记一次薅羊毛实战–从抓包分析到脚本自动化

每次一提到薅羊毛,我首先想到的就是灰黑产,最典型的例子就是前段时间拼多多的优惠券以及星巴克的免费咖啡,被薅的惨不忍睹。虽然我并不是干这个的,但是作为一枚渗透狗,平时或多或少都会对其有所接触,加上之前在成电也听过BSRC的大佬做过一些分享。今天在分析一些业务场景时,顺手测了一下,发下有羊毛可薅(手动滑稽)。就把脚本也顺手写了,开着脚本直接撸。

阅读更多

攻防世界CTF-web新手练习write-up

攻防世界这个ctf平台我在去年就拿到了注册邀请码,当时参加线下活动,赛宁网安的小姐姐给我的,现在可以直接注册了。但是之前一直没有在上面刷过题。因为打算这个暑假好好研究一下ctf,恰好今天有空,大概花了半个多小时的时间吧,把上面web的新手练习题做了一遍,总的来说很简单,每道题涉及的知识点也很单一。虽说简单,还是写一下自己的解题思路。

阅读更多

Python魔法方法总结

学习python已经有很长时间了,但一直没有对Python的魔法方法总结过,所谓工欲善其事,必先利其器。这篇博客参考网上的一些前人的归纳,加上自己的总结,进一步提升开发效率,对面向对象编程的理解也会更加深刻。

阅读更多

一个接口快速测试小技巧(Python)

前两天志成兄和我讨论了一下携程机票的爬虫。虽然我并没有实质上的帮到他什么,不过在讨论一个抓取一个接口的时候,他出现了一些问题,所有参数都是对的,但是就是不能正常返回(后来发现是格式问题)。我用他发给我的各种参数,post过去也是一样的结果,但是思考了一会后有了新的发现,也算是总结出的一个小技巧吧,很实用!

阅读更多

SQL注入之堆叠注入学习

而萌新的我只会嘤嘤嘤。于是我们的大哥就带着我们去日站了。是一个**app,名字就不说了。大家一起找到了网站的后台,由于部署了CDN,我们一直没能找到真实ip,大家都没什么思路。但大哥就是大哥,两天就把后台给成功拿下来了。大哥把整个思路过程都写到了博客里,因为法律的问题吧,就一直没公开,发了份md文档在群里给大家学习。其中是通过堆叠注入来update管理员的密文getshell的。

阅读更多