Secrypt Agency

Welcome to a platform for network security artists.

0%

0x00 前言

本题的综合渗透靶机镜像来自 VulnhubStapler: 1,最终目标是获取靶机 root 权限并打印 flag。

靶机主要涉及服务匿名访问、用户弱口令、错误配置、敏感信息泄露、文件上传、本地提权等漏洞,提供了较为综合的渗透测试练习环境,能从中学习到常见的渗透技巧及漏洞利用方法,为初学者拓宽了渗透实战的新思路。

根据提示,至少有两条通路能获取 shell 环境,并至少有三种提权方法得到 root 权限

Read more »

0x00 前言

本人某司安全开发萌新一枚,入职以来主要负责自研 IDS(Intrusion Detection System,入侵检测系统)的管理台开发。在全栈开发老司机波老师的指导下,顺利完成了数据读写效率优化、数据可视化展示、安全运营能力提升等开发需求,对 Web 应用的整体架构有了更深理解。

不久前,突然接到项目交接任务,与领导与波老师开完项目交接会后,虽然没明说,但下意识能感觉到,波老师即将离开。接下的一周内,波老师要将几年来的开发成果塞进我的脑袋,最后总算是顺利完成交接。整个过程下来,感觉大脑许久未在紧迫高压的状态下,涌入如此大量的信息。

客观而言,接手他人工作虽然开头难,但能若成功接下来,则会让萌新以最快的速度成长。本文将以开发人员的视角,对接手项目过程中的要点进行总结,便于日后再出现工作交接时查漏补缺,同时也为尚未接手过工作的职场技术新人提供参考。

Read more »

0x00 前言

2016 年以来,为贯彻落实国家网络空间安全战略,国家监管机构大力推动网络实战攻防演习。全国性的网络实战攻防演习,从 2016 年仅有的几家参演单位,到 2019 年的上百家参演单位,演习范围越来越广,演习周期越来越长,演习规模越来越大。

网络实战攻防演习,是指以实际运行的信息系统为保护目标,通过有监督的攻防对抗,最大限度地模拟真实的网络攻击,以此来检验信息系统的实际安全性和运维保障的实际有效性

Read more »

0x00 前言

本题要求使用 GPG 为邮件通讯内容设置加密功能,一是为了保证邮件内容的机密性,二是为了让用户熟悉 GPG 的基本使用方法。

本题的解决过程如下:先使用 GPG 生成公私钥对,在 WeChall 的账户设置中将公钥上传,接着 WeChall 会向用户邮箱发送一封加密邮件,解密后得到一条用于确认公钥有效性的验证链接,点击并完成公钥设置。最后,回到题目链接,点击按钮后 WeChall 会再发送一封加密邮件,解密后即可得到 flag

备注:本题主要操作在虚拟机的 Kali Linux 2018.2 系统中完成,其中自带的 GPG 版本为 2.2.5,辅助操作在本机的 Windows 7 系统中完成。

Read more »

0x00 前言

本题的思路很明确:搭建一个 Web 服务后,使 WeChall 能够访问特定网页的内容。

但问题来了,WeChall 是向用户登录的 IP 地址发起访问请求。一方面,运营商分配给普通用户的 IP 地址通常是经过多层 NAT 的,所有无法在个人 PC 上搭建 Web 服务,让公网用户访问;另一方面,租借一台 VPS 虽然能拥有公网独立 IP 地址,但服务器的操作系统通常是命令行界面,难以通过浏览器访问题目链接,再点击按钮使 WeChall 访问服务器的特定网页。

鉴于此,解决方案如下:租借一台 VPS 搭建起 Web 服务,通过 Python 脚本模拟浏览器访问题目链接,使 WeChall 成功访问服务器的特定网页

Read more »

0x00 前言

在科技论文写作中,必不可少要使用到数学公式,虽然编辑公式简单,但要将一系列公式自动编号,并且在文中交叉引用,成为了科研工作者亟需解决的我问题。本文将采用 Microsoft Word 2013 + MathType,向大家介绍一种一劳永逸的解决方案,在其他版本的 Microsoft Word 中也基本适用。

Read more »

0x00 前言

此题出自「百度杯」CTF 比赛 2017 二月场,是第三道 「爆破」系列的 Web 题,主要考察在理解了题目 PHP 代码的逻辑后,通过网络编程与服务器交互获取 flag 的能力,难度中低,需要的基础知识有:PHP、Python、HTTP协议

题目链接在「i春秋」的 CTF 大本营,解题链接通过创建在线靶场后得到:

Read more »