sky's blog

sky's blog

一叶飘零 @ whitzard / r3kapig

Paper Summary & Detecting Webshell Based on Random Forest with FastText
前言本篇paper来自ICCAI 2018,采用了fastText和随机森林算法相结合的模型FRF-WD,使用一些静态features和PHP opcode,对Webshell进行检测。但与之前的文章不同,本篇文章不再是基于HTTP流量检测,而是针对文件进行检测。 BackgroundOpcode是一种PHP脚本编译后的中间语言,对于PHP的语言引擎Zend执行代码,会经过如下4个步骤:12341.Scanning(Lexing) ,将PHP代码转换为语言片段(Tokens)2.Parsing, 将Tokens转换成简单而有意义的表达式3.Compilation, 将表达式编译成Opoc...
Paper Summary & CNN-Webshell & Malicious Web Shell Detection with Convolutional Neural Network
前言本篇paper来自ICNCC 2017,论文中指出,本篇文章是第一篇将CNN应用到恶意webshell检测上的文章。其对于webshell的检测主要集中于HTTP Requests检测。 BackgroundWebshell对网络服务会产生巨大的恶意作用,攻击者将Webshell上传至受害者服务器,达到持久化控制的目的。而本篇paper旨在检测恶意webshell,防止攻击者利用webshell进行二次攻击。作者将检测放在HTTP Requests中,主要对用户的GET请求和POST请求进行检测分析。考虑到CNN在文本分类上已经有重大突破,工具word2vec在text分类上已经有比...
Paper Summary & Peeves :Physical Event Verification in Smart Homes
前言本次解读文章为2019 CCS的一篇paper《Peeves :Physical Event Verification in Smart Homes》,主要介绍了一种防御IOT智能家具中事件欺骗的方式。同时作者提出了一种寻找最佳攻击点的方式。 背景知识Event Sensors事件传感器可以用来提示某件物理事件的发生,例如:门关上了,灯打开了等等。 Physical Sensors物理传感器主要用来测量当前物理数据,例如光线传感器,气压传感器等等。 Event Spoofing在IOT设备中,存在一种攻击,称为Event Spoofing,其以攻击手段欺骗事件传感器,让其显示未发生的...
2019 FudanCTF Writeup
前言最近学校有招新赛,难度比较低。于是节选了几道稍微有点意思的题目记录一下。 你再注试试本题是一道Web堆叠查询注入题,改编自2019 强网杯online 随便注,在其基础上限制了多个关键词:1prepare、set、execute…… 但是我们可以利用mysql新特性handler:1https://dev.mysql.com/doc/refman/8.0/en/handler.html 例如:我们可以用如下方式查询:最后写出exp:111'; handler `1919810931114514` open as `tgt`;handler `tgt` read next;-...
Paper Summary & LEMNA & Explaining Deep Learning based Security Applications
前言本次带来的是一篇2018 CCS Best Paper,主要阐述的是作者实现了一种解释深度学习决策原因的方法:LEMNA。这一方法明显弥补了在安全领域解释方法的稀缺和低保真率的问题。 背景知识众所周知,深度学习在图片分类上有着比较显著的核心地位,比如:当我们input一张图片给计算机后,计算机可以根据这张图片,输出描述该图像属于某一特定分类的概率的数字(比如:80% 是机器人、15% 是人、5% 是电视机)。而这一目的的实现,目前一般采用的是CNN(卷积神经网络)。但是,如果我们需要将相同的目的,转换至安全领域呢?比如恶意软件的分类:我们input一个文件给计算机,计算机是否可以根据...
2019 SWPU CTF Web Writeup
前言12月比赛有点少,手有点生了,发现SWPU又开始了,还记得去年质量挺高的,于是来玩玩,下面是web的解题记录。 easy_web随便注册一个用户进入,发现有广告发送的地方,随手测试:点入发现触发了sql报错:随手又试了一下:发现确实可以闭合:首先尝试联合查询注入:12345exp:0' union select 1,2,3,'a'='awaf:0'unionselect1,2,3,'a'='a 发现空格会被替换成空,于是尝试用如下方式bypass:10'/**/union/**/select/...
Paper Summary & Prototype pollution attack in NodeJS application
前言本篇paper来自于 NSEC 2018 :Prototype pollution attack in NodeJS application,写summary的原因因为本篇文章介绍的攻击点和实际问题密切相关,同时在CTF各大比赛中经常出现。 背景知识为了介绍什么是原型链污染漏洞,我们得先有一些前置知识,首先观察一段代码:123456789a={};a.__proto__.test2 = '456';b={};console.log(a.test2);console.log(b.test2);b.__proto__.test2 = '789';c...
2019 TMCTF Final & Hack Server
前言近期在日本参加了2019 TMCTF Final,遇到了不少高质量的题目,但可惜大部分题目都和web无关,这里记录唯一一道比较web的题目~ 信息搜集题目描述:123456789Hack the following server.http://10.0.106.(team number)/User Name Passwordguest passwordadmin (Unknown)Note: You do not have to use way of brute force or DoS to solve this challenge. Please do not put a loa...
2019 巅峰极客 Online WriteUp
lol拿到题目后,发现有一个上传页面:点进去发现可控参数名较多,但最可疑的还是上传文件位置:尝试上传一个文件,发现有两个路径,一个是upload,一个是download:经过测试发现,文件名不是通过filename控制,而是通过phpsessionid控制:尝试目录穿越,发现upload路径突然变成了绝对路径= =,估计代码哪里出现了问题:同时访问文件,可以发现文件内容确实有写入:然后就陷入了沉思,直到题目提示,注意download功能,又经过大量测试发现download功能的下载路径,是拼接了phpsessionid的路径的,于是我们首先创立upload目录:然后进行任意源码读取:我们...
2019 OGeek Final & Java Web
前言前段时间参加了OPPO举办的OGeek网络安全比赛线下赛,遇到一道Java Web,由于不太擅长,只是做了防御没有攻击成功,趁周末复盘一下~ 代码分析拿到题目,发现没有啥功能:顺势看了一眼源码:看到shiro后立刻可以想到shiro的反序列化漏洞:1https://paper.seebug.org/shiro-rememberme-1-2-4/ 可以看到存在漏洞的shiro版本号为:1.2.4,我们查看题目当前版本:那么显然,是存在shiro反序列化攻击的。 shiro反序列化查阅相关资料可以知道,该漏洞的利用,涉及如下几个重要的点: rememberMe cookie Cooki...
avatar
一叶飘零
苟有恒,何必三更眠五更起。