[BUUCTF]disk分析VMDK：（VMWareVirtualMachineDiskFormat）是虚拟机VMware创建的虚拟硬盘格式，文件存在于VMware文件系统中，被称为VMFS（虚拟机文件系统）解题凡是先打开010获得ctf{unseCure_quick_form4t_vo1umer查找另外一半用7Z打开该vmdk文件，发现fatFAT文件系统是微软在上

[BUUCTF]Mysterious分析下载得到可执行文件，随便输入一些，没得反应解题PE..L..说明其为32位的exe文件，放入IDAPE…d…是64位程序shift+F12检索字符串，看到welldone，点进去原因：大佬说这可能表示该程序输入成功后的情况类似于答案的文字左侧401090进去，接着F5进行反编译将

BUUCTF-SimpleRev.md查壳linux64位，无壳，LE小端序储存进入Decry()分析这种题直接寻找if判断条件可以看到比较了text和str2但二者点进去都没赋值先观察texttext=join(key3,v9);将key3和v9变量拼接起来v9：key3：由于v9这里是大端序展示，所以我们在拼接的时候得转

下载附件，给了一个流量包，拿到wireshark中进行流量分析看到除了上面的几个包，其它的都是ICMP的包，上面的几个包也没发现什么有用的信息，就随便点开几个ICMP包看了下，发现它们的尾部都有一串相同格式的信息使用tshark进行提取提取出的data.txt中有大量重复信息这里脚本参考大

题目分析010Editor打开图片，发现末尾存在一段unknownPadding，有明显的zip文件特征，复制出来保存为zip文件1.zip。解压缩提示需要密码。010Editor重新查看1.zip，发现record（压缩源文件数据区）的reFlags为偶数0000，即未加密，但dirEntry（压缩源文件目录区）的deFlags

我是纯新手，零基础的开始学Pwn喽时间：2024年10月29日BUUCTFPwn学习日记1.test_your_nc下载附件，用IDA打开发现直接nc就可以获得flagcatflag得到flag{07c0b69c-dcbf-4991-8cc6-05660b1a2dd2}2.ripIDA打开发现没有看见有用信息，Shift+F12发现了/bin/sh初步怀疑是栈溢

BUUCTF相册定位函数根据题目提示：邮箱全局搜索mail然后找到一个sendMailByJavaMail方法在这里定义了一个C2静态类，保存了发送邮件的一些常量跟进c2这里发现mailform未初始化，而在下面用base64解码初始化了mailform而这个使用了loadlibrary函数，加载了core.so文件中的内容

Youngter-driveUPX脱壳分析这是一道多线程题，先来分析这个main函数::hObject=CreateMutexW(0,0,0);：创建一个互斥锁，使两个双线程能够使用共享资源hObject=CreateThread(0,0,StartAddress,0,0,0);Thread=CreateThread(0,0,sub_41119F,0,0,0);：创建两

[BUUCTF]喵喵喵分析题目是一张图片，打开属性，放入010editor,无果；于是想到LSB隐写解题发现一张PNG，但开头不太对劲将其保存txt文件，发现放入010editor并不可以修改开头在某位大佬博客中学到一个方法，如下：首先，在notepad中打开txt文件Alt按列选择左侧复制，放入Cyberchef两者交

BUUCTF_BUUSQLCOURSE1打开实例发现“热点”及“登录”两个选项根据题目提示，sql注入，尝试在登录界面寻找注入点，无果接着进入热点界面，发现三篇新闻，依次点击发现url变化，burp抓包发现是通过对id值的控制访问不同界面，由此发现注入点1.判断注入类型，输入1,2-1?id=1?id=2-1

BUUCTF_2020网鼎杯[朱雀组]phpweb启动环境页面出现warning，并且发现页面存在自动刷新，使用burpsuite抓包：发现两个参数func和p并且发现页面中有2024-10-2403:55:59am，判断执行了date函数，根据func和p的形式猜测函数执行，func输入函数，p输入语句获取源代码：func=highlight_file&p=

[BUUCTF]丢失的MD5分析打开，得到py文件importhashlibforiinrange(32,127):forjinrange(32,127):forkinrange(32,127):m=hashlib.md5()m.update('TASC'+chr(i)+'O3RJMV'+chr(j)+'WDJKX'+chr(k)+&

