Z3ratu1's blog

Welcome

0%

发表于 更新于 分类于 阅读次数： Valine：

Docker escape

Docker逃逸的本质和硬件虚拟化逃逸的本质有很大的不同，容器逃逸的过程是一个受限进程获取未受限的完整权限，又或某个原本受Cgroup/Namespace限制权限的进程获取更多权限的操作，更趋近于提权。

前置知识

在开始之前，先看看docker和docker实现相关的技术基础

Linux namespace

阅读全文 »

发表于 更新于 分类于 阅读次数： Valine：

[D3CTF2021]记录

难到自闭，所以就只能叫做记录了。。。最简单的8-bit-pub看了两天头都给打蒙了，剩下的题基本上就不想看了
开始对着wp复现

8-bit-pub

前端好看，反手进行一个下载
给了源码，主要看一下就三点，以admin身份登录，admin拥有发邮件功能，shvl很可疑的原型链污染库

Admin登录

阅读全文 »

发表于 更新于 分类于 阅读次数： Valine：

横向移动

本文基本上译自参考链接Lateral Movement

寻找拥有访问权限的地方

使用以下一种或多种方法，将向Active Directory用户授予对通用资源的访问权限:

  • 使用组策略对象（GPO）将用户添加到本地组
  • 本地添加用户到本地组，可以通过net.exe完成所述功能
  • 模拟一个在多个系统中使用相同密码的本地用户
  • 对共享文件提供读权限
  • 在AD中配置访问控制列表（ACL）
  • 使用AD用户/组配置对MSSQL实例的访问
阅读全文 »

发表于 分类于 阅读次数： Valine：

[UnionCTF2021]Cr0wnAir

最近天天被外国比赛暴打。。。。这次UnionCTF两个web，一个sqlite的union注入，零过滤，百度的payload都能打通，还有就是这个题，还蛮有意思的，后面这步利用感觉还比较实用，学习了

源码

贴一部分

checkin.js
const pattern = {
  firstName: /^\w{1,30}$/,
  lastName: /^\w{1,30}$/,
  passport: /^[0-9]{9}$/,
  ffp: /^(|CA[0-9]{8})$/,
  extras: [
    {sssr: /^(BULK|UMNR|VGML)$/},
  ],
};
function isSpecialCustomer(passport, frequentFlyerNumber) {
  return false;
}

function createToken(passport, frequentFlyerNumber) {
  var status = isSpecialCustomer(passport, frequentFlyerNumber) ? "gold" : "bronze";
  var body = {"status": status, "ffp": frequentFlyerNumber};
  return jwt.encode(body, config.privkey, 'RS256');
}
.....
  if (jpv.validate(data, pattern, { debug: true, mode: "strict" })) {
    if (data["firstName"] == "Tony" && data["lastName"] == "Abbott") {
      var response = {msg: "You have successfully checked in! Please remember not to post your boarding pass on social media."};
    } else if (data["ffp"]) {
      var response = {msg: "You have successfully checked in. Thank you for being a Cr0wnAir frequent flyer."};
      for(e in data["extras"]) {
        if (data["extras"][e]["sssr"] && data["extras"][e]["sssr"] === "FQTU") {
          var token = createToken(data["passport"], data["ffp"]);
          var response = {msg: "You have successfully checked in. Thank you for being a Cr0wnAir frequent flyer. Your loyalty has been rewarded and you have been marked for an upgrade, please visit the upgrades portal.", "token": token};
        }
      }
阅读全文 »

发表于 更新于 分类于 阅读次数： Valine：

DiceCTF2021

好像比justCTF简单不少。。。起码有萌新能做出来的题了呜呜
但是怎么感觉外国比赛这么喜欢XSS

BabierCSP

对标justCTF的BabyCSP，确实更baby了，justCTF那个题完全不会。。。
因为设置了default-src，fetch这些函数的请求的源也受到CSP控制，fetch就发不出去，一开始在这卡了
然后用windows.location.href跳转就行了

这个题nonce是不变的，那不就是无过滤XSS吗。一开始以为是题写歪了想考参考链接里面先知那个吞下面nonce的点的，后来测了一下发现这个必须是可控点和有nonce的script连在一起才行，不然之间的任意一个右尖括号都能把你给闭合了而无法吞下正确的nonce

阅读全文 »