目录 刷题记录:[CISCN2019 东北赛区 Day2 Web3]Point System 知识点 1.padding-oracle attack 2.cbc字节翻转攻击 3.FFMpeg文件读取漏洞 总结 刷题记录:[CISCN2019 东北赛区 Day2 Web3]Point System 题目复现链接:https://buuoj.cn/challenges 参考链接:CISCN 2019 东北赛区 Day2 Web3 WriteUp Padding Oracle Attack 拖了一个星…

BUUCTF-[CISCN2019 华东北赛区]Web2 看题 一个论坛,内容不错:) 可以投稿,点击投稿发现要注册,那就先注册登录.随便账号密码就行. 常规操作,扫一下站点,发现有admin.php,进行访问 思路 有session,可以确定一个思路,获取管理员的session得到权限,然后拿到flag 执行 去投稿,发现存在XSS漏洞,但是有一些过滤,''(''被转义成了"(",存在WAF,先转码,然后eval执行JS代码,并且需要一个window.location.href来自动…

BUU XSS COURSE 1 & [CISCN2019 华东北赛区]Web2 XSS的题目没怎么做过,比赛基本上也没有(=_=),总结下今天做的两题 都是看赵总视频现学现做的,这里附上学习链接,大家记得白嫖hhh~ BUU XSS COURSE 1 题解 这题点进去就两个窗口,一个吐槽的,一个登陆. 但是没有注册页面所以没啥用,直接来吐槽 先尝试弹窗<script>alert(1)</script>,访问给的地址没有弹窗 换个标签试试<IMG SRC="…

2018工业信息安全技能大赛华东赛区初赛 第2题 解题思路 本题主要考察点是对常见工控协议的理解(modbus/tcp和s7comm),题目目标是寻找出报文中某条异常报文流量.很让人疑惑的是,题目中并没有给出"异常流量"特征的定义,所以需要从多个角度探索出题人的意思. 首先,观察整个抓包文件,其中包含了modbus/tcp.s7comm和极少的tcp周期性握手挥手报文. 之后,针对modbus/tcp和s7comm分别进行深入地分析.此外值得注意的是,一条工控协议报文中至关重要的字段是…

Posted on 2014年10月20日 by kuangbin 最后的两场区域赛结束了! ICPC生涯的最后两场区域赛,选择了前两个赛区——牡丹江和鞍山,主要是时间比较靠前,而且我向来对东北赛区有特殊的偏好,我打过的区域赛几乎都是在东北(除了第一年打酱油的时候). 而且特别想回到牡丹江去,在那个曾经打过比赛的地方再打一次比赛,拿回自己想要的. 而且今年岐哥也要打前两场,所以就选择了前两个赛区和岐哥一起打退役赛! 两场比赛采用队名——Final_Battle (最后一战),决心背水一战,认真打…

距离长春区域赛结束已经4天了,是时候整理一下这次比赛的点点滴滴了. 也是在比赛前一周才得到通知要我参加长春区域赛,当时也是既兴奋又感到有很大的压力,毕竟我的第一场比赛就是区域赛水平,还是很有挑战性的.在接到通知后,我便开始临阵抱佛脚,课也不怎么听了,上课把时间全都用在了看各种算法上,回到实验室便整理模板.开cf练手.在去比赛前,已经将所看过的算法模板都整理好了. 周五上午9点三刻左右,我们便出发了,需要经历12个小时才能到达我们此次的目的地——长春,途中我还将计算几何稍微看了一下.直到晚上11点…

毕竟是聊聊曾经,放一张大学课堂上灵光一现,手写的一个我曾经一直使用的网名 前言 原文地址:Nealyang/personalBlog 讲真,的确是运气,才有机会进大厂.也没想到,那篇一年半工作经验试水杭州大厂的面经如此受欢迎.后面也有很多朋友在群里问我,你是如何学习的? 此篇为xxx 经验进阿里的终结篇,希望从此以后就翻过了,不再提了.不然总有种炫耀的感觉,倍感压力,汗颜汗颜~ 此篇也并非技术软文.大概介绍下我在进阿里之前.工作中都经历和做过了些什么,最后我会分享一下敲开面试之门的那封简历. 关…

在上一次的文章中我们介绍了施耐德公司的协议modbus,这次我们把目标转向私有协议,来看看另一家巨头西门子的S7comm.首先要说明,这篇文章中的内容有笔者自己的探索,有大佬们的成果,但由于S7comm是私有协议,一些结论和看法不可能完全正确,希望各位有认为不对的地方或是更好的看法可以评论告诉我. ps:有些专业名词可能不对,因为没找到准确的翻译或者是根本没找到官方定义(毕竟是私有协议),笔者就自己起了名…… 建议阅读本篇前首先阅读:工控安全入门(一)—— Modbus协议 S7comm简介 西…

事先声明,这不是华为软挑的软广,我也不是海军. 这篇文章纯粹是心血来潮,原因是去年上传到github的参赛代码,前几天又有两个人star和fork了. 记得star热潮还是去年4月复赛刚结束的那几天,厚着脸皮在八大赛区的群里发消息求关注,之后就陷入了无限吃灰期.结果,我的开源代码在前几天突然又被挖出来了. 看了下时间,我想大概是有同学在准备今年的比赛,尝试研究去年的题目和开源代码.说实话,即使你愿意花很长时间来准备,效果也有限. 因为看往年的题目很容易陷进去,等到真正比赛发现意义不大.另外,很少…

前言 最新学习了下xss的更深入的东西,学习了一波浏览器解析机制和XSS向量编码的知识. 这里就些xss的练习题巩固知识 学习的话结合如下两篇文章看,从例子和基础原理层面都有: http://bobao.360.cn/learning/detail/292.html https://xz.aliyun.com/t/5950?accounttraceid=5564cfe1bcf849fd86c4ac5e40e772e7qcnv 最常见的html编码有:html实体编码.分为十进制和十六进制 如把尖…