伪协议

伪协议不同于因特网上所真实存在的协议，如 http://，https://，ftp://

而是为关联应用程序而使用的.如:tencent://(关联QQ)，data:(用base64编码来在浏览器端输出二进制文件)，还有就是 javascript:

我们可以在浏览地址栏里输入javascript://alert('JS!');，点转到后会发现，实际上是把 javascript: 后面的代码当 JavaScript 来执行，并将结果值返回给当前页面

现代浏览器疑似都不能在搜索框直接执行

参考：

https://segmentfault.com/a/1190000018991087

https://www.cnblogs.com/forforever/p/12711197.html

PHP文件包含

https://github.com/ProbiusOfficial/PHPinclude-labs

内容：

• include系列包含，LFI（本地文件包含），RFI（远程文件包含）
• 文件系统函数
• PHP伪协议与包装器
• 特殊的包含姿势
• 文件包含 = RCE？

RCE(命令执行)

此部分包含：

• 基于linux命令的构造

• php系统函数rce

推荐食用：

https://github.com/ProbiusOfficial/RCE-labs

前言

南森新生赛，确实是新生级别的赛事，题目难度不会太高，甚至有好几题都是网上搜到的buu有的题目（笑），但是web题个人觉得还是有一定学习空间的（虽然谁会把文件上传题放公共靶机就是了），这里先对个人感兴趣的web题进行复现，其他方向先咕了（

前言

这次比赛web题成功0解（悲），赛后看别人的wp的时候发现还是有几道题是我能做的，比赛时还是被没见过的语言框架和题目提示给唬住了，所以说以后看见不认识的语言框架还是多花点去看看，指不准就有思路了呢（笑）

参考：

https://xz.aliyun.com/t/12128

https://boogipop.com/2023/03/02/FastJson%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96%E6%BC%8F%E6%B4%9E/#%E8%A5%BF%E6%B9%96%E8%AE%BA%E5%89%912023-easy-api

https://www.viewofthai.link/2023/02/05/%E8%A5%BF%E6%B9%96%E8%AE%BA%E5%89%912023-web-wp-%E4%B8%80/

部分附件：https://github.com/CTF-Archives/CTF_Archive_CN/releases/tag/2022-xhlj

前言

明年再战

前言

你可千万别学隔壁家大哥哥，大过年还在打ctf（

前言

打了下第一周的题，尚且在能力范围内，后面几周就上难度了

前言

三校联赛，yysy这把个人赛打得挺失败的，只会福利题（悲

前言

算是本人第一次打的团队赛，战绩还是挺可观的，成功打进了新生赛道前20喜提awd