因为一道CTF而与GraphQL的邂逅

周末在ctftime上做题,碰到了一个有关GraphQL的题目,第一次见。当时尝试google了一下,基本都是文档一类,挺枯燥的,百度了一下更少啥也没找着。现在想着研究研究,不过没法花太多时间在上面,可能深度不够,大不了当笔记看吧。

先大概描述一下题目:

一进网页,注册用户并登陆,就来到了一个商店。用户账户金额默认100开局,有三样物品,价格分别30,60,110。买下110的那个商品就可以拿到flag。

继续阅读“因为一道CTF而与GraphQL的邂逅”

pwn初探-strcpy引发的ret地址覆盖

前几天看到一个小题目:

Goal: to print a lot coupons!

• you can only launch the target once, of course

• Think about how to manipulate address to cause this to go into a loop, without adding a loop.

继续阅读“pwn初探-strcpy引发的ret地址覆盖”

针对REST API的Web应用防火墙

前言

个人毕业设计,挺水的。本来想好好弄,把防火墙和机器学习综合一下,结果学校突然通知提前一个月验收,只好匆匆完成,不过最后答辩老师的评价还挺不错,大概是没有细看吧。总之是让大家见笑了。

核心思路

Nginx + ModSecurity + OWASP Core Rule Set + APP Specific Profiles

防火墙引擎采用ModSecurity模块,搭配OWASP Core Rule Set和基于OWASP AppSensor DetectionPoints自行编写的APP Specific Profiles。该防火墙基于Nginx反向代理技术。

继续阅读“针对REST API的Web应用防火墙”

来自毕业季的闲扯

最近越来越迷茫了,虽然东西弄了不少,但是却没啥干货用来发博客。

每次自己动手写个小东西或者研究个问题,动手之前都想着弄完了发博客,可是每次弄完之后都觉得这么简单的东西发博客很没品,一则浪费我的时间,毕竟东西弄懂了,会者不难,觉得简单了也就没必要发博客了,再则也不想浪费各位同学的时间,万一别人点进来耐着性子看完了,结果发现写了一堆废话,那就不好了。

不过话虽如此,博客还是得继续弄下去。没法像各位大佬的博客里面那样动不动就是一个0day直接打穿一个CMS,或者把xx东西给逆向了拿来分析,不过写点东西给自己看吧,如果能帮到一些萌新那也算意外收获了。

继续阅读“来自毕业季的闲扯”

全国大学生信息安全竞赛线下赛-Web-Writeup

第九届全国大学生信息安全竞赛 Web攻防

比赛是8月中旬在上海进行的。这套源码一共发现了一个注入和一个后门。其实当时本来很早挖出了后门,但是补的第一波莫名其妙就把服务弄挂了,所以一直没补成,被打到最后还有两个小时,又试了一下,莫名其妙的这次就行了。

其实这个分析早就打算写,然是中途各种乱七八糟的事耽误了。源码和sql文件已经附上,侵删。

继续阅读“全国大学生信息安全竞赛线下赛-Web-Writeup”

记hazzel小白的第一次线下赛|WHCTF

来自hazzel小白的一篇哔哔,记自己的第一次线下赛。(其实只是一篇游记)
大约一个月前,打了华科的WHCTF之后就一直在回忆这场比赛。这场比赛印象深刻啊,因为……不是因为题目出的好,是因为……咳咳……题目简单(好吧起码web是简单爆了)。后来Dawn第三,终于能进线下赛了,然而我觉得和我有什么关系呢……然而因为某种机缘巧合,线下赛真的和我有关系了……然后我就屁颠屁颠跑去华科了。

继续阅读“记hazzel小白的第一次线下赛|WHCTF”

南邮CTF-反序列化-writeup

之所以要写这个,是因为……如果你做了这题,你会发现……http://drops.wooyun.org/papers/660这里面的方法有问题。
话说南邮训练平台反序列化这题之前过的不明不白的。前几天看了一下反序列化的简单解释,仿佛有一点眉目,所以趁热打铁一把。
PS: 别人的博客写的都是各种高深东西,就我还写总写一些小白文,真没办法……慢慢来吧

继续阅读“南邮CTF-反序列化-writeup”

20160ctf-Monkey-Writeup

好吧我承认这题我不会做,看了几位那牛十分简练的wp,我仍然不会做(毕竟小白23333).今天跑到ctftime上看了一下wp,发现外国人的wp真尼玛详细……特此翻译一下,以后看也会快一点。
题目:http://202.120.7.200/(现在竟然还可以进)
来源:https://dollberg.xyz/ctf/2016/03/13/0CTF-Monkey-Writeup/

 

继续阅读“20160ctf-Monkey-Writeup”