XCTF Final NOXSS Write Up
这是本次比赛做起来最有跪感的一题了，当时比赛的时候怎么都弄不出来…赛后问了一下，主要还是差了一篇文章 Wykradanie danych w świetnym stylu – czyli jak wykorzystać CSS-y do ataków na webaplikację，这个标题是个波兰语，中文翻译过来就是使用 CSS 攻击 Web 应用程序，从文章内容也看到了 RPO 的攻击引述，也正是之前 noxss 2017 的解法。[TOC]Preparation所做的实验测试均在 Chrome 78.0.3904.97 版本上，Firefox 有一些场景未测试成功。我们需要的有 fontforge / nodejs / npm|yarn ，安装 fontforge on ubuntu，安装 node..
更多
XCTF Final 2019 Web Write Up
我们 SU 这次一共做出了3个 Web ，由于今年 XCTF Final 的时间不是特别好，我们队其他师傅有考试的考试，基本就现场的两个 Web 手在做，最后 LFI2019 比较可惜，如果多个几 min 我们就可以出了，实在可惜。下面就写写本次的 Web Write Up。[TOC]Webbabyblog界面跟 Byte CTF 的 babyblog 一致，有些功能还保留着，很有误导性…以为是个升级版，前者是一道二次注入后用 php 正则/e特性来执行命令的，所以我们一开始也就一直在日注入了…后来我发现/user个人界面有 ip 记录，于是尝试 XFF 注入无果，但是可以把 XFF 直接回显到页面上。发现/server_status，发现有大家的访问记录。陷入思考ing…队友突然看到有一个访问记录/us..
更多