从0到1(CTFer成长之路)(精)
全新正版 极速发货
￥ 93.41 5.9折 ￥ 158 全新
库存29件
广东广州
认证卖家担保交易快速发货售后保障
作者编者:Nu1L战队|责编:章海涛
出版社电子工业
ISBN9787121376955
出版时间2020-09
装帧平装
开本其他
定价158元
货号1202139421
上书时间2024-06-06
商品详情
- 品相描述：全新
- 商品描述
-
作者简介
Nu1L战队成员来自于上海科技大学、西华大学、成都信息工程大学、北京理工大学等全国多所高校，最早是由两个研究Web的同学创建，队名源于计算机中语言中经常出现的\\\\\\\\\\\\\\\"NULL”。
目录
\\\\\\\"目 录
CTF之线上赛
第1章 Web入门3
1.1 举足轻重的信息收集3
1.1.1 信息搜集的重要性3
1.1.2 信息搜集的分类3
1.1.2.1 敏感目录泄露4
1.1.2.2 敏感备份文件7
1.1.2.3 Banner识别9
1.1.3 从信息搜集到题目解决9
1.2 CTF中的SQL注入12
1.2.1 SQL注入基础12
1.2.1.1 数字型注入和UNION注入12
1.2.1.2 字符型注入和布尔盲注17
1.2.1.3 报错注入22
1.2.2 注入点24
1.2.2.1 SELECT注入24
1.2.2.2 INSERT注入26
1.2.2.3 UPDATE注入27
1.2.2.4 DELETE注入28
1.2.3 注入和防御29
1.2.3.1 字符替换29
1.2.3.2 逃逸引号31
1.2.4 注入的功效33
1.2.5 SQL注入小结34
1.3 任意文件读取漏洞34
1.3.1 文件读取漏洞常见触发点35
1.3.1.1 Web语言35
1.4.1.2 中间件/服务器相关37
1.4.1.3 客户端相关39
1.3.2 文件读取漏洞常见读取路径39
1.3.2.1 Linux39
1.3.2.2 Windows41
1.3.3 文件读取漏洞例题41
1.3.3.1 兵者多诡（HCTF 2016）42
1.3.3.2 PWNHUB - Classroom43
1.3.3.3 Show me the shell I（TCTF/0CTF 2018 FINAL）45
1.3.3.4 BabyIntranet I（SCTF 2018）47
1.3.3.5 SimpleVN（BCTF2018）48
1.3.3.6 Translate（Google CTF 2018）50
1.3.3.7 看番就能拿Flag（PWNHUB）51
1.3.3.8 2013那年（PWNhub）52
1.3.3.9 Comment（网鼎杯2018线上赛）57
1.3.3.10 方舟计划（CISCN 2017）58
1.3.3.11 Prin（RealWorldCTF 2018线上赛）60
1.3.3.12 粗心的佳佳（PWNHUB）62
1.3.3.13 教育机构（强网杯2018线上赛）64
1.3.3.14 Magic Tunnel（RealworldCTF 2018线下赛）65
1.3.3.15 Can you find me？（WHUCTF2019，武汉大学校赛）67
小结68
第2章 Web进阶69
2.1 SSRF漏洞69
2.1.1 SSRF的原理解析69
2.1.2 SSRF漏洞的寻找和测试71
2.1.3 SSRF漏洞攻击方式72
2.1.3.1 内部服务资产探测72
2.1.3.2 使用Gopher协议扩展攻击面72
2.1.3.3 自动组装Gopher80
2.1.4 SSRF的绕过80
2.1.4.1 IP的限制80
2.1.4.2 302跳转82
2.1.4.3 URL的解析问题83
2.1.4.4 DNS Rebinding86
2.1.5 CTF中的SSRF88
2.2 命令执行漏洞92
2.2.1 命令执行的原理和测试方法92
2.2.1.1 命令执行原理93
2.2.1.2 命令执行基础93
2.2.1.3 命令执行的基本测试95
2.2.2 命令执行的绕过和技巧95
2.2.2.1 缺少空格95
2.2.2.2 黑名单关键字97
2.2.2.3 执行无回显98
2.2.3 命令执行真题讲解100
2.2.3.1 2015 HITCON Babyfirst100
2.2.3.2 2017 HITCON BabyFirst Revenge101
2.2.3.3 2017 HITCON BabyFirst Revenge v2103
2.3 XSS的魔力104
2.3.1 XSS漏洞类型104
2.3.2 XSS的tricks108
2.3.3 XSS过滤和绕过111
2.3.4 XSS绕过案例117
2.4 Web文件上传漏洞121
2.4.1 基础文件上传漏洞121
2.4.2 截断绕过上传限制122
2.4.2.1 00截断122
2.4.2.2 转换字符集造成的截断125
