CTF闯关实战:第二题“快打开这个宝盒子”"

admin 2026-10-19 22:59:02 网络安全文章 来源:ZONE.CI 全球网 0 阅读模式

cover_image第三步:foremost分离隐藏文件

binwalk只是检测到了隐藏内容,要提取出来需要用foremost:

foremost自动将嵌入的文件分离出来,在输出目录中得到了4个PNG图片文件。

第四步:拼接二维码并扫描

分离出的4个PNG图片,每个都是二维码碎片。将这4个碎片按照正确顺序拼接在一起,形成一个完整的二维码。

用手机微信或二维码扫描工具扫描拼接后的二维码,得到一串URL:

https://rd.wechat.com/qrcode/confirm?block_type=101&content=myCTF%7BWERsdsd2342sdse%7D

URL中的content参数经过了URL编码,%7B和%7D分别是{和}的编码形式。解码后得到最终flag:

myCTF{WERsdsd2342sdse}

End

文章都看完了,还不点个赞

回顾往期内容

反射型XSS渗透测试流程

MySQL联合查询注入流程

【工具使用】Nmap常用命令速查

SQL注入靶场显错注入(一)

Sunny网络中间件

JAVA代码审计:鉴权漏洞深度分析

你不知道的表网、深网与暗网世界


遇到数据源配置功能,怎么打jdbc反序列化?" 网络安全文章

遇到数据源配置功能,怎么打jdbc反序列化?"

本文详细介绍了在数据源配置功能中利用JDBC反序列化进行攻击的原理与实战方法。核心在于控制JDBCURL参数并设置autoDeserialize=true以触发反序列化。文章提供了FakeServer和web-chains两种工具的使用演示,并重点分析了目标不出网场景下的多种绕过思路,包括同网段部署、文件上传结合namedPipePath本地触发以及切换H2等数据库驱动。最后总结了攻击流程与关键判断条件。
安全快报|英国警察国家法律数据库遭非法访问导致警方和政府人员身份信息泄露" 网络安全文章

安全快报|英国警察国家法律数据库遭非法访问导致警方和政府人员身份信息泄露"

本周安全快报汇总了八起重大数据泄露事件,包括英国警察数据库遭非法访问、中亚政府机构被后门攻击、瑞士政府IT系统遭SharePoint漏洞入侵、美国金融机构和供水系统遭勒索软件攻击、生物制药巨头安进公司及医疗科技公司CareCloud数据泄露、以及DentaQuest超1500万用户数据被窃。攻击手法多样,涉及配置不当的云服务、未修复漏洞及协同攻击,影响范围广泛。建议组织加强云服务配置管理、及时修补漏洞并完善应急响应机制。
评论:0   参与:  0