './class/' . (str_replace('\\', '/', $class) . '.php');}spl_autoload_register("myloader"); error_reporting(0);if($_POST['data']){ unserialize(base64_decode($_POST['data']));}else{ echo "<h1>某ii最 ...
BSides Noida CTF 2021 Web WriteUp
[toc]
Baby Web
进入题目可以查看当前比赛的所有题目：
Enter the challenge to view all the topics of the current competition:
题目直接给了 docker：
The challenge gave us docker:
index.php
123456789101112131415161718192021222324252627282930<?phpini_set('display_errors', 1);ini_set('display_startup_errors', 1);error_reporting(E_ALL);class MyDB extends SQLite3 { function __construct() { $this->open('./karma.db'); }}$db = new MyDB();if (!$db) { ...
内网渗透测试：利用 RDP 协议搭建 Socks5 代理隧道
[toc]
前言如今，在很多组织机构内部，针对 DMZ 或隔离网络区域内的计算机设备，为了限制其它接入端口风险，通常只允许这些设备开启 3389 端口，使用远程桌面来进行管理维护。那么我们能不能利用这个 3389 端口的 RDP 服务建立起一条通向内网的代理隧道呢？当然可以，下面就引出我们今天的主角 —— SocksOverRDP。
SocksOverRDP
项目地址：https://github.com/nccgroup/SocksOverRDP
SocksOverRDP 可以将 SOCKS 代理的功能添加到远程桌面服务，它使用动态虚拟通道，使我们能够通过开放的 RDP 连接进行通信，而无需在防火墙上打开新的套接字、连接或端口。此工具在 RDP 协议的基础上实现了 SOCKS 代理功能，就像 SSH 的 -D 参数一样，在建立远程连接后，即可利用 RDP 协议实现代理功能。
该工具可以分为两个部分：
第一部分是一个 .dll 文件，需要在 RDP 连接的客户端上进行注册，并在每次运行时将其加载到远程桌面客户端 mstsc 的上下文运行环境中。
第二部分是一个 .exe 可执行 ...
内网渗透测试：基于文件传输的 RDP 反向攻击
[toc]
前言通常认为远程桌面协议是连接远程计算机的安全且值得信赖的应用程序，全球数以千计的 IT 专业人员和安全研究人员都在使用远程桌面协议管理者自己的计算机设备，无论是用于帮助远程工作人员还是在安全的 VM 环境中工作，RDP 远程桌面客户端都是非常宝贵的工具。然而，这一值得信赖的应用程序并不是完全可靠的，在我的《内网渗透测试：初探远程桌面的安全问题》这篇文章中，我大致罗列出了常见的用于攻击 RDP 远程桌面的方式。本节我们就一个问题进行探讨，即如何通过远程桌面服务端反打连接他的客户端。
如今，在很多组织机构内部，针对 DMZ 或隔离网络区域内的计算机设备，为了限制其它接入端口风险，通常只允许这些设备开启 3389 端口，使用远程桌面来进行管理维护，这样，所有正向攻击手段都无法使用。那这样真的就万无一失了吗？当然不是。本节我们就来研究如何通过 RDP 反向攻击的方式针对这种受限网络设备完成渗透测试。
RDP 反向攻击的姿势有不少，本节我们主要针对最简单的一个姿势来进行进行讲解，即通过挂载盘符进行 RDP 反向攻击。其基本原理就是Windows 远程桌面客户端 mstsc 有一个 ...
内网渗透测试：获取远程桌面连接记录与 RDP 凭据
[toc]
前言Windows 远程桌面是用于管理 Windows 服务器的最广泛使用的工具之一。管理员喜欢使用远程桌面，攻击者也喜欢使用（狗头）。在之前的文章中我们已经介绍了很多攻击远程桌面的方法，本篇文章我们继续来探究。
在渗透测试中，RDP 远程桌面连接的历史记录不可忽视，根据历史连接记录我们往往能够定位出关键的服务器。并且，当我们发现了某台主机上存在远程桌面的连接记录，我们还可以想办法获取其远程桌面登录历史的连接凭据。用于登录 RDP 远程桌面会话的凭据通常具有特权，这使它们成为红队操作期间的完美目标。
获取 RDP 远程桌面连接记录获取 RDP 远程桌面的连接记录我们可以通过枚举注册表完成，但是如果想要获得所有用户的历史记录，需要逐个获得用户的 NTUSER.DAT 文件，通过注册表加载配置单元，导入用户配置信息，再进行枚举才能够实现。
导出当前用户的历史记录可以通过枚举以下注册表键值查看当前用户的历史记录：
1HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers
如下图所示，每个注册表项保存 ...
