2018年6月8日 – Harmoc 's blog

表哥们的blog瞻…

开坑这个系列是想多学习一下表哥们的经验，感觉单单阅读的话，学习不够深入。故作文以记之。

第一个先写最近刚看到的梅子酒师傅的Blog好了，妹汁酒师傅的名声在Web狗的世界还是如雷贯耳的，好多思路感觉都是梅子酒师傅开发的。（话说，非常喜欢的小说里有梅子酒这个名字，我原来还以为梅子酒师傅也是书友来着。）

嗯。。。主要以我自己的思考为主吧。。。毕竟这才是我自己的东西。代码啥的尽量少贴。。。

此文梅子酒师傅写了OPCODE的逆向问题。

在刚刚打过去的SUCTF，梅子酒师傅是Web出题人。

可惜我这比赛没怎么打，连师傅出的题都没做到。。。还记得第一道是PHP里creat_function()函数的漏洞。昨天看seebug的文章时候还看见了这个函数的解析。。。恨没有早些看到。
科普向解析create_function() && 复现wp

而且我没有关注过HITCON的题目，貌似这道题是根据HITCON2017改的：HITCON 2017 Baby^h-master-php-2017 分析及复现

看来南邮的团队就是在这个比赛上的分析比较多，我看郁离歌的blog也有大篇幅的HITCON赛题分析。看来HITCON的赛题也是得系统分析一波。

梅子酒师傅这文章说的题是HateIT，之前还看见梅子酒师傅发的空间，说题目难度降了。。。把带密钥的文件放到题目里了。23333

这题思路是Git Tag还原代码 + OPCODE逆向 + PHP so扩展解密 + CFB重放攻击 + 正则绕过

emmmm，长见识了。我都不知道Git还能通过Tag还原代码，PHP so扩展加密更是听都没听过。。。还有CTB重放云云。。。果然要做的还有很多。

OPCODE这东西，感觉确实是比较深入语言底层的东西，没太有过了解。类比推理到Python，应该也是有个类似的东西存在，说不定哪天就会有个精于Python安全的师傅出道这种题。。。不可补防。总感觉到处都有汇编的影子。。。QAQ

很早就听说过这个CSP策略，常见的站据说就Github和知乎在用。因为成本太高，虽然效果很好，却也只有知乎这种赞比较值钱，是核心玩法的用会比较值。

Content-Security-Policy: policy
这是CSP设置的头信息格式。见到注意下，emmm，多点了解总是好的。
在比赛中常见的绕过CSP一般是:

script-src ‘self’ ‘unsafe-inline’
script-src ‘self’ ‘unsafe-eval’
script-src ‘nonce-*‘

0ctf2018、Google CTF2016出过这种题。

梅子酒师傅这里写的是他Bypass Plaid CTF里一道CSP的经历，
是利用了上传点，可以通过引入正常的非js文件来达到引入js脚本的效果。这儿就是用的wave文件了。

XSS的绕过真的是一门艺术。

菜鸡最喜欢看的果然还是大佬们的总结帖。毕竟能直接学到优秀的思路。

前期准备:
- 用个好用的工具，MAMP pro配备各种php环境，mark了。
- 相关CMS的历史漏洞
- PHP语言特性
- 常见Web漏洞的PHP实现
- 随时记录

明确目标
前台后台。
若为学习，着重历史漏洞，最好复现。

流程
1. 首先判断是否用了框架
2. 观察入口文件：单/多；入口文件的全局函数。
3. 整理流程：代码逻辑与运行流程的对应；权限的变化
4. 整理函数：前台/后台； 对着攻击找漏洞
5. 整理类

从梅子酒师傅的文章看，他在PHP安全上的造诣实在深厚，望尘莫及。感觉收获了好多顶级Web手的思路。而且强大如梅子酒师傅，还依旧为了提高而焦虑，嗯，感觉自己心态也能缓和一些了。

https://otakekumi.github.io