2.4.3 文件后缀黑名单校验绕过126
2.4.3.1 上传文件重命名126
2.4.3.2 上传文件不重命名127
2.4.4 文件后缀白名单校验绕过130
2.4.4.1 Web服务器解析漏洞130
2.4.4.2 APACHE解析漏洞131
2.4.5 文件禁止访问绕过132
2.4.5.1 .htaccess禁止脚本文件执行绕过133
2.4.5.2 文件上传到OSS134
2.4.5.3 配合文件包含绕过134
2.4.5.4 一些可被绕过的Web配置135
2.4.6 绕过图片验证实现代码执行137
2.4.7 上传生成的临时文件利用140
2.4.8 使用file_put_contents实现文件上传142
2.4.9 ZIP上传带来的上传问题147
小结156
第3章 Web拓展157
3.1 反序列化漏洞157
3.1.1 PHP反序列化157
3.1.1.1 常见反序列化158
3.1.1.2 原生类利用160
3.1.1.3 Phar反序列化163
3.1.1.4 小技巧165
3.1.2 经典案例分析170
3.2 Python的安全问题172
3.2.1 沙箱逃逸172
3.2.1.1 关键词过滤172
3.2.1.2 花样import173
3.2.1.3 使用继承等寻找对象174
3.2.1.4 eval类的代码执行174
3.2.2 格式化字符串175
3.2.2.1 最原始的%175
3.2.2.2 format方法相关175
3.2.2.3 Python 3.6中的f字符串176
3.2.3 Python模板注入176
3.2.4 urllib和SSRF177
3.2.4.1 CVE-2016-5699177
3.2.4.2 CVE-2019-9740178
3.2.5 Python反序列化179
3.2.6 Python XXE180
3.2.7 sys.audit182
3.2.8 CTF Python案例182
3.2.8.1 皇家线上赌场（SWPU 2018）182
3.2.8.2 mmmmy（2018网鼎杯）183
3.3 密码学和逆向知识185
3.3.1 密码学知识186
3.3.1.1 分组加密186
3.3.1.2 加密方式的识别186
3.3.1.3 ECB模式186
3.3.1.4 CBC模式188
3.3.1.5 Padding Oracle Attack191
3.3.1.6 Hash Length Extension197
3.3.1.7 伪随机数200
3.3.1.8 密码学小结202
3.3.2 Web中的逆向工程202
3.3.2.1 Python202
3.3.2.2 PHP203
3.3.2.3 JavaScript206
3.4 逻辑漏洞207
3.4.1 常见的逻辑漏洞207
3.4.2 CTF中的逻辑漏洞211
3.4.3 逻辑漏洞小结212
小结212
第4章 APK213
4.1 Android开发基础213
4.1.1 Android四大组件213
4.1.2 APK文件结构214
4.1.3 DEX文件格式214
4.1.4 Android API215
4.1.5 Android示例代码216
4.2 APK逆向工具217
4.2.1 JEB217
4.2.2 IDA219
4.2.3 Xposed Hook220
4.2.4 Frida Hook222
4.3 APK逆向之反调试224
4.4 APK逆向之脱壳224
4.4.1 注入进程Dump内存224
4.4.2 修改源码脱壳225
4.4.3 类重载和DEX重组227
4.5 APK真题解析227
4.5.1 Ollvm混淆Native App逆向（NJCTF 2017）227
4.5.2 反调试及虚拟机检测（XDCTF 2016）230
小结232
第5章 逆向工程233
5.1 逆向工程基础233
5.1.1 逆向工程概述233
5.1.2 可执行文件233
5.1.3 汇编语言基本知识234
5.1.4 常用工具介绍239
5.2 静态分析243
5.2.1 IDA使用入门243
5.2.2 HexRays反编译器入门249
5.2.3 IDA和HexRays进阶254
5.3 动态调试和分析258
5.3.1 调试的基本原理258
5.3.2 OllyDBG和x64DBG调试258
5.3.3 GDB调试264
5.3.4 IDA调试器265\\\\\\\"
内容摘要
本书主要面向CTF入门者，融入了CTF比赛的方方面面，让读者可以进行系统性的学习。本书包括13章的内容，技术介绍分为线上赛和线下赛两部分。线上赛包括10章，涵盖Web、PWN、Reverse、APK、Misc、Crypto、区块链、代码审计。线下赛包括2章，分别为AWD和靶场渗透。第13章通过Nu1L战队成员的故事和联合战队管理等内容来分享CTF战队组建和管理、运营的经验。
相关推荐
— 没有更多了 —
以下为对购买帮助不大的评价