这是一个面向 Agent 的安全技能知识库，覆盖 Web 安全、API 安全、认证与授权、操作系统提权（Linux/Windows/macOS）、Active Directory 攻击、移动安全、二进制漏洞利用（Pwn）、逆向工程、密码学攻击、区块链与智能合约安全、AI/ML 与 LLM 安全、网络协议与横向移动、数字取证——服务于漏洞赏金、渗透测试、CTF 竞赛和授权安全研究。它旨在通过大语言模

创建低价商品和 Flag 商品订单并支付低价订单获取合法 Token，在验证接口同时提交这两个 order_id，服务器后端在逻辑校验时取了合法订单而在结算时取了Flag 订单，存在解析差异。根据一开始的报错页面和源码信息很容易看出来是Spring Boot+ FreeMarker，上传文件的时候文件路径可控，那么利用思路就很清晰了，利用目录穿越上传恶意代码覆盖 FreeMarker 模板文件，路

CVE-2019-0708远程桌面服务远程执行代码漏洞复现

mitmproxy 中的 miti 其实就是中间人攻击，在保障服务端与客户端正常通信前提下，通过指定自定义的 python 脚本，实现任意化定制自动发包测试。上面只是以一个简单的 base64 加密为例，实际上这种方法在 js 逆向加解密测试中非常重要，因为现在很多网站数据传输都存在加密，不可能手动一次次去解，就可以考虑 mitmdump 与 BurpSuite 的联动，相当于网站完全没有加密了。

由于前面说的只有 -1，因此我们对 36 进行取反，得到 -37，对 -37 再次取反即可得到 36。这里说了 flag 在 36.php，那么我们只需要构造 36，但是数字被过滤了。根据 $((~ $(()) ))=-1，我们进行拼接，构造出 -37。命令执行，需要严格的过滤，已测试，可绕。

被解释成了 1，因此 ${HOME::$?这里出现了 3，放到前面的题去试了下，BASH 和 SHELL 的依旧是不行，难道都不是 /bin/bash吗，很奇怪。这里当前登录的用户名应该是 www-data，我最开构造的是 a ，取变量的最后一个字母，也就是 /bin/?

命令执行，需要严格的过滤。

file_get_contents 函数将会读取文件的全部内容并将其作为字符串返回，strpos($content, "

我们直接在执行完 include 包含语句后执行 exit 强制退出，从而实现绕过 preg_replace 的执行。拿到 flag：ctfshow{3deb8d00-68e6-4c20-a971-3fbf3382ec45}拿到 flag：ctfshow{8fccf5bc-5681-4815-b7ce-0b81772b6f7c}拿到 flag：ctfshow{35309fb4-36c5-4080-

这里的代码有点不一样，说一下这两种的区别：（1）直接执行 system($c);这种方式会直接执行命令 $c 并将命令的输出直接发送到标准输出（通常是浏览器）；不会返回命令的输出值，因此不能对输出结果进行进一步处理。（2）使用一个参数来接受 system 的返回值后再输出它这种方式不仅会执行命令 $c，而且会将命令的最后一行输出结果赋值给变量 $d；然后通过 echo "".$d;将变量 $d 的