Security stuff, explained like a friend would.
WELCOME TO MY WORLD!
$ whoami
lzz0403 — A New player
$ ls ./favourite-topics
WEB/ RCE/ PHP/
$ echo "Keep learning!"
Keep learning!
CCB2026决赛WEB-WP
说实在的，自从Opus、GPT强度上来以后，已经摆烂了好一阵子了，这AI都一把梭哈了，没有AI都很难打初赛了，连XCTF分站赛以前的几解题都被杀爆了wwwwwww，感觉看不到我自己未来的希望了怎么办（（（（（（，也就线下断网能复健一下，emm甚至有些比赛WIFI一看全是热点吗？决定不再摆烂，努力日更！！ 这决赛W...
Fresh posts
17 postsCCB2026决赛WEB-WP
说实在的，自从Opus、GPT强度上来以后，已经摆烂了好一阵子了，这AI都一把梭哈了，没有AI都很难打初赛了，连XCTF分站赛以前的几解题都被杀爆了wwwwwww，感觉看不到...
2025年度总结捏
2025年滴总结捏 这一年在各位师傅的带领下得到了很大提升，感谢各位师傅带着我打CTF，带着我进决赛qwq 2025.3 西湖论剑 参加了人生中第一次线下比赛-第八届西湖论剑...
DASCTF 2025下半年赛-Web部分WriteUp
我们是冠军！ SecretPhotoGallery 然后查看源码发现注释1，应该是jwt密钥 GALLERY2024SECRET 然后得到admin访问 eyJ0eXAiOi...
WMCTF2025-Writeup by 0psu3
也是拿到了第三名，取得了一个不错的成绩 Web 题目名称 guess 这里下载源码，分析发现这里利用了generate_random_string() 然后后面的路由key2...
[LILCTF2025]Ekko_note
Ekko_note 经过一番折腾发现python3.14有uuid v8 ,然后解铃还须系铃人，lamxu的uuidv8看了一下，copy一下写一个exp就行 这里给了ser...
[LILCTF2025]Your Uns3r
Your Uns3r 整体逻辑就是用user反序列化后激活__destruct后一步步利用，最后控制result内容用include读flag 这里有两点要注意的，第一个就是...
LILCTF2025 WriteUp
队伍 在那年的夏日等你 信息 分数: 1543 排名: 49 WEB Your Uns3r 整体逻辑就是用user反序列化后激活__destruct后一步步利用，最后控制re...
DK盾-CTFers赞助计划已启动！
CTFers可获得DK盾赞助服务器，配置从2C2G到32H64G不等，续费仅需1元/月。 参与条件： 参与过5个以上国内CTF赛事，附上相关证明。 每月在个人技术博客上至少更...
[L3HCTF2025]best_profile
这里先审计代码发现 /ip_detail/<string:username> 处有ssti漏洞（render_template_string） 这里看一下，他需要先get g...
[OpenHarmony CTF 2025]Layers of Compromise
server：TinyFat/0.99.75 x-powered-by：PHP/8.3.21 nginx/1.24.0 .htaccess没起作用 弱口令user:passw...
[SDCTF 2022]gullible by dovesign WriteUp
这玩意多少有点抽象，注入点不好找，注入算简单，看nss上面没有wp于是就写了一份 Problem: [SDCTF 2022]gullible by dovesign 思路 首...
西电Mini L-CTF 2025 Web+部分Misc WriteUp
Mini L-CTF 2025 前言 队伍 ：那年的夏日没等到你 RANK ：6 Misc 吃豆人 审计game.js代码 看到逻辑，通过对submit_score发包，达到...
Part1-Python-Flask模板SSTI注入（Jinjia2引擎）
前言 SSTI(Server-Side Template Injection)是服务器端模板注入，和其他如SQL注入、XSS注入等类似，是由于代码不严谨或不规范且信任了用户的...
Javascript-Express框架-EJS模板，在CTF中的应用
Express的基本使用 使用Express框架可以简化HTTP请求的处理。例如，创建一个基本的Web服务器只需要几行代码： 在上述代码中，app.get()方法用于监听客户...
CTF-Web中对于RCE常用姿势总结
PHP的RCE中一些小技巧 空格过滤绕过 1、大括号{}： {cat,flag.php} 2、$IFS代替空格： $IFS$9，${IFS}，$IFS 这三个都行 Linux...
CTFShow刷题日记#Web#1.20-1.26
作为小白，ctfshow对我来说意义很大，web题型很多，在本周刷的内容里面，RCE漏洞花样百出，让我看不到尽头（（（。简直了，花样太多了，还得多刷多学，每次比赛做题都是现学...
PHP反序列化的一些招式总结
最近刷题我个人遇见的一些php反序列化的题型，都很有意思，也值得加深学习，可能说明的不详细不充分不清晰，有些点没点到，还请各位大佬多多指点qwq weakup()绕过 php...
