ciscn2021 华北半决赛 java 注册后登录，/message会显示所有的message，而浏览方式是通过/view，然后传path参数，存在任意文件读取 tree中给了目录树 . ├── pom.xml └── src └── main ├── java │ └── com │ └── nothing │ └── game │ ├── G…

easycms 网上找了个后台getshell的cms哪来改改用了，当作签到题。 ​ babycat 非预期： 首先是uploadServlet中doPost没权限校验导致guest也能直接传文件，其次在check函数后转发没返回，后面的代码依旧执行，造成了严重的非预期呜呜呜 if (checkExt(ext) || checkContent(it…

梦回高考。也是好久没写博客了，水一下 easy_sql ')闭合，join报错注入字段，盲猜表名flag selectfrom (select from flag as a join flag b)c 然后挨个爆字段，直到第三个字段为一串uuid select from (select from flag join flag as b using(…

8-bit-pub 首先要成为admin，本来以为是文件读取读key然后伪造session啥的，但是这代码路由写死了 总的来说就三个功能 登陆注册用的是预编译，可以这样 sql查询就变成了 SELECT * FROM test WHERE username='admin' and password=`password`=true…

抓个包，发现头像处1.png，可以路径穿越 结果会保存在头像中 /app/utils.py urllib请求，基本上是ssrf+crlf /app/config.py 内网172.20.0.2 8877是个ftp，crlf看一下ftp文件可以得到config.json ftp://fan:root@172.20.0.2:8877/files/con…