CamOver：一款功能强大的摄像头漏洞利用工具
声明：文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途以及盈利等目的，否则后果自行承担！
关于 CamOver
项目地址：https://github.com/EntySec/CamOver
CamOver 是一款功能强大的摄像头漏洞利用工具，在该工具的帮助下，广大研究人员可以轻松破解掉你家网络摄像头的管理员密码，并接管你的摄像头。
功能特性
该工具能够发现并利用大多数主流型号网络摄像头中的安全漏洞，例如 CCTV、GoAhead 和 Netwave 等。
经过优化，支持多线程同时攻击多个摄像头。
简单的命令行接口和 API 用法。
工具安装由于 CamOver 使用 Python3 开发，因此首先需要在本地设备上安装并配置好 Python3 环境。接下来，广大研究人员可以使用下列命令下载并安装 CamOver：
1pip3 install git+https://github.com/EntySec/CamOver
基础使用CamOver 的使用非常简单，我们只需要在命令行终端中输入 camover 命令即可使用 CamOver：
123 ...
Nodejs Squirrelly 模板引擎 RCE（CVE-2021-32819）漏洞分析
[toc]
漏洞概述Squirrelly 是一个用 JavaScript 实现的现代、可配置且速度极快的模板引擎。它与 ExpressJS 一起开箱即用，完整版的 gzip 压缩后仅重约 4KB。
2021 年 5 月 14 日，在 SquirrellyJS 从 v8.0.0 到 v8.0.8 及以上的版本爆出了一个漏洞（CVE-2021-32819）。官方对该漏洞原因的描述如下：
The Express render API was designed to only pass in template data. By allowing template engine configuration options to be passed through the Express render API directly, downstream users of an Express template engine may inadvertently introduce insecure behavior into their applications with impacts rang ...
2021 巅峰极客网络安全技能挑战赛 Web WriteUp
[toc]
前言这场比赛的 Web 全是 Python，PHP 已经不配登不上 CTF 的舞台了吗？
ezjs进入题目是一个登录页：
随便输入用户名密码即可登录：
点击提交处抓包，发现可以读取文件：
将源码依次读取出来：
12/admin?newimg=../../../../../app/app.js/admin?newimg=../../../../../app/routes/index.js
app.js
12345678910111213141516171819202122232425262728293031323334353637383940414243444546474849505152535455var createError = require('http-errors');var express = require('express');var path = require('path');var cookieParser = require('cookie-parser'); ...
Nosql 注入从零到一
[toc]
什么是 NosqlNoSQL 即 Not Only SQL，意即 “不仅仅是SQL”。在现代的计算系统上每天网络上都会产生庞大的数据量。这些数据有很大一部分是由关系数据库管理系统（RDBMS）来处理。 通过应用实践证明，关系模型是非常适合于客户服务器编程，远远超出预期的利益，今天它是结构化数据存储在网络和商务应用的主导技术。
NoSQL 是一项全新的数据库革命性运动，早期就有人提出，发展至 2009 年趋势越发高涨。NoSQL的拥护者们提倡运用非关系型的数据存储，相对于铺天盖地的关系型数据库运用，这一概念无疑是一种全新的思维的注入。
什么是 MongoDBMongoDB 是当前最流行的 NoSQL 数据库产品之一，由 C++ 语言编写，是一个基于分布式文件存储的数据库。旨在为 WEB 应用提供可扩展的高性能数据存储解决方案。MongoDB 是一个介于关系数据库和非关系数据库之间的产品，是非关系数据库当中功能最丰富，最像关系数据库的。
MongoDB 将数据存储为一个文档，数据结构由键值（key=>value）对组成。MongoDB 文档类似于 JSON 对象。字段值 ...