前言昨晚微博刷着刷着看到一个无条件的ThinkPHP5.x通杀前台getshell，然后群里面师傅们也都在讨论这件事了。感觉是个TP5写的站都是通杀，怕是一场腥风血雨。。。
官方给出的补丁，可以看到是路由上面出的问题，怪不得通杀。
漏洞分析分析版本 ThinkPHP 5.1.30
路由调用先从thinkphp/library/think/route/dispatch/Url.php:20看起
123456public function init(){ // 解析默认的URL规则 $result = $this->parseUrl($this->disp...
前言p神真是相当用心了，弄了个知识星球两周年的活动，有一堆题目质量极高的题。大家感兴趣的可以一起来做下
https://code-breaking.com
比较菜的我就只能学习了。有很多新奇的点，题目确实都很有意思，最后，广告还是要的，欢迎一起加入【代码审计知识星球】
p神对这几个题目知识点的描述
function PHP函数利用技巧
pcrewaf PHP正则特性
phpmagic PHP写文件技巧
phplimit PHP代码执行限制绕过
nodechr Javascript字符串特性
javacon SPEL表达式沙盒绕过
lumenserial 反序列化在7.2下的利用
pic...
前言题目很给力，能学到很多，而且做起来没有什么弯弯绕绕的东西，一般都直接给了代码
但就是代码都给了，然后无从下手，第一天对着代码发呆了一天，打自闭了。。。
赛后疯狂学习一波。
bestphp’s revenge代码量不多，直接贴上来
123456789101112<?phphighlight_file(__FILE__);$b = 'implode';call_user_func($_GET[f],$_POST);session_start();if(isset($_GET[name])){ $_SESSION[name] = $_GET[name];}v...
前言去年参加hctf的时候还是个小萌新，正好这个周末没什么事情参加了一下htcf的十周年纪念版，题目质量很高哈
和队友一起有幸做出了几道web题，记录并学习一下。（web狗只会做web。。。
Warmup签到题，题目比较简单
html源码里能看到source.php的提示，从而可以获取到源码
123456789101112131415161718192021222324252627282930313233343536373839404142434445464748<?php class emmm { public static function ...
前言前段时间试着挖了一段时间的src，在挖掘过程中由于相当多的站是使用weblogic搭建的，手工测测得有点疲惫了，网上也没找到比较好的工具。于是花了两三天的时间写了一个。感觉效果还行？
前期检测的功能不是特别多，但是比起手工已经省了不少的力气了。后期尽量会继续加些功能的。
github地址：https://github.com/kingkaki/weblogic-scan
weblogic-scanweblogic 漏洞扫描工具妄想试图weblogic一把梭目前检测的功能
console 页面探测 & 弱口令扫描
uuid页面的SSRF
CVE-2017-10271 w...
前言唯一的一道web题，周末有事去啦就没做上，赛后复盘了一下。
有两个之前没学过的知识点，CSS injection和Ghost命令执行（暑假出来的时候太懒就没复现T_T
这篇writeup想以另外一种形式来写，会更注重下这两个漏洞的原理和利用。
ghostkingdom主要功能题目开始是个简单的注册登录，登录的时候仔细观察可以发现登录的账号密码是通过GET方式传输的（稍后会有用
进去之后有三个主要的功能点
给管理员发送消息（测试xss似乎不管用
截屏
上传图像（只有本地登录的用户才可以开启这个功能
一番测试之后，可以发现发送消息的url有一些端倪
1http://ghostkin...
前言膜orange，质量相当高的题目。
整理思路题目相当简单，就一句话
1($_=@$_GET['orange']) && @substr(file($_)[0],0,6) === '@<?php' ? include($_) : highlight_file(__FILE__);
可以看到需要一个文件以@<?php开头的文件，然后就可以进行文件包含。
环境以及配置都是默认的Ubuntu18.04+Apache2+PHP7.2
不考虑0day的情况下。这里文件名是可以完全控制的，就需要想到各种协议流以及php的伪协议。
这样，或许可以利用伪协议的方式来控制文件...
前言说是漏洞，更恰当一点应该是安全隐患吧，由于是框架洞，总要结合一些开发人员不够专业的代码才能产生漏洞。
这个聚合查询的漏洞主要影响的版本有
Thinkphp5 < 5.1.25
Thinkphp3 < 3.2.4
影响的函数涉及到所有的聚合查询函数
而且，有一点就是，可以看到在TP5中涉及到SQL查询的地方，几乎都用了预编译
而且由于PDO::ATTR_EMULATE_PREPARES设置的原因，导致模拟预处理关闭，从而在预编译阶段无法从数据库中获取数据，从而报错退出。从之前爆出的几个TP5漏洞中就能看到，这样一个很大的弊端就是即使注入存在，也无法从数据库中获取到数据...
前言Metinfo算是我审的第一个cms吧，前期感觉算是一个写的不怎么好的cms，伪全局变量的问题更是不知道引发了多少次漏洞。还记得那些网上的审计教程，说到变量覆盖这个问题都是以metinfo来举例的。但后期逐渐来了次mvc的大换血，框架更新了下，变量问题也得到了相应调整，也算是逐渐在变好吧。
说了那么多，由于是第一个接触的cms问题，最近被爆出洞也就跟着一起复现了下（我好菜啊。。反正我就挖不到
SQL注入1漏洞出现在app/system/message/web/message.class.php:37的add函数中
123456789public function add($info)...
前言几个简单复现了下的漏洞类型，但是又我之前没学过的。
总是喜欢记录一下，但是又不想分开三篇来记录，就合到了一篇里面。
phar反序列化前段时间black hat会议上新提出的一种攻击手法（但orange师傅2017年就用这个在hitcon出过题）
主要是利用phar://协议在解析数据的时候，会触发一次unserialize，从而产生反序列化
phar文件格式文件格式里有那么几个比较重要的参数
stub为一个phar的标志，格式为
1xxx<?php xxx; __HALT_COMPILER();?>
后面必须以__HALT_COMPILER();?>结尾，否则无法识...