[BUUCTF]RSA分析得到一段文字：在一次RSA密钥对生成中，假设p=473398607161，q=4511491，e=17求解出d作为flga提交解题第一想法是python脚本，网上找到一个importgmpy2p=473398607161q=4511491e=17d=int(gmpy2.invert(e,(p-1)*(q-1)))print(d)得到flag{125631357777

BUUCTF之Sandbox-bad首先针对sandbox，我们需要有一个大概的认知，他是在一个代码执行环境下，脱离种种过滤和限制,最终成功拿到shell权限的过程,通常我们采用orw的方式来获取flag.orw全称onlyreadwrite,只使用readwrite函数将flag读取并且打印，shellcode分为三个步骤使用open函数

[BUUCTF]数据包中的线索解题打开pcapng，进行协议分级，发现Line-basedtextdate占比较大，将其过滤出来追踪HTTP流，发现base64编码复制解码没看到JFIF以为magic又出问题了，于是换了个网址https://the-x.cn/base64，下载JPG文件，得出flag发现电脑好像不可以识图复制flag，果断拿

7.wireshark下载文件发现里面是一个pcap格式的文件。而pcap格式就是网络分析工具保存的网络数据包，是捕获的从网卡发送或者接收的每一个数据包的离线网络流量。 在wireshark官网上下载wireshark，wireshark是网络封包分析工具。将文件用wireshark打开，发现有三个部分，上半部分绿

6.乌镇峰会种图把打开的图片放进010editor，拉到最末尾就可以发现flag 8.N种方法解决打开文件是KEY.exe点击打不开，运行不了(exe文件是二进制文件)，所以把他拉到010editor打开，data:image/jpg;base64,iVBORw0KGgo......gg==发现是base编码的形式，开头的提示说明是jpg格式的图片，

3.你竟然赶我走搜索010editor官网，点第一个页面，下载010editor(十六进制编译器)(黄色图标)，直接010editor打开(或者使用stegSolve)一般情况用ctrl+f进入字符串搜索查看是否有插入的flag信息，就可以在文件尾看到flag是flag{stego_is_s0_bor1ing} 4.二维码扫码识别二维码，发现隐

解压后发现是流量包，好多icmp包发现icmp包尾部有$$STRAT打头16进制的字符串，好多重复得。我们只需要提取尾部这些字符串是当icmp的type=0时上图标识为褐色的字符串，还需要把16进制的字符串转为对应的字符串（bytes类型）并去重。使用python脚本importpysharkimportbinascii

首先用checksec检查一下，发现是32位的，还有栈保护。然后将其放入ida32，查看main函数，幸运的发现有system。然后接下来就是理解这段反编译代码在讲什么，它的意思是它会随机生成一个4字节大小的数据，然后我们输入的passwd要与其相等。但是我们并不知道它随机生成的是什么，所以我们可以

首先，将下载的文件用checksec检查一下然后我们将其放入ida64中，按tap键查看源码点开vuln函数，看见有read，buf，发现buf占0x80空间，而，read里面有0x200，所以会有溢出。这里显示buf的地址为0x80+8，即136。然后有发现有system函数那就简单多了，它的起始地址为0x400596接下来写代码

BUUCTF（PWN）-rip打开题目得到靶机信息:node5.buuoj.cn:29045和附件pwn1查看文件信息为64-bit，用ida打开附件首先shift+f12查找字符串，能看见system、/bin/sh字样，点击pleaseinput或者ok,bye!!!跳转直接进入main函数查看gets并没有限制输入，gets函数的缓冲

开启BUUCTF靶场，打开链接：很明显是个phpinfo.php文件直接CtflF搜索flag，发现还真有，尝试输入flag看看什么情况？flag{cce98ec0-f1e6-416f-86d7-9b174202e678}呃呃，还真是flag，不过还是换种思路来做吧看到上面有个github的链接，点进去看看发现是一段例子和介绍，将其复

<?phpif(isset($_SERVER['HTTP_X_FORWARDED_FOR'])){$_SERVER['REMOTE_ADDR']=$_SERVER['HTTP_X_FORWARDED_FOR'];}if(!isset($_GET['host'])){highlight_file(__FILE__);}else{$host=$_GET['

题目[Zer0pts2020]easystrcmp1https://files.buuoj.cn/files/2961ba55f464e750aca703838dfca234/easy_strcmp_e1a6208fde4f52fd0c653c0b7e8ff614.tar.gz刚开始在main函数中发现if(!strcmp(a2[1],"zer0pts{********CENSORED********}"))puts("Correct!