Feb242022
CTFHub_2017-赛客夏令营-Web-Uploadddd（.swp源码泄露、文件上传）
场景打开如下，是一个上传功能
尝试上传一句话木马，成功
但是上传的文件路径不知道
通过目录扫描发现文件.index.php.swp，关于.swp格式文件是异常退出时linux生成的，具体可以百度
使用vim打开
vim -r index.php.swp
查看源码
<?php
if (isset($_POST['submit'])){
$file_path = "uploads/";
$file_name = date("YmdHis") . rand(0,999) . ".php";
move_uploaded_fi...阅读全文
抢沙发
Feb242022
解决Missing required arguments: XXX”错误的实用技巧
在使用Python进行开发过程中，我们常常会遇到”Missing required arguments: XXX”的错误提示。这个错误通常是由于函数调用时缺少必需的参数导致的。在本文中，我将介绍几种实用的技巧来解决这个问题。
1. 检查函数的定义
首先，我们需要仔细检查函数的定义，确保没有缺少任何必需的参数。确保函数的参数数量和顺序都与函数调用时的一致。如果函数定义中有默认参数，确保默认参...阅读全文
Feb192022
使用Django REST Framework构建RESTful API – #Django REST Framework
简介
在现代的Web应用程序中，RESTful API（Representational State Transfer）是开发者们常用的方式之一。它提供了一个灵活的方式来构建和管理应用程序的后端接口，允许不同的客户端（例如Web、移动设备等）与数据进行交互。
Django REST Framework是一个基于Django的强大工具包，专门用于构建高性能、灵活且可扩展的API。它提供了许多功能，例如身份验证、序列化、路由和视图等，使我们...阅读全文
Feb182022
CTFHub_2021-第四届红帽杯网络安全大赛-Web-WebsiteManger（布尔盲注、SSRF ）
场景描述：最新的网站测试器，作为非站长的你，能利用好它的功能吗？
场景打开后，如下，是个登录框
查看源码，发现可能的注入点 /image.php?id=2
图片的id貌似是跟数据库存在交互的，下图中长度177的都是被过滤的关键字
布尔盲注
/image.php?id=if(1=1,1,5) True
/image.php?id=if(1=2,1,5) False
条件为真时?id=1，回显第一张图片，条件为假时?id=5，没有id=5的图片，什么都没有。...阅读全文
Feb112022
解决KeyError: ‘key_name’”异常的正确姿势
异常背景
在 Python 编程中，经常会遇到 KeyError 异常。KeyError 通常出现在字典操作中，当我们试图获取字典中不存在的键（key）时，就会抛出该异常。以下是一个示例：
>>> my_dict = {'name': 'John', 'age': 25}
>>> print(my_dict['address'])
KeyError: 'address'
当我们尝试获取字典 my_dict 中的 ‘address’ 键时，由于该键并不存在，Python 解释器...阅读全文
Jan212022
CentOS6.5 下在Nginx中添加SSL证书
在使用Nginx搭建Web服务器时，为了提高网站的安全性，我们常常需要为网站添加SSL证书，从而实现HTTPS协议的访问。本文将介绍在CentOS 6.5环境下，如何为Nginx添加SSL证书，并提供一些常见问题的解决方法。
准备工作
在开始之前，我们需要准备以下内容：
一个域名，并将域名解析到服务器的IP地址。
安装Nginx，并确保Nginx已经正常运行。
生成SSL证书
安装并配置Certbot工具。
Certbot...阅读全文
Jan172022
83：CTF夺旗-Python考点SSTI&反序列化&字符串
思维导图
必备知识点：
在大量的比赛真题复现中，将涉及到渗透测试的题库进行了语言区分，主要以 Python, PHP,Java为主，本章节将各个语言的常考点进行真题复现讲解。
CTF各大题型简介
MISC（安全杂项）：全称Miscellaneous。题目涉及流量分析、电子取证、人肉搜索、数据分析、大数据统计等等，覆盖面比较广。我们平时看到的社工类题目；给你一个流量包让你分析的题目；取证分析题目；...阅读全文
Jan172022
80：红蓝对抗-AWD模式&准备&攻防&监控&批量
思维导图
AWD 常见比赛规则说明：
Attack With Defence，简而言之就是你既是一个 hacker，又是一个 manager。
比赛形式：一般就是一个 ssh 对应一个 web 服务，然后 flag 五分钟一轮，各队一般都有自己的初始分数，flag 被拿会被拿走 flag 的队伍均分，主办方会对每个队伍的服务进行 check，check 不过就扣分，扣除的分值由服务 check 正常的队伍均分。其中一半比赛以 WEB 居多，可能...阅读全文
Jan172022
39：WEB漏洞-XXE&XML之利用检测绕过全解
思维导图
知识点
XML被设计为传输和存储数据，XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素，其焦点是数据的内容，其把数据从HTML分离，是独立于软件和硬件的信息传输工具。
XXE漏洞全称XML External Entity Injection，即XML外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫...阅读全文
Dec282021
解决Python中的ModuleNotFoundError: No module named ‘xxx’错误
在使用Python编写程序时，有时会遇到ModuleNotFoundError错误，错误提示为”No module named ‘xxx'”. 这意味着Python无法找到所需的模块或库。这是因为Python解释器无法在当前环境中找到xxx模块。
本篇博客将帮助你解决这个错误，并提供一些常见的解决方案。
1. 检查模块是否已安装
首先，需要确保你已经正确地安装了所需的模块。可以使用以下命令来检查模块是否已经安...阅读全文