摘要: 什么是反射 这里涉及静态类型和动态类型的定义。 动态类型语言 运行时才确定变量类型。 # Python - 动态类型 name = "张三" # name现在是字符串 name = 123 # ✓ 运行时可以变成整数 name = [1,2,3] # ✓ 运行时可以变成列表 静态类型语言 静态类型语 阅读全文
posted @ 2025-12-11 20:38 Acc1oFl4g 阅读(3) 评论(0) 推荐(0)
摘要: SpEL简介 SpEL是Spring 框架特有的表达式语言。如果输入的字符串被 expression.getValue() 执行了,就能 RCE。SpEL (Spring Expression Language) 注入是 Java Web 题最常见的考点之一,因为它逻辑清晰,利用方式很像 PHP 的 阅读全文
posted @ 2025-12-11 20:36 Acc1oFl4g 阅读(113) 评论(0) 推荐(1)
摘要: 源码层面详解Node.js反序列化漏洞原理与利用 阅读全文
posted @ 2025-12-10 21:50 Acc1oFl4g 阅读(182) 评论(0) 推荐(1)
摘要: 详解Flask3.x版本下两大类型内存马 阅读全文
posted @ 2025-12-03 20:36 Acc1oFl4g 阅读(129) 评论(0) 推荐(0)
摘要: 本文介绍了使用debugpy调试Python Flask应用的方法。首先安装debugpy库,然后在代码中导入并配置监听端口。通过修改launch.json文件设置调试配置,确保端口一致。调试时程序会暂停等待调试器连接,并可选择是否跟踪系统函数。相比xdebug,该方法配置简单,只需2-3步即可完成,适合调试存在SSTI漏洞的Flask应用。 阅读全文
posted @ 2025-11-28 20:35 Acc1oFl4g 阅读(61) 评论(0) 推荐(0)
摘要: 本文详细介绍了在VSCode中配置Xdebug进行PHP远程调试的完整流程。首先通过PHP版本确认和路径查找确定环境配置基础,然后通过手动或自动方法下载匹配的Xdebug扩展并进行正确安装。重点讲解了php.ini文件的关键配置项设置,包括端口、日志路径等参数。随后指导了VSCode端的PHP Debug扩展安装和launch.json配置文件的修改。最后介绍了浏览器Xdebug Helper插件的安装与配置。整个过程涵盖了从环境准备到调试工具链配置的完整步骤,并强调了配置细节中的注意事项,为PHP开发者提 阅读全文
posted @ 2025-11-11 22:37 Acc1oFl4g 阅读(223) 评论(0) 推荐(1)
摘要: GZCTF平台搭建 GZCTF是一个开源平台,我们可以去github上面下载平台源码 https://github.com/GZTimeWalker/GZCTF 然后官方也给了详细的搭建教程 https://gzctf.gzti.me/zh/guide/start/quick-start 这里我就记 阅读全文
posted @ 2025-10-31 15:45 Acc1oFl4g 阅读(423) 评论(0) 推荐(0)
摘要: <?php show_source('index.php'); class MGkk8 { public $a; public $b; public function rpl2() { echo('MGrp12;'); $b = $this->b; if ($this->a == "RPG") { 阅读全文
posted @ 2025-09-25 17:18 Acc1oFl4g 阅读(59) 评论(0) 推荐(1)
摘要: white 打开靶机,发现可以执行命令,但是进行了严格的过滤 可以执行的命令是一个白名单 ls pwd whoami date echo base64 sh 白名单命令下方告知了过滤规则,比如禁止危险函数和过滤特殊字符等。有意思的是,这里虽然说过滤特殊字符(如;、&、|、@、!)等,但是我们随便输入 阅读全文
posted @ 2025-09-20 21:56 Acc1oFl4g 阅读(200) 评论(0) 推荐(0)
摘要: 本文分析了一个PHP反序列化漏洞利用过程。通过字符替换函数write和read的不等长处理,构造特定序列化字符串实现注入。关键点在于:1)利用字符替换逃逸出目标序列;2)使注入的序列紧跟在键后以被正确解析;3)通过计算字符长度精确控制逃逸过程。最终通过构造username和password参数,将恶意序列注入到类A的序列化字符串中,触发类B和类C的代码执行,成功读取flag.php文件内容。该漏洞利用展示了反序列化过程中字符替换与语法解析的微妙关系。 阅读全文
posted @ 2025-09-19 10:50 Acc1oFl4g 阅读(34) 评论(0) 推荐(0)