(本文首发于先知社区,链接:https://xz.aliyun.com/t/6530)

前言

靠着大腿混进决赛.膜ex师傅,膜impakho师傅.

主办方的权限控制,题目难度之类的都做得非常好.只可惜我太菜了,根本找不到洞,只会划水摸鱼.

赛制也对我这样的菜鸡非常友好.攻击和防守都可以得分,按结果来看,防守也是大多数队伍的主要得分方式.

也就是说,只要写一个可以过check的通防waf,就可以拿分.

(本文首发于星盟安全公众号,链接:北极星杯AWD-Web-Writeup)

前言

祝祖国70周年生日快乐,也祝星盟一周年生日快乐.感谢各位师傅在国庆假期抽出时间参加这次比赛,也感谢负责组织比赛的师傅忙前忙后.

大哥大嫂国庆好!!!

本文原发于sec圈 : https://www.secquan.org/Discuss/1070283 ,博客转自本人仅做备份用途

本文原发于先知社区 https://xz.aliyun.com/t/6238 , 博客转自本人仅做备份用途

写在之前

最近遇到多位老哥在骂,qq空间的链接一点就转发了一个封面为色情图片,内容为菠菜站的链接.我就好奇这难道是qq空间的XSS蠕虫?

写在之前

八月份星盟内部一共打了三次训练赛,靠抱大腿,成绩都还可以,都在前几名,最后一次更是靠着缘分拿到第一.(我们是冠军!滑稽

之前也打过几次其他比赛的AWD,不过都是挨打那种.

三次AWD我主要负责自动化攻击以及权限维持.

简单复盘一下这三次AWD心路历程以及技术细节,记录下如何用正确的姿势抱住大腿.

写在之前

周末打了这个比赛,趟大佬的车,混到第六.如果不是我这么菜,有机会第四或第三的.

如此简单的web题都解不了,丢人(捂脸

感谢比赛过程中队内各位大佬给的各种提示.

以下writeup仅是我自己能解的题或参与解的题.

本文原发于https://www.secquan.org/Notes/1070004,博客转自本人仅做备份用途

写在之前

各大网站以及SRC之类的地方提交漏洞免不了需要截图,手动截图费时费力,我也深受其扰.使用python调用windows api实现自动截图才是正道.可能有很多师傅已经知道了,但是还是厚颜无耻写下.

hw期间,作为防守方使用某厂(国内大厂)态势感知系统的时候发现某重要接口未授权访问.

大概是今年1月份发布的版本,而且更新需要原厂人员进行手动升级.

本文原发于星盟微信公众号 https://mp.weixin.qq.com/s/3Qz-ccL2Ynf1YnBlBxjgCQ , 博客转自本人仅做备份用途

起因

最初发现来自实验室的小伙伴,但是仅限于弹窗,后来发现这种类型的payload构造思路来自XSS挑战第一期Writeup和XSS挑战第二期Writeup以及使用了fuzz的一些小技巧,可以实现任意js代码执行.

绕云waf简单的方式就是绕过cdn,找真实ip,翻一下历史解析记录基本都能找到,也有一些工具,比如我在另一篇文章收集的fuckcdn

有些时候绕不过去cdn,又存在xss漏洞.报告里要是不能验证漏洞就等于没有漏洞,那就只能硬怼玄武盾了.

比赛过去已经比较久了,拖延症一直懒得写wp.

去年也参加过ciscn,基本上只解了个签到题就进了线下(丢人)

今年稍微好一点,但是参数队伍明显多了,还好线下赛也扩容了.

确确实实,真真切切的意识到自己和大佬们的差距,不仅仅是比赛经验带来了,还有思维方式以及学习能力的差距.